CVE-2025-24888

CVE-2025-24888

Título es
CVE-2025-24888

Jue, 13/02/2025 – 18:18

Tipo
CWE-22

Gravedad 2.0 Txt
Pendiente de análisis

Título en

CVE-2025-24888

Descripción en
The SecureDrop Client is a desktop application for journalists to communicate with sources and work with submissions on the SecureDrop Workstation. Prior to version 0.14.1, a malicious SecureDrop Server could obtain code execution on the SecureDrop Client virtual machine (`sd-app`). SecureDrop Server itself has multiple layers of built-in hardening, and is a dedicated physical machine exposed on the internet only via Tor hidden services for the Source and Journalist interfaces, and optionally via remote SSH access over another Tor hidden service. A newsroom's SecureDrop Workstation communicates only with its own dedicated SecureDrop Server.

The SecureDrop Client runs in a dedicated Qubes virtual machine, named `sd-app`, as part of the SecureDrop Workstation. The private OpenPGP key used to decrypt submissions and replies is stored in a separate virtual machine and never accessed directly. The vulnerability lies in the code responsible for downloading replies. The filename of the reply is obtained from the `Content-Disposition` HTTP header and used to write the encrypted reply on disk. Note that filenames are generated and sanitized server-side, and files are downloaded in an encrypted format, so a remote attacker who has not achieved server compromise, such as one posing as a source, could not craft the HTTP response necessary for this attack.

While the filename is later checked to guard against path traversal before being moved into the Client’s data storage directory, the file has already been written to a potentially arbitrary location. In this case, `safe_move()` would detect the path traversal and fail, leaving the original downloaded file in the attacker-chosen directory. Code execution can be gained by writing an autostart file in `/home/user/.config/autostart/`.

Version 0.14.1 fixes the issue. As of time of publication, there is no known evidence of exploitation in the wild. This attack requires a previously compromised SecureDrop Server.

13/02/2025
13/02/2025
Vector CVSS:3.1
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H

Gravedad 3.1 (CVSS 3.1 Base Score)
8.10

Gravedad 3.1 Txt Gravedad 3.1 (CVSS 3.1 Base Score)
HIGH

Enviar en el boletín
Off

Los conspiranoicos del covid-19 resurgen cobijados por los recortes del gobierno en EE UU

La semana pasada, Elon Musk bombardeó X con una serie de tuits en los que declaraba que la Agencia para el Desarrollo Internacional (USAID, por sus siglas en inglés) era un «nido de víboras radicales de izquierda que odian a Estados Unidos» y que era «pura maldad». Apuntó que uno de los peores pecados del organismo global fue su papel en el inicio de la pandemia.

«¿Sabías que USAID usó el dinero de TUS impuestos y financió la investigación de armas biológicas, incluido el covid-19, que mató a millones de personas», rezaba el tuit. Varios de los otros altos cargos de Trump también han pregonado la teoría de que el covid-19 no es solo resultado de una filtración de laboratorio, sino producto de la ingeniería genética, y quizás un arma biológica, creada a partir de la financiación estadounidense. Esta creencia, que ha sido constantemente refutada, se convirtió en una prioridad para la nueva administración.

La lista de personas que respaldan esta teoría u otras similares es larga. Está Musk, el director del Departamento de Eficiencia Gubernamental (DOGE); Robert F. Kennedy Jr., que probablemente será ratificado como el director del Departamento de Salud y Servicios Humanos (HHS, por sus siglas en inglés); Tulsi Gabbard, la recién confirmada directora de inteligencia nacional; y Jay Bhattacharya, director entrante de los Institutos Nacionales de Salud (NIH, por sus siglas en inglés). De igual forma, el director de la CIA, John Ratcliffe, reforzó la afirmación de que el covid-19 se filtró desde un laboratorio estatal de Wuhan, pero se ha abstenido de calificarlo de arma biológica.

