CVE-2025-27417

CVE-2025-27417

Título es
CVE-2025-27417

Lun, 03/03/2025 – 16:15

Tipo
CWE-79

Gravedad 2.0 Txt
Pendiente de análisis

Título en

CVE-2025-27417

Descripción en
WeGIA is an open source Web Manager for Institutions with a focus on Portuguese language users. A Stored Cross-Site Scripting (XSS) vulnerability was identified in the adicionar_status_atendido.php endpoint of the WeGIA application. This vulnerability allows attackers to inject malicious scripts into the status parameter. The injected scripts are stored on the server and executed automatically whenever the affected page is accessed by users, posing a significant security risk. This vulnerability is fixed in 3.2.16.

03/03/2025

03/03/2025

Vector CVSS:4.0
CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:A/VC:L/VI:L/VA:N/SC:H/SI:H/SA:H/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X

Gravedad 4.0
6.40

Gravedad 4.0 txt
MEDIUM

Gravedad 3.1 Txt Gravedad 3.1 (CVSS 3.1 Base Score)
Pendiente de análisis

Referencias


  • https://github.com/LabRedesCefetRJ/WeGIA/commit/0f2644bca2afbdfff21662c51a64679dfba8c2bd

  • https://github.com/LabRedesCefetRJ/WeGIA/security/advisories/GHSA-j3p8-xww6-wvqh
  • Enviar en el boletín
    Off

    CVE-2025-27099

    CVE-2025-27099

    Título es
    CVE-2025-27099

    Lun, 03/03/2025 – 16:15

    Tipo
    CWE-79

    Gravedad 2.0 Txt
    Pendiente de análisis

    Título en

    CVE-2025-27099

    Descripción en
    Tuleap is an Open Source Suite to improve management of software developments and collaboration. Tuleap allows cross-site scripting (XSS) via the tracker names used in the semantic timeframe deletion message. A tracker administrator with a semantic timeframe used by other trackers could use this vulnerability to force other tracker administrators to execute uncontrolled code. This vulnerability is fixed in Tuleap Community Edition 16.4.99.1740067916 and Tuleap Enterprise Edition 16.4-5 and 16.3-10.

    03/03/2025

    03/03/2025

    Vector CVSS:3.1
    CVSS:3.1/AV:N/AC:L/PR:H/UI:R/S:C/C:N/I:L/A:L

    Gravedad 3.1 (CVSS 3.1 Base Score)
    4.80

    Gravedad 3.1 Txt Gravedad 3.1 (CVSS 3.1 Base Score)
    MEDIUM

    Referencias


  • https://github.com/Enalean/tuleap/commit/bec10bd5c98f6570a2857f55e9656eec4b211e6c

  • https://github.com/Enalean/tuleap/security/advisories/GHSA-vqfj-2gqp-g89x

  • https://tuleap.net/plugins/tracker/?aid=41858
  • Enviar en el boletín
    Off

    CVE-2025-27094

    CVE-2025-27094

    Título es
    CVE-2025-27094

    Lun, 03/03/2025 – 16:15

    Tipo
    CWE-440

    Gravedad 2.0 Txt
    Pendiente de análisis

    Título en

    CVE-2025-27094

    Descripción en
    Tuleap is an open-source suite designed to improve software development management and collaboration. A malicious user with access to a tracker could force-reset certain field configurations, leading to potential information loss. The display time attribute for the date field, the size attribute for the multiselectbox field, the default value, number of rows, and columns attributes for the text field, and the default value, size, and max characters attributes for the string field configurations are lost when added as criteria in a saved report. Additionally, in Tuleap Community Edition versions 16.4.99.1739806825 to 16.4.99.1739877910, this issue could be exploited to prevent access to tracker data by triggering a crash. This vulnerability has been fixed in Tuleap Community Edition 16.4.99.1739877910 and Tuleap Enterprise Edition 16.3-9 and 16.4-4.

