CVE-2024-13881

CVE-2024-13881

Título es
CVE-2024-13881

Jue, 20/03/2025 – 06:15

Gravedad 2.0 Txt
Pendiente de análisis

Título en

CVE-2024-13881

Descripción en
The Link My Posts WordPress plugin through 1.0 does not sanitise and escape a parameter before outputting it back in the page, leading to a Reflected Cross-Site Scripting which could be used against high privilege users such as admin.

20/03/2025
20/03/2025
Gravedad 3.1 Txt Gravedad 3.1 (CVSS 3.1 Base Score)
Pendiente de análisis

Enviar en el boletín
Off

CVE-2024-13880

CVE-2024-13880

Título es
CVE-2024-13880

Jue, 20/03/2025 – 06:15

Gravedad 2.0 Txt
Pendiente de análisis

Título en

CVE-2024-13880

Descripción en
The My Quota WordPress plugin through 1.0.8 does not sanitise and escape a parameter before outputting it back in the page, leading to a Reflected Cross-Site Scripting which could be used against high privilege users such as admin.

20/03/2025
20/03/2025
Gravedad 3.1 Txt Gravedad 3.1 (CVSS 3.1 Base Score)
Pendiente de análisis

Enviar en el boletín
Off

CVE-2024-13878

CVE-2024-13878

Título es
CVE-2024-13878

Jue, 20/03/2025 – 06:15

Gravedad 2.0 Txt
Pendiente de análisis

Título en

CVE-2024-13878

Descripción en
The SpotBot WordPress plugin through 0.1.8 does not sanitise and escape a parameter before outputting it back in the page, leading to a Reflected Cross-Site Scripting which could be used against high privilege users such as admin.

20/03/2025
20/03/2025
Gravedad 3.1 Txt Gravedad 3.1 (CVSS 3.1 Base Score)
Pendiente de análisis

Enviar en el boletín
Off

CVE-2024-13877

CVE-2024-13877

Título es
CVE-2024-13877

Jue, 20/03/2025 – 06:15

Gravedad 2.0 Txt
Pendiente de análisis

Título en

CVE-2024-13877

Descripción en
The Passbeemedia Web Push Notification WordPress plugin through 1.0.0 does not sanitise and escape a parameter before outputting it back in the page, leading to a Reflected Cross-Site Scripting which could be used against high privilege users such as admin.

20/03/2025
20/03/2025
Gravedad 3.1 Txt Gravedad 3.1 (CVSS 3.1 Base Score)
Pendiente de análisis

Enviar en el boletín
Off

CVE-2025-30259

CVE-2025-30259

Título es
CVE-2025-30259

Jue, 20/03/2025 – 00:15

Gravedad 2.0 Txt
Pendiente de análisis

Título en

CVE-2025-30259

Descripción en
The WhatsApp cloud service before late 2024 did not block certain crafted PDF content that can defeat a sandbox protection mechanism and consequently allow remote access to messaging applications by third parties, as exploited in the wild in 2024 for installation of Android malware associated with BIGPRETZEL.

20/03/2025

20/03/2025

Vector CVSS:3.1
CVSS:3.1/AV:N/AC:H/PR:L/UI:N/S:C/C:L/I:N/A:N

Gravedad 3.1 (CVSS 3.1 Base Score)
3.50

Gravedad 3.1 Txt Gravedad 3.1 (CVSS 3.1 Base Score)
LOW

Referencias

  • Virtue or Vice? A First Look at Paragon’s Proliferating Spyware Operations



  • https://www.bleepingcomputer.com/news/security/whatsapp-patched-zero-day-flaw-used-in-paragon-spyware-attacks/
  • Enviar en el boletín
    Off

    Amazon podrá escuchar todo lo que le digas a tu dispositivo Echo con Alexa+ a partir del 28 de marzo

    Desde que Amazon anunció sus planes para una versión de Alexa basada en inteligencia artificialm generativa, surgieron preocupaciones sobre la privacidad de los usuarios. Con el lanzamiento de Alexa+ en los dispositivos Echo de Amazon en las próximas semanas, tenemos una visión más clara de las concesiones de privacidad que los usuarios tendrán que hacer para aprovechar al máximo el asistente de voz y evitar que sus dispositivos ya comprados pierdan funcionalidad.

