CVE-2024-7419

CVE-2024-7419

Título es
CVE-2024-7419

Vie, 07/02/2025 – 16:15

Tipo
CWE-94

Gravedad 2.0 Txt
Pendiente de análisis

Título en

CVE-2024-7419

Descripción en
The WP ALL Export Pro plugin for WordPress is vulnerable to Remote Code Execution in all versions up to, and including, 1.9.1 via the custom export fields. This is due to the missing input validation and sanitization of user-supplied data. This makes it possible for unauthenticated attackers to inject arbitrary PHP code into form fields that get executed on the server during the export, potentially leading to a complete site compromise.
As a prerequisite, the custom export field should include fields containing user-supplied data.

07/02/2025
07/02/2025
Vector CVSS:3.1
CVSS:3.1/AV:N/AC:H/PR:N/UI:R/S:C/C:H/I:H/A:H

Gravedad 3.1 (CVSS 3.1 Base Score)
8.30

Gravedad 3.1 Txt Gravedad 3.1 (CVSS 3.1 Base Score)
HIGH

Enviar en el boletín
Off

CVE-2022-26388

CVE-2022-26388

Título es
CVE-2022-26388

Vie, 07/02/2025 – 17:15

Tipo
CWE-259

Gravedad 2.0 Txt
Pendiente de análisis

Título en

CVE-2022-26388

Descripción en
A use of hard-coded password vulnerability may allow authentication abuse.This issue affects ELI 380 Resting Electrocardiograph:

Versions 2.6.0 and prior; ELI 280/BUR280/MLBUR 280 Resting Electrocardiograph:

Versions 2.3.1 and prior; ELI 250c/BUR 250c Resting Electrocardiograph:

Versions 2.1.2 and prior; ELI 150c/BUR 150c/MLBUR 150c Resting Electrocardiograph:

Versions 2.2.0 and prior.

07/02/2025
07/02/2025
Vector CVSS:3.1
CVSS:3.1/AV:P/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:L

Gravedad 3.1 (CVSS 3.1 Base Score)
6.40

Gravedad 3.1 Txt Gravedad 3.1 (CVSS 3.1 Base Score)
MEDIUM

Enviar en el boletín
Off

CVE-2022-26389

CVE-2022-26389

Título es
CVE-2022-26389

Vie, 07/02/2025 – 17:15

Tipo
CWE-284

Gravedad 2.0 Txt
Pendiente de análisis

Título en

CVE-2022-26389

Descripción en
An improper access control vulnerability may allow privilege escalation.This issue affects: 

* ELI 380 Resting Electrocardiograph:

Versions 2.6.0 and prior; 
* ELI 280/BUR280/MLBUR 280 Resting Electrocardiograph:

Versions 2.3.1 and prior; 
* ELI 250c/BUR 250c Resting Electrocardiograph: Versions 2.1.2 and prior; 
* ELI 150c/BUR 150c/MLBUR 150c Resting Electrocardiograph:

Versions 2.2.0 and prior.

07/02/2025
07/02/2025
Vector CVSS:3.1
CVSS:3.1/AV:N/AC:H/PR:L/UI:N/S:C/C:L/I:L/A:H

Gravedad 3.1 (CVSS 3.1 Base Score)
7.70

Gravedad 3.1 Txt Gravedad 3.1 (CVSS 3.1 Base Score)
HIGH

Enviar en el boletín
Off

CVE-2024-7425

CVE-2024-7425

Título es
CVE-2024-7425

Vie, 07/02/2025 – 17:15

Tipo
CWE-94

Gravedad 2.0 Txt
Pendiente de análisis

Título en

CVE-2024-7425

Descripción en
The WP ALL Export Pro plugin for WordPress is vulnerable to unauthorized modification of data that can lead to privilege escalation due to improper user input validation and sanitization in all versions up to, and including, 1.9.1. This makes it possible for authenticated attackers, with Shop Manager-level access and above, to update arbitrary options on the WordPress site. This can be leveraged to update the default role for registration to administrator and enable user registration for attackers to gain administrative user access to a vulnerable site.