    03/03/2025

    03/03/2025

    Vector CVSS:3.1
    CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:L/A:L

    Gravedad 3.1 (CVSS 3.1 Base Score)
    5.40

    Gravedad 3.1 Txt Gravedad 3.1 (CVSS 3.1 Base Score)
    MEDIUM

    Referencias


  • https://github.com/Enalean/tuleap/commit/ef650abb4a28359a3228d6e1102a742f7c013150

  • https://github.com/Enalean/tuleap/security/advisories/GHSA-r85g-9wjx-pw7f

  • https://tuleap.net/plugins/tracker/?aid=41849
  • Enviar en el boletín
    Off

    CVE-2025-27420

    CVE-2025-27420

    Título es
    CVE-2025-27420

    Lun, 03/03/2025 – 16:15

    Tipo
    CWE-79

    Gravedad 2.0 Txt
    Pendiente de análisis

    Título en

    CVE-2025-27420

    Descripción en
    WeGIA is an open source Web Manager for Institutions with a focus on Portuguese language users. A Stored Cross-Site Scripting (XSS) vulnerability was identified in the atendido_parentesco_adicionar.php endpoint of the WeGIA application. This vulnerability allows attackers to inject malicious scripts into the descricao parameter. The injected scripts are stored on the server and executed automatically whenever the affected page is accessed by users, posing a significant security risk. This vulnerability fix in 3.2.16.

    03/03/2025

    03/03/2025

    Vector CVSS:4.0
    CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:A/VC:L/VI:L/VA:N/SC:H/SI:H/SA:H/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X

    Gravedad 4.0
    6.40

    Gravedad 4.0 txt
    MEDIUM

    Gravedad 3.1 Txt Gravedad 3.1 (CVSS 3.1 Base Score)
    Pendiente de análisis

    Referencias


  • https://github.com/LabRedesCefetRJ/WeGIA/commit/add78bb177cbb29477ff2121b533651a9d673918

  • https://github.com/LabRedesCefetRJ/WeGIA/security/advisories/GHSA-x3wr-75qx-55cw
  • Enviar en el boletín
    Off

    CVE-2025-27419

    CVE-2025-27419

    Título es
    CVE-2025-27419

    Lun, 03/03/2025 – 16:15

    Tipo
    CWE-770

    Gravedad 2.0 Txt
    Pendiente de análisis

    Título en

    CVE-2025-27419

    Descripción en
    WeGIA is an open source Web Manager for Institutions with a focus on Portuguese language users. A Denial of Service (DoS) vulnerability exists in WeGIA. This vulnerability allows any unauthenticated user to cause the server to become unresponsive by performing aggressive spidering. The vulnerability is caused by recursive crawling of dynamically generated URLs and insufficient handling of large volumes of requests. This vulnerability is fixed in 3.2.16.

    03/03/2025

    03/03/2025

    Vector CVSS:4.0
    CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:N/VA:H/SC:N/SI:N/SA:H/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X

    Gravedad 4.0
    9.20

    Gravedad 4.0 txt
    CRITICAL

    Gravedad 3.1 Txt Gravedad 3.1 (CVSS 3.1 Base Score)
    Pendiente de análisis

    Referencias


  • https://github.com/LabRedesCefetRJ/WeGIA/commit/624ddfadb3fd8f8b30ad4f601b032a9bacc86a39

  • https://github.com/LabRedesCefetRJ/WeGIA/security/advisories/GHSA-9rp6-4mqp-g4p8
  • Enviar en el boletín
    Off

    ¿Cómo saber si están usando o espiando tu Facebook desde otro dispositivo?

    Facebook se ha convertido en un objetivo atractivo para el espionaje ilegal y el seguimiento no autorizado. Como la red social más utilizada en el mundo, con más de 3,000 millones de usuarios activos mensuales, concentra una gran cantidad de información personal de sus suscriptores.

    Un estudio de la consultora The Competitive Intelligence Unit revela que siete de cada diez mexicanos han revisado el celular de su pareja. El 27.7% lo ha hecho sin el consentimiento del otro. Facebook es una de las plataformas digitales más utilizadas para este tipo de prácticas.

