CVE-2024-13059

CVE-2024-13059

Título es
CVE-2024-13059

Lun, 10/02/2025 – 19:15

Tipo
CWE-29

Gravedad 2.0 Txt
Pendiente de análisis

Título en

CVE-2024-13059

Descripción en
A vulnerability in mintplex-labs/anything-llm prior to version 1.3.1 allows for path traversal due to improper handling of non-ASCII filenames in the multer library. This vulnerability can lead to arbitrary file write, which can subsequently result in remote code execution. The issue arises when the filename transformation introduces '../' sequences, which are not sanitized by multer, allowing attackers with manager or admin roles to write files to arbitrary locations on the server.

10/02/2025
10/02/2025
Vector CVSS:3.1
CVSS:3.0/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H

Gravedad 3.1 (CVSS 3.1 Base Score)
7.20

Gravedad 3.1 Txt Gravedad 3.1 (CVSS 3.1 Base Score)
HIGH

Enviar en el boletín
Off

CVE-2024-13011

CVE-2024-13011

Título es
CVE-2024-13011

Lun, 10/02/2025 – 19:15

Tipo
CWE-434

Gravedad 2.0 Txt
Pendiente de análisis

Título en

CVE-2024-13011

Descripción en
The WP Foodbakery plugin for WordPress is vulnerable to arbitrary file uploads due to insufficient file type validation in the 'upload_publisher_profile_image' function in versions up to, and including, 4.7. This makes it possible for unauthenticated attackers to upload arbitrary files on the affected site's server which may make remote code execution possible.

10/02/2025
10/02/2025
Vector CVSS:3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Gravedad 3.1 (CVSS 3.1 Base Score)
9.80

Gravedad 3.1 Txt Gravedad 3.1 (CVSS 3.1 Base Score)
CRITICAL

Enviar en el boletín
Off

CVE-2025-1153

CVE-2025-1153

Título es
CVE-2025-1153

Lun, 10/02/2025 – 19:15

Tipo
CWE-119

Gravedad v2.0
2.60

Gravedad 2.0 Txt
LOW

Título en

CVE-2025-1153

Descripción en
A vulnerability classified as problematic was found in GNU Binutils 2.43/2.44. Affected by this vulnerability is the function bfd_set_format of the file format.c. The manipulation leads to memory corruption. The attack can be launched remotely. The complexity of an attack is rather high. The exploitation appears to be difficult. Upgrading to version 2.45 is able to address this issue. The identifier of the patch is 8d97c1a53f3dc9fd8e1ccdb039b8a33d50133150. It is recommended to upgrade the affected component.

10/02/2025
10/02/2025
Vector CVSS:4.0
CVSS:4.0/AV:N/AC:H/AT:N/PR:N/UI:P/VC:N/VI:N/VA:L/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X

Vector CVSS:3.1
CVSS:3.1/AV:N/AC:H/PR:N/UI:R/S:U/C:N/I:N/A:L

Vector CVSS:2.0
AV:N/AC:H/Au:N/C:N/I:N/A:P

Gravedad 4.0
2.30

Gravedad 4.0 txt
LOW

Gravedad 3.1 (CVSS 3.1 Base Score)
3.10

Gravedad 3.1 Txt Gravedad 3.1 (CVSS 3.1 Base Score)
LOW

Enviar en el boletín
Off

CVE-2024-8550

CVE-2024-8550

Título es
CVE-2024-8550

Lun, 10/02/2025 – 19:15

Tipo
CWE-497

Gravedad 2.0 Txt
Pendiente de análisis

Título en

CVE-2024-8550

Descripción en
A Local File Inclusion (LFI) vulnerability exists in the /load-workflow endpoint of modelscope/agentscope version v0.0.4. This vulnerability allows an attacker to read arbitrary files from the server, including sensitive files such as API keys, by manipulating the filename parameter. The issue arises due to improper sanitization of user input passed to the os.path.join function, which can be exploited to access files outside the intended directory.

10/02/2025
10/02/2025
Vector CVSS:3.1
CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N

Gravedad 3.1 (CVSS 3.1 Base Score)
7.50

Gravedad 3.1 Txt Gravedad 3.1 (CVSS 3.1 Base Score)
HIGH

Enviar en el boletín
Off

CVE-2024-54658

CVE-2024-54658

Título es
CVE-2024-54658

Lun, 10/02/2025 – 19:15

Gravedad 2.0 Txt
Pendiente de análisis

Título en

CVE-2024-54658

Descripción en
The issue was addressed with improved memory handling. This issue is fixed in iOS 17.4 and iPadOS 17.4, Safari 17.4, tvOS 17.4, watchOS 10.4, visionOS 1.1, macOS Sonoma 14.4. Processing web content may lead to a denial-of-service.