    En un correo electrónico enviado hoy a los clientes, Amazon informó que los usuarios de Echo ya no podrán configurar sus dispositivos para procesar las solicitudes de Alexa de manera local y, por lo tanto, evitar el envío de grabaciones de voz a la nube de Amazon. Al parecer, el correo fue enviado a usuarios que tenían activada la opción «No enviar grabaciones de voz», una configuración disponible en el Echo (cuarta generación), Echo Show 15 y Echo Show 10. A partir del 28 de marzo, todas las grabaciones de comandos hablados a Alexa en los altavoces Echo y pantallas inteligentes serán enviadas automáticamente a Amazon y procesadas en la nube.

    Intentando justificar el cambio, el correo de Amazon explicó: «A medida que continuamos expandiendo las capacidades de Alexa con funciones de inteligencia artificial generativa que dependen del poder de procesamiento de la nube segura de Amazon, hemos decidido dejar de admitir esta función.»

    Una de las características más promocionadas de Alexa+ es su capacidad mejorada para reconocer quién está hablándole, una función conocida como Alexa Voice ID. Para hacer posible esta función, Amazon está eliminando una característica centrada en la privacidad para todos los usuarios de Echo, incluso para aquellos que no están interesados en la versión basada en suscripción de Alexa o que quieran usar Alexa+ sin la capacidad de reconocimiento de voz.


    Logo de ChatGPT
    El Modo de voz avanzado de ChatGPT ya está disponible en la Unión Europea

    El paquete de funciones incorporadas a ChatGPT anunciado en diciembre ahora puede usarse en la Unión Europea. Los abonados podrán disfrutar de las nuevas capacidades visuales y del modo Modo de Voz Avanzado.


    Sin embargo, hay muchas razones por las que los usuarios podrían no querer que Amazon reciba grabaciones de lo que dicen a su dispositivo personal. Para empezar, la idea de que un conglomerado pueda escuchar peticiones personales realizadas en el hogar es, sencillamente, inquietante.

    Además, Amazon ha gestionado de manera deficiente las grabaciones de voz de Alexa en el pasado. En 2023, la empresa acordó pagar 25 millones de dólares en multas civiles tras revelarse que almacenó indefinidamente grabaciones de interacciones de niños con Alexa. Los adultos tampoco fueron informados adecuadamente de la inclinación de Amazon a conservar las grabaciones de Alexa hasta que en 2019 se les dio la opción de solicitar su eliminación, cinco años después del lanzamiento del primer Echo.

    Si eso no es suficiente para disuadirte de compartir grabaciones de voz con Amazon, ten en cuenta que la empresa permitió a empleados escuchar grabaciones de Alexa. En 2019, Bloomberg informó que empleados de Amazon escuchaban hasta 1,000 muestras de audio durante turnos de nueve horas. Amazon afirma que permite esto para entrenar sus sistemas de reconocimiento de voz y comprensión del lenguaje natural.

    Otras razones por las que los usuarios podrían desconfiar de Amazon con sus grabaciones de voz incluyen el uso previo de grabaciones de Alexa en juicios penales y el hecho de que en 2023 Amazon tuvo que pagar un acuerdo judicial relacionado con acusaciones de que permitió a «miles de empleados y contratistas ver grabaciones de video de los espacios privados de los clientes» tomadas con cámaras Ring, según la Comisión Federal de Comercio (FTC).


    enlace satelital cuántico
    China consigue el enlace satelital cuántico más largo del mundo

    Esta es la primera vez que se realiza un envío de claves cuánticas desde la órbita baja en el hemisferio sur.


    Guardar grabaciones o perder funcionalidades

    Intentando anticiparse a estas preocupaciones, Amazon indicó en su correo que, por defecto, eliminará las grabaciones de las solicitudes de Alexa después de procesarlas. Sin embargo, quienes hayan configurado su dispositivo Echo para «No guardar grabaciones» verán inutilizada la función Voice ID en sus dispositivos ya comprados. Voice ID permite que Alexa comparta eventos de calendario especificados por el usuario, recordatorios, música y más. Anteriormente, Amazon había indicado que «si eliges no guardar ninguna grabación de voz, Voice ID podría no funcionar». A partir del 28 de marzo, la desactivación de Voice ID será una garantía para quienes no permitan que Amazon almacene sus grabaciones de voz.