Y luego están los republicanos de ambas cámaras del Congreso, que se han pasado los últimos cuatros años citando testigos, exigiendo documentos y alegando que el gobierno de EE UU era responsable de la pandemia. La nueva administración ha manifestado su intención de restringir la investigación sobre enfermedades infecciosas, prohibir una amplia gama de trabajos virológicos, e incluso de procesar aquellos que pudieron crear la pandemia de Covid-19. Como lo describe un ex miembro de los Centros para el Control y la Prevención de Enfermedades (CDC) a WIRED: «Es una venganza».


Image may contain: Flag, Text, and Banner
Crisis humanitaria: el cierre de USAID en EE UU pone en peligro millones de vidas

Con el cierre de la Agencia de los Estados Unidos para el Desarrollo Internacional quedarán en vilo los programas de investigación sobre el VIH.


La toma del poder

El año pasado, el economista Peter Navarro escribió un libro en el que exponía la agenda para un segundo mandato de Trump: “Durante su segunda administración, el presidente llegará al fondo de los orígenes de covid-19 y se asegurará de que todas las partes responsables de causar la pandemia y luego encubrir sus orígenes sean consideradas financiera y penalmente responsables de sus acciones», Navarro, ahora asesor principal de comercio de Trump, añadió que el mandatario debería «usar su autoridad constitucional» para ordenar al Departamento de Justicia (DOJ, por sus siglas en inglés) y a la Oficina Federal de Investigación, que investiguen a Fauci y a otros científicos investigadores por su papel en la creación del covid-19: «Serán procesados con todo el peso de la ley y serán legalmente responsables de cualquier costo que hayan ayudado a infligir».

WIRED ha hablado con varios científicos familiarizados con las agencias y departamentos que se ocupan de virología, epidemiología y salud pública, incluidos los Institutos Nacionales de Salud de Estados Unidos (NIH), los CDC y USAID; en los últimos días, algunos especialistas se han visto obligados a renunciar. Todas las fuentes solicitaron el anonimato por temor a represalias personales o profesionales.

Varias fuentes confirmaron que los equipos del DOGE de Musk han estado visitando los NIH y los CDC este mes. Una fuente nos proporcionó un listado de personal de Luke Farritor, antiguo becario de SpaceX. Revela que Farritor está designado como empleado dentro del HHS, como informó en primer lugar Politico, sin habilitación de seguridad. Su función figura como «ingeniero ejecutivo-EO». Los científicos, dentro y fuera del gobierno, están haciendo copias de seguridad de bases de datos e investigaciones críticas, temerosos de que la nueva administración pretenda desconectar los archivos.

CVE-2025-26568

CVE-2025-26568

Título es
CVE-2025-26568

Jue, 13/02/2025 – 14:16

Tipo
CWE-352

Gravedad 2.0 Txt
Pendiente de análisis

Título en

CVE-2025-26568

Descripción en
Cross-Site Request Forgery (CSRF) vulnerability in jensmueller Easy Amazon Product Information allows Stored XSS. This issue affects Easy Amazon Product Information: from n/a through 4.0.1.

13/02/2025
13/02/2025
Vector CVSS:3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:L

Gravedad 3.1 (CVSS 3.1 Base Score)
7.10

Gravedad 3.1 Txt Gravedad 3.1 (CVSS 3.1 Base Score)
HIGH

Enviar en el boletín
Off

CVE-2025-26578

CVE-2025-26578

Título es
CVE-2025-26578

Jue, 13/02/2025 – 14:16

Tipo
CWE-352

Gravedad 2.0 Txt
Pendiente de análisis

Título en

CVE-2025-26578

Descripción en
Cross-Site Request Forgery (CSRF) vulnerability in mathieuhays Simple Documentation allows Stored XSS. This issue affects Simple Documentation: from n/a through 1.2.8.

13/02/2025
13/02/2025
Vector CVSS:3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:L

Gravedad 3.1 (CVSS 3.1 Base Score)
7.10

Gravedad 3.1 Txt Gravedad 3.1 (CVSS 3.1 Base Score)
HIGH

Enviar en el boletín
Off

CVE-2025-26577

CVE-2025-26577

Título es
CVE-2025-26577

Jue, 13/02/2025 – 14:16

Tipo
CWE-352

Gravedad 2.0 Txt
Pendiente de análisis

Título en

CVE-2025-26577

Descripción en
Cross-Site Request Forgery (CSRF) vulnerability in daxiawp DX-auto-publish allows Stored XSS. This issue affects DX-auto-publish: from n/a through 1.2.