10/02/2025
10/02/2025
Gravedad 3.1 Txt Gravedad 3.1 (CVSS 3.1 Base Score)
Pendiente de análisis

Enviar en el boletín
Off

CVE-2025-24200

CVE-2025-24200

Título es
CVE-2025-24200

Lun, 10/02/2025 – 19:15

Gravedad 2.0 Txt
Pendiente de análisis

Título en

CVE-2025-24200

Descripción en
An authorization issue was addressed with improved state management. This issue is fixed in iPadOS 17.7.5, iOS 18.3.1 and iPadOS 18.3.1. A physical attack may disable USB Restricted Mode on a locked device. Apple is aware of a report that this issue may have been exploited in an extremely sophisticated attack against specific targeted individuals.

10/02/2025
10/02/2025
Gravedad 3.1 Txt Gravedad 3.1 (CVSS 3.1 Base Score)
Pendiente de análisis

Enviar en el boletín
Off

CVE-2025-24016

CVE-2025-24016

Título es
CVE-2025-24016

Lun, 10/02/2025 – 20:15

Tipo
CWE-502

Gravedad 2.0 Txt
Pendiente de análisis

Título en

CVE-2025-24016

Descripción en
Wazuh is a free and open source platform used for threat prevention, detection, and response. Starting in version 4.4.0 and prior to version 4.9.1, an unsafe deserialization vulnerability allows for remote code execution on Wazuh servers. DistributedAPI parameters are a serialized as JSON and deserialized using `as_wazuh_object` (in `framework/wazuh/core/cluster/common.py`). If an attacker manages to inject an unsanitized dictionary in DAPI request/response, they can forge an unhandled exception (`__unhandled_exc__`) to evaluate arbitrary python code. The vulnerability can be triggered by anybody with API access (compromised dashboard or Wazuh servers in the cluster) or, in certain configurations, even by a compromised agent. Version 4.9.1 contains a fix.

10/02/2025
10/02/2025
Vector CVSS:3.1
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:L/I:H/A:H

Gravedad 3.1 (CVSS 3.1 Base Score)
9.90

Gravedad 3.1 Txt Gravedad 3.1 (CVSS 3.1 Base Score)
CRITICAL

Enviar en el boletín
Off

CVE-2025-1154

CVE-2025-1154

Título es
CVE-2025-1154

Lun, 10/02/2025 – 20:15

Tipo
CWE-74

Gravedad v2.0
6.50

Gravedad 2.0 Txt
MEDIUM

Título en

CVE-2025-1154

Descripción en
A vulnerability, which was classified as critical, has been found in xxyopen Novel up to 3.4.1. Affected by this issue is some unknown functionality of the file /api/front/search/books. The manipulation of the argument sort leads to sql injection. The attack may be launched remotely. The exploit has been disclosed to the public and may be used. Other parameters might be affected as well.

10/02/2025
10/02/2025
Vector CVSS:4.0
CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:L/VI:L/VA:L/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X

Vector CVSS:3.1
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:L/A:L

Vector CVSS:2.0
AV:N/AC:L/Au:S/C:P/I:P/A:P

Gravedad 4.0
5.30

Gravedad 4.0 txt
MEDIUM

Gravedad 3.1 (CVSS 3.1 Base Score)
6.30

Gravedad 3.1 Txt Gravedad 3.1 (CVSS 3.1 Base Score)
MEDIUM

Enviar en el boletín
Off

CVE-2024-57178

CVE-2024-57178

Título es
CVE-2024-57178

Lun, 10/02/2025 – 20:15

Tipo
CWE-89

Gravedad 2.0 Txt
Pendiente de análisis

Título en

CVE-2024-57178

Descripción en
An SQL injection vulnerability exists in Stock-Forecaster

10/02/2025
10/02/2025
Vector CVSS:3.1
CVSS:3.1/AV:L/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:L