07/02/2025
07/02/2025
Vector CVSS:3.1
CVSS:3.1/AV:N/AC:L/PR:H/UI:R/S:U/C:H/I:H/A:H

Gravedad 3.1 (CVSS 3.1 Base Score)
6.80

Gravedad 3.1 Txt Gravedad 3.1 (CVSS 3.1 Base Score)
MEDIUM

Enviar en el boletín
Off

CVE-2025-1104

CVE-2025-1104

Título es
CVE-2025-1104

Vie, 07/02/2025 – 17:15

Tipo
CWE-287

Gravedad v2.0
7.50

Gravedad 2.0 Txt
HIGH

Título en

CVE-2025-1104

Descripción en
A vulnerability has been found in D-Link DHP-W310AV 1.04 and classified as critical. This vulnerability affects unknown code. The manipulation leads to authentication bypass by spoofing. The attack can be initiated remotely. The exploit has been disclosed to the public and may be used.

07/02/2025
07/02/2025
Vector CVSS:4.0
CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:L/VI:L/VA:L/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X

Vector CVSS:3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:L

Vector CVSS:2.0
AV:N/AC:L/Au:N/C:P/I:P/A:P

Gravedad 4.0
6.90

Gravedad 4.0 txt
MEDIUM

Gravedad 3.1 (CVSS 3.1 Base Score)
7.30

Gravedad 3.1 Txt Gravedad 3.1 (CVSS 3.1 Base Score)
HIGH

Enviar en el boletín
Off

CVE-2025-1105

CVE-2025-1105

Título es
CVE-2025-1105

Vie, 07/02/2025 – 18:15

Tipo
CWE-79

Gravedad v2.0
5.00

Gravedad 2.0 Txt
MEDIUM

Título en

CVE-2025-1105

Descripción en
A vulnerability was found in SiberianCMS 4.20.6. It has been rated as problematic. Affected by this issue is some unknown functionality of the file /app/sae/design/desktop/flat of the component HTTP GET Request Handler. The manipulation leads to cross site scripting. The attack may be launched remotely. The exploit has been disclosed to the public and may be used. The vendor was contacted early about this disclosure but did not respond in any way.

07/02/2025
07/02/2025
Vector CVSS:4.0
CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:P/VC:N/VI:L/VA:N/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X

Vector CVSS:3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:N

Vector CVSS:2.0
AV:N/AC:L/Au:N/C:N/I:P/A:N

Gravedad 4.0
5.30

Gravedad 4.0 txt
MEDIUM

Gravedad 3.1 (CVSS 3.1 Base Score)
4.30

Gravedad 3.1 Txt Gravedad 3.1 (CVSS 3.1 Base Score)
MEDIUM

Enviar en el boletín
Off

CVE-2025-0307

CVE-2025-0307

Título es
CVE-2025-0307

Vie, 07/02/2025 – 18:15

Gravedad 2.0 Txt
Pendiente de análisis

Título en

CVE-2025-0307

Descripción en
Rejected reason: This CVE ID has been rejected or withdrawn by its CVE Numbering Authority.

07/02/2025
07/02/2025
Gravedad 3.1 Txt Gravedad 3.1 (CVSS 3.1 Base Score)
Pendiente de análisis

Enviar en el boletín
Off

Estados Unidos evalúa prohibir DeepSeek en agencias federales por riesgos de seguridad nacional

Un grupo de legisladores planea presentar un anteproyecto de ley para prohibir el uso del chatbot de DeepSeek en dispositivos gubernamentales de Estados Unidos. La coalición bipartidista sostiene que esta aplicación basada en inteligencia artificial (IA) podría estar proporcionando información sensible sobre sus suscriptores al Gobierno de China.

La iniciativa ha sido redactada por Darin LaHood, congresista republicano de Illinois, y Josh Gottheimer, su homólogo demócrata de Nueva Jersey. Se fundamenta en los mismos principios que llevaron al Congreso a restringir el uso de TikTok en equipos informáticos estatales, hace casi dos años. Los argumentos de la propuesta se basan en una investigación realizada por la consultora de ciberseguridad Feroot Security, según informa The Wall Street Journal.


DeepSeek OpenAI 2195560158
Estados Unidos acusa que DeepSeek usó los modelos de OpenAI para entrenar a su IA

DeepSeek-R1 es un modelo “open-weight”, lo que significa que puede reutilizarse sin restricciones. Pero sus datos de entrenamiento no están disponibles.


La firma de seguridad digital identificó irregularidades en el código fuente de DeepSeek que sugieren que la compañía captura y envía datos de los usuarios a los servidores de China Mobile, una entidad estatal de telecomunicaciones. El análisis también reveló que la aplicación de IA incorpora mecanismos de seguimiento capaces de registrar las pulsaciones en la pantalla de los dispositivos. Esta táctica es utilizada de forma habitual por los servicios de interacción digital para monitorear la actividad de los individuos fuera de sus plataformas y ajustar sus estrategias comerciales.

