CVE-2024-53968

CVE-2024-53968

Título es
CVE-2024-53968

Mié, 19/03/2025 – 17:15

Tipo
CWE-79

Gravedad 2.0 Txt
Pendiente de análisis

Título en

CVE-2024-53968

Descripción en
Adobe Experience Manager versions 6.5.21 and earlier are affected by a DOM-based Cross-Site Scripting (XSS) vulnerability that could be exploited to execute arbitrary code in the context of the victim's browser session. By manipulating the DOM environment in the victim's browser, a low privileged attacker can inject malicious scripts that are executed by the victim's browser. Exploitation of this issue requires user interaction, typically in the form of following a malicious link.

19/03/2025

19/03/2025

Vector CVSS:3.1
CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N

Gravedad 3.1 (CVSS 3.1 Base Score)
5.40

Gravedad 3.1 Txt Gravedad 3.1 (CVSS 3.1 Base Score)
MEDIUM

Referencias


  • https://helpx.adobe.com/security/products/experience-manager/apsb24-69.html
  • Enviar en el boletín
    Off

    CVE-2024-53967

    CVE-2024-53967

    Título es
    CVE-2024-53967

    Mié, 19/03/2025 – 17:15

    Tipo
    CWE-79

    Gravedad 2.0 Txt
    Pendiente de análisis

    Título en

    CVE-2024-53967

    Descripción en
    Adobe Experience Manager versions 6.5.21 and earlier are affected by a DOM-based Cross-Site Scripting (XSS) vulnerability that could be exploited to execute arbitrary code in the context of the victim's browser session. By manipulating the DOM environment in the victim's browser, a low privileged attacker can inject malicious scripts that are executed by the victim's browser. Exploitation of this issue requires user interaction, typically in the form of following a malicious link.

    19/03/2025

    19/03/2025

    Vector CVSS:3.1
    CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N

    Gravedad 3.1 (CVSS 3.1 Base Score)
    5.40

    Gravedad 3.1 Txt Gravedad 3.1 (CVSS 3.1 Base Score)
    MEDIUM

    Referencias


  • https://helpx.adobe.com/security/products/experience-manager/apsb24-69.html
  • Enviar en el boletín
    Off

    CVE-2025-0431

    CVE-2025-0431

    Título es
    CVE-2025-0431

    Mié, 19/03/2025 – 17:15

    Tipo
    CWE-790

    Gravedad 2.0 Txt
    Pendiente de análisis

    Título en

    CVE-2025-0431

    Descripción en
    Enterprise Protection contains a vulnerability in URL rewriting that allows an unauthenticated remote attacker to send an email which bypasses URL protections impacting the integrity of recipient's email. This occurs due to improper filtering of backslashes within URLs and affects all versions of 8.21, 8.20 and 8.18 prior to 8.21.0 patch 5115, 8.20.6 patch 5114 and 8.18.6 patch 5113 respectively.

    19/03/2025

    19/03/2025

    Vector CVSS:3.1
    CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:N/I:L/A:N

    Gravedad 3.1 (CVSS 3.1 Base Score)
    5.80

    Gravedad 3.1 Txt Gravedad 3.1 (CVSS 3.1 Base Score)
    MEDIUM

    Referencias


  • https://www.proofpoint.com/us/security/security-advisories/pfpt-sa-2025-0001
  • Enviar en el boletín
    Off

    La IA está está reforzando al crimen organizado, advierte la Europol

    La IA está reforzando el crimen organizado en todos los países de la Unión Europea, poniendo en riesgo la seguridad de usuarios, empresas e incluso autoridades gubernamentales. Así lo revela el nuevo informe “EU Serious and Organised Crime Threat Assessment 2025” (Evaluación de la amenaza de la delincuencia grave y organizada para 2025) publicado por la Europol, la agencia de la UE enfocada en la lucha contra actividades delictivas y ciberdelicuencia.

    Con base en información de los Estados miembros de la UE, el EU-SOCTA ofrece uno de los análisis más exhaustivos realizados sobre las amenazas que plantea la delincuencia organizada a la seguridad interior. El informe no solo analiza el contexto actual, sino también anticipa las amenazas futuras, proporcionando una hoja de ruta para que las fuerzas de seguridad y los responsables políticos anticipen brechas en sus sistemas de seguridad.


    Captura de pantalla de un chat, con fondo rojo
    Tal vez sea el momento de borrar algunos viejos historiales de chat

    Es probable que tus mensajes de hace años sigan al acecho en internet, exponiendo información confidencial que habías olvidado que existía. Pero no hay mejor momento que el presente para hacer limpieza digital.


    El ADN del crimen organizado está cambiando

    «La ciberdelincuencia está evolucionando hacia una carrera armamentística digital dirigida contra gobiernos, empresas y particulares. Los ataques impulsados por IA son cada vez más precisos y devastadores», afirma Catherine De Bolle, directora ejecutiva de Europol. Añade que los ciberataques de los últimos meses tienen dos objetivos: obtener beneficios económicos y desestabilizar a los Estados europeos.