    En respuesta a estos riesgos, Meta ha reforzado la seguridad de Facebook con funciones diseñadas para detectar accesos no autorizados y herramientas que permiten a los usuarios proteger la privacidad de sus perfiles.


    Logo en pantalla de WhatsApp.
    Los estados de WhatsApp también aparecerán en Facebook e Instagram

    WhatsApp está desarrollando nuevas funciones; una de ellas es la posibilidad de compartir estados con otras plataformas como Facebook e Instagram.


    ¿Cómo identificar accesos no autorizados en Facebook?

    Facebook ofrece la posibilidad de activar alertas de inicio de sesión para notificar a los usuarios cuando alguien intenta acceder a su cuenta desde un dispositivo o ubicación inusual. Para habilitar esta función, es necesario seguir estos pasos:

    • Acceder al apartado «Configuración y privacidad» en el menú desplegable al hacer clic en la foto de perfil.
    • Seleccionar «Centro de cuentas» y luego «Contraseña y seguridad».
    • Ubicar la opción «Alertas de inicio de sesión» y elegir cómo recibir las notificaciones: por correo electrónico o mediante una alerta en Facebook en un dispositivo reconocido.

    Si se detecta un acceso no autorizado, se recomienda seleccionar la opción “No fui yo” para recibir asistencia. Facebook indica que es posible “guardar un dispositivo o un navegador en tu lista de navegadores de confianza o dispositivos reconocidos. De esta manera, no recibirás alertas relacionadas con la computadora o el dispositivo móvil que utilizas habitualmente para iniciar sesión en Facebook. No selecciones esta opción si usas una computadora pública”.

    Para agregar dispositivos y navegadores a la lista de confianza, se debe activar la autenticación en dos pasos. Solo sigue estos pasos:

    • Acceder a «Configuración» y dirigirse a «Contraseña y seguridad».
    • Seleccionar «Autenticación en dos pasos».
    • Elegir la cuenta a proteger y definir un método de seguridad, que puede ser una clave en un dispositivo compatible o códigos de inicio de sesión enviados por SMS.

    ¿Cómo bloquear un acceso no autorizado de manera remota?

    Si se detecta un ingreso sospechoso, es posible cerrar la sesión de Facebook en dispositivos desconocidos siguiendo estos pasos:

    • Ir a «Configuración de seguridad e inicio de sesión».
    • Hacer clic en «Centro de cuentas» y luego en «Contraseña y seguridad».
    • Seleccionar «Dónde iniciaste sesión» y elegir la cuenta para ver las sesiones activas.
    • Identificar la sesión sospechosa y seleccionar «Cerrar sesión».
    • Para cerrar varias sesiones simultáneamente, seleccionar «Seleccionar dispositivos para cerrar sesión» y marcar las opciones deseadas.
    • Al hacer clic en «Salir», la sesión de Facebook en ese dispositivo se cerrará inmediatamente.

    Opciones de seguridad y privacidad en Facebook

    Facebook ofrece un generador de códigos de seguridad, una herramienta que, junto con la autenticación en dos pasos, genera códigos de seis dígitos para verificar la identidad del usuario al iniciar sesión en dispositivos o navegadores nuevos. Estos códigos se actualizan cada 30 o 60 segundos y pueden utilizarse incluso sin conexión a internet. Si un código falla, es posible restablecer el generador desde el dispositivo móvil. Esta herramienta se activa automáticamente al habilitar la verificación de identidad en dos pasos.

    La red social también cuenta con un «Centro de privacidad», un apartado donde los usuarios pueden revisar rápidamente sus controles de seguridad. Para acceder, hay que ingresar a «Privacidad» en el menú de «Ajustes», y seleccionar «Revisión de Privacidad». Aquí se presentan recomendaciones para ajustar permisos y controlar la información compartida en la plataforma.