13/02/2025
13/02/2025
Vector CVSS:3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:L

Gravedad 3.1 (CVSS 3.1 Base Score)
7.10

Gravedad 3.1 Txt Gravedad 3.1 (CVSS 3.1 Base Score)
HIGH

Enviar en el boletín
Off

CVE-2025-26574

CVE-2025-26574

Título es
CVE-2025-26574

Jue, 13/02/2025 – 14:16

Tipo
CWE-79

Gravedad 2.0 Txt
Pendiente de análisis

Título en

CVE-2025-26574

Descripción en
Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') vulnerability in Moch Amir Google Drive WP Media allows Stored XSS. This issue affects Google Drive WP Media: from n/a through 2.4.4.

13/02/2025
13/02/2025
Vector CVSS:3.1
CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:L

Gravedad 3.1 (CVSS 3.1 Base Score)
6.50

Gravedad 3.1 Txt Gravedad 3.1 (CVSS 3.1 Base Score)
MEDIUM

Enviar en el boletín
Off

CVE-2025-26572

CVE-2025-26572

Título es
CVE-2025-26572

Jue, 13/02/2025 – 14:16

Tipo
CWE-352

Gravedad 2.0 Txt
Pendiente de análisis

Título en

CVE-2025-26572

Descripción en
Cross-Site Request Forgery (CSRF) vulnerability in jesseheap WP PHPList allows Cross Site Request Forgery. This issue affects WP PHPList: from n/a through 1.7.

13/02/2025
13/02/2025
Vector CVSS:3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:L

Gravedad 3.1 (CVSS 3.1 Base Score)
7.10

Gravedad 3.1 Txt Gravedad 3.1 (CVSS 3.1 Base Score)
HIGH

Enviar en el boletín
Off

CVE-2025-26571

CVE-2025-26571

Título es
CVE-2025-26571

Jue, 13/02/2025 – 14:16

Tipo
CWE-352

Gravedad 2.0 Txt
Pendiente de análisis

Título en

CVE-2025-26571

Descripción en
Cross-Site Request Forgery (CSRF) vulnerability in wibiya Wibiya Toolbar allows Cross Site Request Forgery. This issue affects Wibiya Toolbar: from n/a through 2.0.

13/02/2025
13/02/2025
Vector CVSS:3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:L

Gravedad 3.1 (CVSS 3.1 Base Score)
7.10

Gravedad 3.1 Txt Gravedad 3.1 (CVSS 3.1 Base Score)
HIGH

Enviar en el boletín
Off

CVE-2025-26570

CVE-2025-26570

Título es
CVE-2025-26570

Jue, 13/02/2025 – 14:16

Tipo
CWE-352

Gravedad 2.0 Txt
Pendiente de análisis

Título en

CVE-2025-26570

Descripción en
Cross-Site Request Forgery (CSRF) vulnerability in uamv Glance That allows Cross Site Request Forgery. This issue affects Glance That: from n/a through 4.9.

13/02/2025
13/02/2025
Vector CVSS:3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:L

Gravedad 3.1 (CVSS 3.1 Base Score)
7.10

Gravedad 3.1 Txt Gravedad 3.1 (CVSS 3.1 Base Score)
HIGH

Enviar en el boletín
Off

CVE-2025-26569

CVE-2025-26569

Título es
CVE-2025-26569

Jue, 13/02/2025 – 14:16

Tipo
CWE-352

Gravedad 2.0 Txt
Pendiente de análisis

Título en

CVE-2025-26569

Descripción en
Cross-Site Request Forgery (CSRF) vulnerability in callmeforsox Post Thumbs allows Stored XSS. This issue affects Post Thumbs: from n/a through 1.5.

13/02/2025
13/02/2025
Vector CVSS:3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:L

Gravedad 3.1 (CVSS 3.1 Base Score)
7.10

Gravedad 3.1 Txt Gravedad 3.1 (CVSS 3.1 Base Score)
HIGH

Enviar en el boletín
Off