CVE-2024-52329

CVE-2024-52329

Título es
CVE-2024-52329

Jue, 23/01/2025 – 17:15

Tipo
CWE-295

Gravedad 2.0 Txt
Pendiente de análisis

Título en

CVE-2024-52329

Descripción en
ECOVACS HOME mobile app plugins for specific robots do not properly validate TLS certificates. An unauthenticated attacker can read or modify TLS traffic and obtain authentication tokens.

23/01/2025
23/01/2025
Vector CVSS:4.0
CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:N/VC:H/VI:H/VA:N/SC:H/SI:H/SA:H/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X

Vector CVSS:3.1
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:N

Gravedad 4.0
9.50

Gravedad 4.0 txt
CRITICAL

Gravedad 3.1 (CVSS 3.1 Base Score)
7.40

Gravedad 3.1 Txt Gravedad 3.1 (CVSS 3.1 Base Score)
HIGH

Enviar en el boletín
Off

CVE-2024-52328

CVE-2024-52328

Título es
CVE-2024-52328

Jue, 23/01/2025 – 17:15

Tipo
CWE-732

Gravedad 2.0 Txt
Pendiente de análisis

Título en

CVE-2024-52328

Descripción en
ECOVACS robot lawnmowers and vacuums insecurely store audio files used to indicate that the camera is on. An attacker with access to the /data filesystem can delete or modify warning files such that users may not be aware that the camera is on.

23/01/2025
23/01/2025
Vector CVSS:4.0
CVSS:4.0/AV:L/AC:L/AT:P/PR:H/UI:N/VC:N/VI:L/VA:N/SC:L/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X

Vector CVSS:3.1
CVSS:3.1/AV:L/AC:L/PR:H/UI:N/S:U/C:N/I:L/A:N

Gravedad 4.0
1.80

Gravedad 4.0 txt
LOW

Gravedad 3.1 (CVSS 3.1 Base Score)
2.30

Gravedad 3.1 Txt Gravedad 3.1 (CVSS 3.1 Base Score)
LOW

Enviar en el boletín
Off

CVE-2024-55925

CVE-2024-55925

Título es
CVE-2024-55925

Jue, 23/01/2025 – 17:15

Tipo
CWE-287

Gravedad 2.0 Txt
Pendiente de análisis

Título en

CVE-2024-55925

Descripción en
API Security bypass through header manipulation

23/01/2025
23/01/2025
Vector CVSS:3.1
CVSS:3.1/AV:A/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N

Gravedad 3.1 (CVSS 3.1 Base Score)
6.50

Gravedad 3.1 Txt Gravedad 3.1 (CVSS 3.1 Base Score)
MEDIUM

Enviar en el boletín
Off

México crea una app para proteger a los migrantes de las deportaciones de Trump

Una notificación para escapar de la detención. Es la respuesta de México a las amenazas de deportaciones masivas anunciadas por Donald Trump para su segundo mandato. A tres semanas de su toma de posesión, prevista para el 20 de enero de 2025, el Gobierno mexicano ha presentado una nueva aplicación móvil que permitirá a los migrantes dar la alerta si son detenidos por las autoridades estadounidenses.

La iniciativa llega en un momento de especial tensión: más de dos docenas de gobernadores republicanos han dicho que utilizarán a las fuerzas del orden estatales o a la Guardia Nacional para ayudar en las deportaciones masivas, lo que suscita preocupación entre los grupos de defensa de los derechos civiles. El plan de Trump, según Axios, también podría implicar a ciudadanos estadounidenses hijos de inmigrantes indocumentados e incluir la construcción de nuevos campos de detención en todo el país. En este contexto, con más de 38.4 millones de ciudadanos mexicanos presentes en EE UU (de los cuales 11.5 millones son inmigrantes de primera generación y 4.8 millones están en situación de indocumentados), el Gobierno mexicano ha decidido reforzar su red de protección consular. El sistema de alerta digital forma parte de una estrategia diplomática más amplia de México denominada «Conoce tus derechos», que incluye el fortalecimiento de la red consular mexicana, con 53 oficinas repartidas por todo EE UU y una red de 329 asesores jurídicos, así como el apoyo voluntario de bufetes de abogados de todo el país.

La app de la esperanza

La nueva herramienta digital, denominada Botón de Alerta, fue desarrollada en colaboración con la Agencia de Transformación Digital de México y estará disponible a partir de enero. El sistema está diseñado para activar una respuesta inmediata en caso de emergencia:»Si te encuentras ante una detención inminente, pulsas un Botón de Alerta que envía una señal al consulado más cercano», explicó el canciller mexicano, Juan Ramón de la Fuente, durante una rueda de prensa en Ciudad de México. ABC news señala que la aplicación también permitirá preseleccionar a los familiares que serán alertados en caso de detención. El sistema ya se está probando. Para reforzar aún más la protección de sus ciudadanos, el gobierno mexicano también ha puesto en marcha una línea de atención telefónica las 24 horas del día para responder a las preguntas de los migrantes.