    CVE-2025-27274

    CVE-2025-27274

    Título es
    CVE-2025-27274

    Lun, 03/03/2025 – 14:15

    Tipo
    CWE-35

    Gravedad 2.0 Txt
    Pendiente de análisis

    Título en

    CVE-2025-27274

    Descripción en
    Path Traversal vulnerability in NotFound GPX Viewer allows Path Traversal. This issue affects GPX Viewer: from n/a through 2.2.11.

    03/03/2025

    03/03/2025

    Vector CVSS:3.1
    CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:N/A:N

    Gravedad 3.1 (CVSS 3.1 Base Score)
    4.90

    Gravedad 3.1 Txt Gravedad 3.1 (CVSS 3.1 Base Score)
    MEDIUM

    Referencias


  • https://patchstack.com/database/wordpress/plugin/gpx-viewer/vulnerability/wordpress-gpx-viewer-plugin-2-2-11-path-traversal-vulnerability?_s_id=cve
  • Enviar en el boletín
    Off

    CVE-2025-27273

    CVE-2025-27273

    Título es
    CVE-2025-27273

    Lun, 03/03/2025 – 14:15

    Tipo
    CWE-79

    Gravedad 2.0 Txt
    Pendiente de análisis

    Título en

    CVE-2025-27273

    Descripción en
    Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') vulnerability in winking Affiliate Links Manager allows Reflected XSS. This issue affects Affiliate Links Manager: from n/a through 1.0.

    03/03/2025

    03/03/2025

    Vector CVSS:3.1
    CVSS:3.1/AV:N/AC:H/PR:N/UI:R/S:C/C:L/I:L/A:L

    Gravedad 3.1 (CVSS 3.1 Base Score)
    5.80

    Gravedad 3.1 Txt Gravedad 3.1 (CVSS 3.1 Base Score)
    MEDIUM

    Referencias


  • https://patchstack.com/database/wordpress/plugin/affiliate-links-manager/vulnerability/wordpress-affiliate-links-manager-plugin-1-0-reflected-cross-site-scripting-xss-vulnerability?_s_id=cve
  • Enviar en el boletín
    Off

    CVE-2025-27271

    CVE-2025-27271

    Título es
    CVE-2025-27271

    Lun, 03/03/2025 – 14:15

    Tipo
    CWE-79

    Gravedad 2.0 Txt
    Pendiente de análisis

    Título en

    CVE-2025-27271

    Descripción en
    Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') vulnerability in NotFound DB Tables Import/Export allows Reflected XSS. This issue affects DB Tables Import/Export: from n/a through 1.0.1.

    03/03/2025

    03/03/2025

    Vector CVSS:3.1
    CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:L

    Gravedad 3.1 (CVSS 3.1 Base Score)
    7.10

    Gravedad 3.1 Txt Gravedad 3.1 (CVSS 3.1 Base Score)
    HIGH

    Referencias


  • https://patchstack.com/database/wordpress/plugin/db-tables-importexport/vulnerability/wordpress-db-tables-import-export-plugin-1-0-1-reflected-cross-site-scripting-xss-vulnerability?_s_id=cve
  • Enviar en el boletín
    Off

    CVE-2025-27270

    CVE-2025-27270

    Título es
    CVE-2025-27270

    Lun, 03/03/2025 – 14:15

    Tipo
    CWE-862

    Gravedad 2.0 Txt
    Pendiente de análisis

    Título en

    CVE-2025-27270

    Descripción en
    Missing Authorization vulnerability in NotFound Residential Address Detection allows Privilege Escalation. This issue affects Residential Address Detection: from n/a through 2.5.4.

    03/03/2025

    03/03/2025

    Vector CVSS:3.1
    CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

    Gravedad 3.1 (CVSS 3.1 Base Score)
    9.80

    Gravedad 3.1 Txt Gravedad 3.1 (CVSS 3.1 Base Score)
    CRITICAL

    Referencias


  • https://patchstack.com/database/wordpress/plugin/residential-address-detection/vulnerability/wordpress-residential-address-detection-plugin-2-5-4-arbitrary-option-update-to-privilege-escalation-vulnerability?_s_id=cve
  • Enviar en el boletín
    Off