    De acuerdo con el informe, la inteligencia artificial ha provocado un aumento de delitos como el tráfico de drogas, la trata de personas, el lavado de dinero, las estafas en línea y los ciberataques; también recalca el aumento de material de abuso sexual a menores, mucho de él creado con IA. «Mediante la creación de contenidos generativos de gran realismo, los delincuentes pueden engañar a las víctimas, suplantar identidades y desacreditar o chantajear a los usuarios», reitera De Bolle.

    El informe hace hincapié en el cambio de ADN en el crimen organizado: la clonación de voz y los videos falsos basados en IA amplifican la amenaza, permitiendo nuevas formas de fraude y extorsión. «Los criminales operan como empresas, crean una red paralela y engañan a las comunidades online, les hacen creer que brindan algún bien o servicio», reza la investigación de Europol.


    Un dron militar de Leonardo.
    Europa registra aumentos históricos en acciones de la industria armamentística

    La escalada de las tensiones geopolíticas y el riesgo de retirada de Estados Unidos empujan a Europa a aumentar drásticamente el gasto militar. Mientras tanto, las acciones de las empresas del sector armamentístico se disparan.


    Los ciberataques van en aumento

    En un mundo tan interconectado, la conexión a internet es fundamental. No obstante, los gobiernos deben asegurarse de que los usuarios naveguen en sitios seguros y que estos no sean pirateados por actores criminales. «Desde ransomware hasta lavado de dinero, el internet ya no solo es un medio, es el pilar del negocio hacker«.

    La Europol destaca el número creciente de ciberataques contra infraestructuras críticas e instituciones públicas orquestados por Rusia y países en su esfera de influencia. En este sentido, es evidente que la IA y otras tecnologías relacionadas son «un catalizador de la delincuencia e impulsan la eficiencia de las operaciones criminales al amplificar su velocidad, alcance y sofisticación». Dicha conclusión hace cada vez más urgente la necesidad de pensar en una estrategia de seguridad destinada a limitar el impacto de las ciberamenazas en los países de la UE.

    «Tenemos que integrar la seguridad en todo lo que hacemos», declaró Magnus Brunner, Comisario Europeo de Interior y Migración, instando a los gobiernos locales a aumentar sus esfuerzos en materia de seguridad online.

    Artículo originalmente publicado en WIRED Italia. Adaptado por Alondra Flores.

    CVE-2024-12920

    CVE-2024-12920

    Título es
    CVE-2024-12920

    Mié, 19/03/2025 – 12:15

    Tipo
    CWE-862

    Gravedad 2.0 Txt
    Pendiente de análisis

    Título en

    CVE-2024-12920

    Descripción en
    The FoodBakery | Delivery Restaurant Directory WordPress Theme theme for WordPress is vulnerable to unauthorized access of data and modification of data due to a missing capability check on the foodbakery_var_backup_file_delete, foodbakery_widget_file_delete, theme_option_save, export_widget_settings, ajax_import_widget_data, foodbakery_var_settings_backup_generate, foodbakery_var_backup_file_restore, and theme_option_rest_all functions in all versions up to, and including, 4.7. This makes it possible for authenticated attackers, with Subscriber-level access and above, to delete arbitrary files, update theme options, export widget options, import widget options, generate backups, restore backups, and reset theme options.

    19/03/2025

    19/03/2025

    Vector CVSS:3.1
    CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

    Gravedad 3.1 (CVSS 3.1 Base Score)
    8.80

    Gravedad 3.1 Txt Gravedad 3.1 (CVSS 3.1 Base Score)
    HIGH

    Referencias


  • https://themeforest.net/item/food-bakery-restaurant-bakery-responsive-wordpress-theme/18970331

  • https://www.wordfence.com/threat-intel/vulnerabilities/id/9af8267f-48b1-4537-8985-6af1245ceed5?source=cve
  • Enviar en el boletín
    Off

    CVE-2024-13442

    CVE-2024-13442

    Título es
    CVE-2024-13442

    Mié, 19/03/2025 – 12:15

    Tipo
    CWE-288

    Gravedad 2.0 Txt
    Pendiente de análisis

    Título en

    CVE-2024-13442

    Descripción en
    The Service Finder Bookings plugin for WordPress is vulnerable to privilege escalation via account takeover in all versions up to, and including, 5.0. This is due to the plugin not properly validating a user's identity prior to (1) performing a post-booking auto-login or (2) updating their profile details (e.g. password). This makes it possible for unauthenticated attackers to (1) login as an arbitrary user if their email address is known or (2) change an arbitrary user's password, including administrators, and leverage that to gain access to their account.