    El correo de Amazon afirma: «Las solicitudes de voz a Alexa siempre están cifradas en tránsito hacia la nube segura de Amazon, la cual está diseñada con múltiples capas de protección para mantener segura la información de los clientes. Los usuarios pueden seguir eligiendo entre una amplia gama de controles accediendo al panel de privacidad de Alexa en línea o navegando en la aplicación Alexa en Más > Privacidad de Alexa.»

    Amazon está forzando a los usuarios de Echo a tomar una decisión difícil: conceder acceso a Amazon a todas las grabaciones de voz dirigidas a Alexa o dejar de usar un Echo; permitir que Amazon guarde grabaciones de voz y que sus empleados las escuchen o perder un conjunto de funciones que se volverá más avanzado y central en la próxima generación de Alexa.

    Sin embargo, Amazon apuesta fuerte a que Alexa+ pueda sacar al asistente de voz de un pozo financiero. La compañía se ha comprometido públicamente a mantener la versión gratuita de Alexa, pero Alexa+ es vista como la última esperanza de Amazon para hacer que Alexa sea rentable. Cualquier medida que motive a los usuarios a pagar por Alexa parece tener prioridad sobre otras demandas de los usuarios, incluida, al parecer, la privacidad.

    Artículo publicado originalmente en Ars Technica. Adaptado por Manuel de León.

    CVE-2025-27787

    CVE-2025-27787

    Título es
    CVE-2025-27787

    Mié, 19/03/2025 – 21:15

    Tipo
    CWE-22

    Gravedad 2.0 Txt
    Pendiente de análisis

    Título en

    CVE-2025-27787

    Descripción en
    Applio is a voice conversion tool. Versions 3.2.8-bugfix and prior are vulnerable to denial of service (DoS) in restart.py. `model_name` in train.py takes user input, and passes it to the `stop_train` function in restart.py, which uses it construct a path to a folder with `config.json`. That `config.json` is opened and the list of values under "process_pids" are read. Next all the process IDs listed in the JSON are killed. Using one of the arbitrary file writes, one can write to `logs/foobar` a `config.json` file, which contains a list of process IDs. Then one can access this endpoint to kill these processes. Since an attacker can't know what process is running on which process ID, they can send a list of hundreds of process IDs, which can kill the process that applio is using to run, as well as other, potentially important processes, which leads to DoS. Note that constructing a path with user input also enables path traversal. For example, by supplying "../../" in `model_name` one can access `config.json` freom locations two folders down on the server. As of time of publication, no known patches are available.

    19/03/2025

    19/03/2025

    Vector CVSS:4.0
    CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:N/VA:H/SC:N/SI:N/SA:N/E:P/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X

    Gravedad 4.0
    7.80

    Gravedad 4.0 txt
    HIGH

    Gravedad 3.1 Txt Gravedad 3.1 (CVSS 3.1 Base Score)
    Pendiente de análisis

    Referencias


  • https://github.com/IAHispano/Applio/blob/29b4a00e4be209f9aac51cd9ccffcc632dfb2973/tabs/settings/sections/restart.py#L9

  • https://github.com/IAHispano/Applio/blob/29b4a00e4be209f9aac51cd9ccffcc632dfb2973/tabs/train/train.py#L306

  • https://securitylab.github.com/advisories/GHSL-2024-354_Applio/
  • Enviar en el boletín
    Off

    CVE-2025-27786

    CVE-2025-27786

    Título es
    CVE-2025-27786

    Mié, 19/03/2025 – 21:15

    Tipo
    CWE-22

    Gravedad 2.0 Txt
    Pendiente de análisis

    Título en

    CVE-2025-27786

    Descripción en
    Applio is a voice conversion tool. Versions 3.2.8-bugfix and prior are vulnerable to arbitrary file removal in core.py. `output_tts_path` in tts.py takes arbitrary user input and passes it to `run_tts_script` function in core.py, which checks if the path in `output_tts_path` exists, and if yes, removes that path, which leads to arbitrary file removal. As of time of publication, no known patches are available.