El reto de las deportaciones masivas

La medida del Gobierno mexicano responde a las amenazas de deportaciones masivas anunciadas por Trump para su segundo mandato. El presidente electo ha prometido declarar unaemergencia nacional en la frontera con México y deportar a millones de indocumentados, calificando la llegada de migrantes como «una invasión». ABC news informa que el número total de migrantes indocumentados en EE UU alcanzó los 11.7 millones en julio de 2023, pero solo 4.6 millones son de México. La Unión Americana de Libertades Civiles (ACLU) ha advertido que los centros de detención temporal necesarios para gestionar las expulsiones masivas «probablemente serán inhumanos y estarán mal construidos», como informa Axios. El costo estimado de la operación sería de entre 150,000 y 350,000 millones de dólares. La presidenta de México, Claudia Sheinbaum, está preparando un documento en el que destaca la contribución de los trabajadores mexicanos a la economía estadounidense, mientras que el Gobierno ha iniciado conversaciones con otros países centroamericanos, entre ellos Guatemala y Honduras, para coordinar planes de contingencia. «He participado personalmente en varias reuniones públicas donde el mensaje clave es decirles a nuestros compatriotas que no están solos y que no lo estarán», dijo el canciller. El ministro también instó a todos los ciudadanos mexicanos con hijos nacidos en Estados Unidos a «registrarlos en los consulados, ya que esto nos permite brindar protección legal cuando sea necesario».

Artículo originalmente publicado en WIRED Italia. Adaptado por Mauricio Serfatty Godoy.

CVE-2024-12118

CVE-2024-12118

Título es
CVE-2024-12118

Jue, 23/01/2025 – 12:15

Tipo
CWE-79

Gravedad 2.0 Txt
Pendiente de análisis

Título en

CVE-2024-12118

Descripción es
El complemento Events Calendar para WordPress es vulnerable a Cross-Site Scripting almacenado a través del widget de enlace Calendario de eventos mediante el atributo html_tag en todas las versiones hasta la 6.9.0 incluida, debido a una desinfección de entrada y un escape de salida insuficientes. Esto permite que atacantes autenticados, con acceso de nivel de colaborador y superior, inyecten secuencias de comandos web arbitrarias en páginas que se ejecutarán cada vez que un usuario acceda a una página inyectada.

Descripción en
The The Events Calendar plugin for WordPress is vulnerable to Stored Cross-Site Scripting via the Event Calendar Link Widget through the html_tag attribute in all versions up to, and including, 6.9.0 due to insufficient input sanitization and output escaping. This makes it possible for authenticated attackers, with Contributor-level access and above, to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page.

23/01/2025
23/01/2025
Vector CVSS:3.1
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:L/I:L/A:N

Gravedad 3.1 (CVSS 3.1 Base Score)
6.40

Gravedad 3.1 Txt Gravedad 3.1 (CVSS 3.1 Base Score)
MEDIUM

Enviar en el boletín
Off

CVE-2024-13340

CVE-2024-13340

Título es
CVE-2024-13340

Jue, 23/01/2025 – 12:15

Tipo
CWE-79

Gravedad 2.0 Txt
Pendiente de análisis

Título en

CVE-2024-13340

Descripción es
El complemento MDTF – Meta Data and Taxonomies Filter para WordPress es vulnerable a Cross-Site Scripting almacenado a través del código abreviado 'mdf_results_by_ajax' del complemento en todas las versiones hasta la 1.3.3.6 incluida, debido a una desinfección de entrada insuficiente y a un escape de salida en los atributos proporcionados por el usuario. Esto permite que atacantes autenticados, con acceso de nivel de colaborador y superior, inyecten secuencias de comandos web arbitrarias en páginas que se ejecutarán siempre que un usuario acceda a una página inyectada.

Descripción en
The MDTF – Meta Data and Taxonomies Filter plugin for WordPress is vulnerable to Stored Cross-Site Scripting via the plugin's 'mdf_results_by_ajax' shortcode in all versions up to, and including, 1.3.3.6 due to insufficient input sanitization and output escaping on user supplied attributes. This makes it possible for authenticated attackers, with contributor-level access and above, to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page.

23/01/2025
23/01/2025
Vector CVSS:3.1
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:L/I:L/A:N

Gravedad 3.1 (CVSS 3.1 Base Score)
6.40

Gravedad 3.1 Txt Gravedad 3.1 (CVSS 3.1 Base Score)
MEDIUM

Enviar en el boletín
Off

CVE-2024-13236

CVE-2024-13236

Título es
CVE-2024-13236

Jue, 23/01/2025 – 12:15

Tipo
CWE-89

Gravedad 2.0 Txt
Pendiente de análisis

Título en

CVE-2024-13236

Descripción es
El complemento Tainacan para WordPress es vulnerable a la inyección SQL a través del parámetro 'collection_id' en todas las versiones hasta la 0.21.12 incluida, debido a un escape insuficiente en el parámetro proporcionado por el usuario y a la falta de preparación suficiente en la consulta SQL existente. Esto hace posible que los atacantes autenticados, con acceso de nivel de suscriptor y superior, agreguen consultas SQL adicionales a las consultas ya existentes que se pueden usar para extraer información confidencial de la base de datos.