Pese a ello, en el caso de DeepSeek, los especialistas advierten que estos registros se transfieren al Gobierno chino, lo que podría facilitar tareas de espionaje. Ivan Tsarynny, CEO de Feroot Security, afirmó en una entrevista con ABC News que la cantidad de datos que esta corporación comparte con la infraestructura gubernamental china es inédita.

La empresa asiática reconoce en su política de privacidad que almacena la información de sus suscriptores “en servidores seguros ubicados en la República Popular China” con el propósito de optimizar el funcionamiento de sus soluciones. Hasta ahora, se desconocía la identidad de la organización que administra estos centros de datos.

DeepSeek es investigada por varios países

Los legisladores estadounidenses han tomado los hallazgos de Feroot Security como evidencia de que el Gobierno chino podría utilizar DeepSeek para llevar a cabo prácticas de vigilancia encubiertas y difundir desinformación.

“El Partido Comunista Chino (PCC) ha dejado claro que utilizará cualquier recurso a su alcance para socavar nuestra seguridad nacional, difundir información perjudicial y recopilar datos sobre los estadounidenses. No podemos permitir que el PCC infiltre los dispositivos de nuestros funcionarios gubernamentales”, subraya Gottheimer.



El proyecto de ley aún se encuentra en una fase preliminar. Se espera que la versión definitiva sea elaborada por el Comité Selecto de Inteligencia de la Cámara de Representantes. Los analistas señalan que es altamente probable que la normativa sea aprobada en los próximos meses, al tratarse de un esfuerzo bipartidista. “Esta legislación de sentido común prohibirá la aplicación de DeepSeek en los teléfonos de los trabajadores federales al tiempo que cierra las operaciones ocultas que la compañía busca aprovechar. Es fundamental que el Congreso proteja los datos de los estadounidenses y continúe asegurando el liderazgo estadounidense en la industria de la IA”, argumenta LaHood.

La aplicación de DeepSeek ha sido descargada más de 2.6 millones de veces y cuenta con una base de 6 millones de usuarios a nivel mundial. Las autoridades de protección de datos en varios países europeos han iniciado investigaciones para determinar si la plataforma cumple con las normativas adecuadas en el manejo de la información de sus suscriptores. La Autoridad Italiana de Protección de Datos ha abierto una averiguación formal que obliga a la plataforma a revelar qué datos personales recopila y con qué propósito.

CVE-2025-25069

CVE-2025-25069

Título es
CVE-2025-25069

Vie, 07/02/2025 – 13:15

Tipo
CWE-115

Gravedad 2.0 Txt
Pendiente de análisis

Título en

CVE-2025-25069

Descripción en
A Cross-Protocol Scripting vulnerability is found in Apache Kvrocks.

Since Kvrocks didn't detect if "Host:" or "POST" appears in RESP requests,
a valid HTTP request can also be sent to Kvrocks as a valid RESP request
and trigger some database operations, which can be dangerous when
it is chained with SSRF.

It is similiar to CVE-2016-10517 in Redis.

This issue affects Apache Kvrocks: from the initial version to the latest version 2.11.0.

Users are recommended to upgrade to version 2.11.1, which fixes the issue.

07/02/2025
07/02/2025
Gravedad 3.1 Txt Gravedad 3.1 (CVSS 3.1 Base Score)
Pendiente de análisis

Enviar en el boletín
Off

CVE-2025-1108

CVE-2025-1108

Título es
CVE-2025-1108

Vie, 07/02/2025 – 14:15

Tipo
CWE-345

Gravedad 2.0 Txt
Pendiente de análisis

Título en

CVE-2025-1108

Descripción en
Insufficient data authenticity verification vulnerability in Janto, versions prior to r12. This allows an unauthenticated attacker to modify the content of emails sent to reset the password. To exploit the vulnerability, the attacker must create a POST request by injecting malicious content into the ‘Xml’ parameter on the ‘/public/cgi/Gateway.php’ endpoint.

07/02/2025
07/02/2025
Vector CVSS:3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:N/I:H/A:N

Gravedad 3.1 (CVSS 3.1 Base Score)
8.60

Gravedad 3.1 Txt Gravedad 3.1 (CVSS 3.1 Base Score)
HIGH

Referencias
  • https://www.incibe.es/en/incibe-cert/notices/aviso/multiple-vulnerabilities-janto

  • Enviar en el boletín
    Off