    19/03/2025

    19/03/2025

    Vector CVSS:4.0
    CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:H/VA:H/SC:N/SI:N/SA:N/E:P/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X

    Gravedad 4.0
    7.80

    Gravedad 4.0 txt
    HIGH

    Gravedad 3.1 Txt Gravedad 3.1 (CVSS 3.1 Base Score)
    Pendiente de análisis

    Referencias


  • https://github.com/IAHispano/Applio/blob/29b4a00e4be209f9aac51cd9ccffcc632dfb2973/core.py#L329

  • https://github.com/IAHispano/Applio/blob/29b4a00e4be209f9aac51cd9ccffcc632dfb2973/tabs/tts/tts.py#L133

  • https://securitylab.github.com/advisories/GHSL-2024-341_GHSL-2024-353_Applio/
  • Enviar en el boletín
    Off

    CVE-2025-27785

    CVE-2025-27785

    Título es
    CVE-2025-27785

    Mié, 19/03/2025 – 21:15

    Tipo
    CWE-22

    Gravedad 2.0 Txt
    Pendiente de análisis

    Título en

    CVE-2025-27785

    Descripción en
    Applio is a voice conversion tool. Versions 3.2.8-bugfix and prior are vulnerable to arbitrary file read in train.py's `export_index` function. This issue may lead to reading arbitrary files on the Applio server. It can also be used in conjunction with blind server-side request forgery to read files from servers on the internal network that the Applio server has access to. As of time of publication, no known patches are available.

    19/03/2025

    19/03/2025

    Vector CVSS:4.0
    CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:N/VA:N/SC:N/SI:N/SA:N/E:P/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X

    Gravedad 4.0
    7.70

    Gravedad 4.0 txt
    HIGH

    Gravedad 3.1 Txt Gravedad 3.1 (CVSS 3.1 Base Score)
    Pendiente de análisis

    Referencias


  • https://github.com/IAHispano/Applio/blob/29b4a00e4be209f9aac51cd9ccffcc632dfb2973/tabs/train/train.py#L273

  • https://github.com/IAHispano/Applio/blob/29b4a00e4be209f9aac51cd9ccffcc632dfb2973/tabs/train/train.py#L816

  • https://securitylab.github.com/advisories/GHSL-2024-341_GHSL-2024-353_Applio/
  • Enviar en el boletín
    Off

    CVE-2025-27784

    CVE-2025-27784

    Título es
    CVE-2025-27784

    Mié, 19/03/2025 – 21:15

    Tipo
    CWE-200

    Gravedad 2.0 Txt
    Pendiente de análisis

    Título en

    CVE-2025-27784

    Descripción en
    Applio is a voice conversion tool. Versions 3.2.8-bugfix and prior are vulnerable to arbitrary file read in train.py's `export_pth` function. This issue may lead to reading arbitrary files on the Applio server. It can also be used in conjunction with blind server-side request forgery to read files from servers on the internal network that the Applio server has access to. As of time of publication, no known patches are available.

    19/03/2025

    19/03/2025

    Vector CVSS:4.0
    CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:N/VA:N/SC:N/SI:N/SA:N/E:P/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X

    Gravedad 4.0
    7.70

    Gravedad 4.0 txt
    HIGH

    Gravedad 3.1 Txt Gravedad 3.1 (CVSS 3.1 Base Score)
    Pendiente de análisis

    Referencias


  • https://github.com/IAHispano/Applio/blob/29b4a00e4be209f9aac51cd9ccffcc632dfb2973/tabs/train/train.py#L267

  • https://github.com/IAHispano/Applio/blob/29b4a00e4be209f9aac51cd9ccffcc632dfb2973/tabs/train/train.py#L801

  • https://securitylab.github.com/advisories/GHSL-2024-341_GHSL-2024-353_Applio/
  • Enviar en el boletín
    Off