    19/03/2025

    19/03/2025

    Vector CVSS:3.1
    CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

    Gravedad 3.1 (CVSS 3.1 Base Score)
    9.80

    Gravedad 3.1 Txt Gravedad 3.1 (CVSS 3.1 Base Score)
    CRITICAL

    Referencias


  • https://themeforest.net/item/service-finder-service-and-business-listing-wordpress-theme/15208793

  • https://www.wordfence.com/threat-intel/vulnerabilities/id/827b5482-cb42-4aaa-80b5-3d0143fcead8?source=cve
  • Enviar en el boletín
    Off

    CVE-2025-2512

    CVE-2025-2512

    Título es
    CVE-2025-2512

    Mié, 19/03/2025 – 12:15

    Tipo
    CWE-434

    Gravedad 2.0 Txt
    Pendiente de análisis

    Título en

    CVE-2025-2512

    Descripción en
    The File Away plugin for WordPress is vulnerable to arbitrary file uploads due to a missing capability check and missing file type validation in the upload() function in all versions up to, and including, 3.9.9.0.1. This makes it possible for unauthenticated attackers to upload arbitrary files on the affected site's server which may make remote code execution possible.

    19/03/2025

    19/03/2025

    Vector CVSS:3.1
    CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

    Gravedad 3.1 (CVSS 3.1 Base Score)
    9.80

    Gravedad 3.1 Txt Gravedad 3.1 (CVSS 3.1 Base Score)
    CRITICAL

    Referencias


  • https://plugins.trac.wordpress.org/browser/file-away/trunk/lib/cls/class.fileaway_management.php#L1094

  • https://wordpress.org/plugins/file-away/#developers

  • https://www.wordfence.com/threat-intel/vulnerabilities/id/9a93313d-a5d7-4109-93c5-b2da26e7a486?source=cve
  • Enviar en el boletín
    Off

    CVE-2025-2511

    CVE-2025-2511

    Título es
    CVE-2025-2511

    Mié, 19/03/2025 – 12:15

    Tipo
    CWE-89

    Gravedad 2.0 Txt
    Pendiente de análisis

    Título en

    CVE-2025-2511

    Descripción en
    The AHAthat Plugin plugin for WordPress is vulnerable to time-based SQL Injection via the 'id' parameter in all versions up to, and including, 1.6 due to insufficient escaping on the user supplied parameter and lack of sufficient preparation on the existing SQL query. This makes it possible for authenticated attackers, with Administrator-level access and above, to append additional SQL queries into already existing queries that can be used to extract sensitive information from the database.

    19/03/2025

    19/03/2025

    Vector CVSS:3.1
    CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:N/A:N

    Gravedad 3.1 (CVSS 3.1 Base Score)
    4.90

    Gravedad 3.1 Txt Gravedad 3.1 (CVSS 3.1 Base Score)
    MEDIUM

    Referencias


  • https://wordpress.org/plugins/ahathat/#developers

  • https://www.wordfence.com/threat-intel/vulnerabilities/id/cde440a2-55f8-406a-b81b-919028f0e887?source=cve
  • Enviar en el boletín
    Off

    CVE-2024-55551

    CVE-2024-55551

    Título es
    CVE-2024-55551

    Mié, 19/03/2025 – 14:15

    Gravedad 2.0 Txt
    Pendiente de análisis

    Título en

    CVE-2024-55551

    Descripción en
    An issue was discovered in Exasol jdbc driver 24.2.0. Attackers can inject malicious parameters into the JDBC URL, triggering JNDI injection during the process when the JDBC Driver uses this URL to connect to the database. This can further lead to remote code execution vulnerability.

    19/03/2025

    19/03/2025

    Gravedad 3.1 Txt Gravedad 3.1 (CVSS 3.1 Base Score)
    Pendiente de análisis

    Referencias


  • https://docs.exasol.com/db/latest/connect_exasol/drivers/jdbc.htm

  • https://gist.github.com/azraelxuemo/9565ec9219e0c3e9afd5474904c39d0f

  • https://www.blackhat.com/eu-24/briefings/schedule/index.html#a-novel-attack-surface-java-authentication-and-authorization-service-jaas-42179
  • Enviar en el boletín
    Off

    CVE-2024-45644

    CVE-2024-45644

    Título es
    CVE-2024-45644

    Mié, 19/03/2025 – 12:15

    Tipo
    CWE-434

    Gravedad 2.0 Txt
    Pendiente de análisis

    Título en

    CVE-2024-45644

    Descripción en
    IBM Security ReaQta 3.12 allows a privileged user to upload or transfer files of dangerous types that can be automatically processed within the product's environment.

    19/03/2025

    19/03/2025

    Vector CVSS:3.1
    CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:L/I:L/A:L

    Gravedad 3.1 (CVSS 3.1 Base Score)
    4.70

    Gravedad 3.1 Txt Gravedad 3.1 (CVSS 3.1 Base Score)
    MEDIUM

    Referencias


  • https://www.ibm.com/support/pages/node/7186613
  • Enviar en el boletín
    Off