Gravedad 3.1 (CVSS 3.1 Base Score)
5.90

Gravedad 3.1 Txt Gravedad 3.1 (CVSS 3.1 Base Score)
MEDIUM

Enviar en el boletín
Off

Millones de usuarios emplearon bots de IA en Telegram para crear imágenes de personas desnudas

Otro bot, que contaba con más de 38,000 usuarios, afirmaba que la gente podía enviar seis imágenes del mismo hombre o la misma mujer (es uno de un pequeño número que afirma crear imágenes de hombres) para «entrenar» un modelo de IA, que luego podría crear nuevas imágenes deepfake de ese individuo. Una vez que los usuarios se unían a un bot, este presentaba un menú de otros 11 bots de los creadores, probablemente para mantener los sistemas online y tratar de evitar las eliminaciones.

«Este tipo de imágenes falsas pueden dañar la salud y el bienestar de una persona al causarle traumas psicológicos y sentimientos de humillación, miedo, bochorno y vergüenza», afirma Emma Pickering, responsable de abuso facilitado por la tecnología y empoderamiento económico de Refuge, la mayor organización británica contra el maltrato doméstico. «Aunque esta forma de abuso es común, rara vez se les pide cuentas a los autores, y sabemos que este tipo de abuso es cada vez más común en las relaciones de pareja».

A medida que los deepfakes explícitos se han vuelto más fáciles de crear y más frecuentes, los legisladores y las empresas tecnológicas han tardado en frenar la marea. En Estados Unidos, 23 estados han aprobado leyes contra las falsificaciones no consentidas, y las empresas tecnológicas han reforzado algunas políticas. Sin embargo, se han encontrado aplicaciones que pueden crear deepfakes explícitos en las tiendas de aplicaciones de Apple y Google; deepfakes explícitos de Taylor Swift se compartieron ampliamente en X en enero, y la infraestructura de inicio de sesión de las gigantes tecnológicas le ha permitido a la gente crear fácilmente cuentas en sitios web de deepfakes.

Kate Ruane, directora del proyecto de libertad de expresión del Centro para la Democracia y la Tecnología, sostiene que la mayoría de las principales plataformas tecnológicas cuentan ahora con políticas que prohíben la distribución no consensual de imágenes íntimas, y que muchas de las más importantes han acordado principios para hacer frente a los deepfakes. «Yo diría que en realidad no está claro si la creación o distribución no consensual de imágenes íntimas está prohibida en la plataforma», observa Ruane sobre los términos de servicio de Telegram, que son menos detallados que los de otras plataformas tecnológicas grandes.

El enfoque de Telegram a la hora de eliminar contenidos nocivos ha sido criticado durante mucho tiempo por grupos de la sociedad civil, ya que la plataforma ha acogido históricamente a estafadores, grupos de extrema derecha y contenidos relacionados con el terrorismo. Desde que el Director General y fundador de Telegram, Pavel Durov, fue detenido y acusado en Francia en agosto con relación a una serie de posibles delitos, Telegram ha comenzado a hacer algunos cambios en sus términos de servicio y a proporcionar datos a las fuerzas de seguridad. La empresa no respondió a las preguntas de WIRED sobre si prohíbe específicamente los deepfakes explícitos.

Ejecutar el daño

A finales de septiembre del año pasado, varios canales de deepfake empezaron a publicar que Telegram había eliminado sus bots. No está claro cuál fue el motivo. El 30 de septiembre, un canal con 295,000 suscriptores publicó que Telegram había «prohibido» sus bots, pero publicó un nuevo enlace de bot para que los usuarios lo utilizaran (el canal fue eliminado después de que WIRED enviara preguntas a Telegram.

«Una de las cosas realmente preocupantes de aplicaciones como Telegram es que es muy difícil de rastrear y controlar, sobre todo desde la perspectiva de los sobrevivientes», afirma Elena Michael, cofundadora y directora de #NotYourPorn, un grupo de campaña que trabaja para proteger a las personas de los abusos sexuales basados en imágenes.

Michael añade que Telegram ha sido «notoriamente difícil» para discutir cuestiones de seguridad (al menos hasta la detención de Pavel Durov).

«Imagina que fueras un superviviente que tiene que hacerlo por sí solo, de seguro la carga no debería recaer en un individuo», concluye Michael. «De seguro, la carga debería recaer en la empresa para poner algo en marcha que sea proactivo en lugar de reactivo».

Artículo originalmente publicado en WIRED. Adaptado por Andrea Baranenko.