Descripción en
The Tainacan plugin for WordPress is vulnerable to SQL Injection via the 'collection_id' parameter in all versions up to, and including, 0.21.12 due to insufficient escaping on the user supplied parameter and lack of sufficient preparation on the existing SQL query. This makes it possible for authenticated attackers, with Subscriber-level access and above, to append additional SQL queries into already existing queries that can be used to extract sensitive information from the database.

23/01/2025
23/01/2025
Vector CVSS:3.1
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N

Gravedad 3.1 (CVSS 3.1 Base Score)
6.50

Gravedad 3.1 Txt Gravedad 3.1 (CVSS 3.1 Base Score)
MEDIUM

Enviar en el boletín
Off

CVE-2024-12504

CVE-2024-12504

Título es
CVE-2024-12504

Jue, 23/01/2025 – 12:15

Tipo
CWE-79

Gravedad 2.0 Txt
Pendiente de análisis

Título en

CVE-2024-12504

Descripción es
El complemento Broadcast Live Video – Live Streaming : HTML5, WebRTC, HLS, RTSP, RTMP para WordPress es vulnerable a Cross-Site Scripting almacenado a través del código abreviado 'videowhisper_hls' del complemento en todas las versiones hasta la 6.1.9 incluida, debido a una desinfección de entrada insuficiente y a un escape de salida en los atributos proporcionados por el usuario. Esto permite que atacantes autenticados, con acceso de nivel de colaborador y superior, inyecten secuencias de comandos web arbitrarias en páginas que se ejecutarán siempre que un usuario acceda a una página inyectada.

Descripción en
The Broadcast Live Video – Live Streaming : HTML5, WebRTC, HLS, RTSP, RTMP plugin for WordPress is vulnerable to Stored Cross-Site Scripting via the plugin's 'videowhisper_hls' shortcode in all versions up to, and including, 6.1.9 due to insufficient input sanitization and output escaping on user supplied attributes. This makes it possible for authenticated attackers, with contributor-level access and above, to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page.

23/01/2025
23/01/2025
Vector CVSS:3.1
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:L/I:L/A:N

Gravedad 3.1 (CVSS 3.1 Base Score)
6.40

Gravedad 3.1 Txt Gravedad 3.1 (CVSS 3.1 Base Score)
MEDIUM

Enviar en el boletín
Off

CVE-2025-23006

CVE-2025-23006

Título es
CVE-2025-23006

Jue, 23/01/2025 – 12:15

Tipo
CWE-502

Gravedad 2.0 Txt
Pendiente de análisis

Título en

CVE-2025-23006

Descripción es
Se ha identificado una vulnerabilidad de deserialización de datos no confiables antes de la autenticación en SMA1000 Appliance Management Console (AMC) y Central Management Console (CMC), que en condiciones específicas podría permitir que un atacante remoto no autenticado ejecute comandos arbitrarios del sistema operativo.

Descripción en
Pre-authentication deserialization of untrusted data vulnerability has been identified in the SMA1000 Appliance Management Console (AMC) and Central Management Console (CMC), which in specific conditions could potentially enable a remote unauthenticated attacker to execute arbitrary OS commands.

23/01/2025
23/01/2025
Gravedad 3.1 Txt Gravedad 3.1 (CVSS 3.1 Base Score)
Pendiente de análisis

Enviar en el boletín
Off

CVE-2024-13422

CVE-2024-13422

Título es
CVE-2024-13422

Jue, 23/01/2025 – 12:15

Tipo
CWE-79

Gravedad 2.0 Txt
Pendiente de análisis

Título en

CVE-2024-13422

Descripción es
El complemento SEO Blogger to WordPress Migration using 301 Redirection para WordPress es vulnerable a Cross-Site Scripting Reflejado a través del parámetro 'url' en todas las versiones hasta la 0.4.8 incluida, debido a una desinfección de entrada y un escape de salida insuficientes. Esto permite que atacantes no autenticados inyecten secuencias de comandos web arbitrarias en páginas que se ejecutan si logran engañar a un usuario para que realice una acción, como hacer clic en un enlace.

Descripción en
The SEO Blogger to WordPress Migration using 301 Redirection plugin for WordPress is vulnerable to Reflected Cross-Site Scripting via the 'url' parameter in all versions up to, and including, 0.4.8 due to insufficient input sanitization and output escaping. This makes it possible for unauthenticated attackers to inject arbitrary web scripts in pages that execute if they can successfully trick a user into performing an action such as clicking on a link.

23/01/2025
23/01/2025
Vector CVSS:3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N

Gravedad 3.1 (CVSS 3.1 Base Score)
6.10

Gravedad 3.1 Txt Gravedad 3.1 (CVSS 3.1 Base Score)
MEDIUM

Enviar en el boletín
Off