CVE-2025-25500

CVE-2025-25500

Título es
CVE-2025-25500

Mar, 18/03/2025 – 14:15

Gravedad 2.0 Txt
Pendiente de análisis

Título en

CVE-2025-25500

Descripción en
An issue in CosmWasm prior to v2.2.0 allows attackers to bypass capability restrictions in blockchains by exploiting a lack of runtime capability validation. This allows attackers to deploy a contract without capability enforcement, and execute unauthorized actions on the blockchain.

18/03/2025

18/03/2025

Gravedad 3.1 Txt Gravedad 3.1 (CVSS 3.1 Base Score)
Pendiente de análisis

Referencias


  • https://gist.github.com/H3T76/8096a6ff9410f3a6d9a25db1a68ae657#file-cve-2025-25500

  • https://github.com/CVEProject/cveproject.github.io/blob/gh-pages/requester/reservation-guidelines.md
  • Enviar en el boletín
    Off

    CVE-2025-2450

    CVE-2025-2450

    Título es
    CVE-2025-2450

    Mar, 18/03/2025 – 14:15

    Tipo
    CWE-356

    Gravedad 2.0 Txt
    Pendiente de análisis

    Título en

    CVE-2025-2450

    Descripción en
    NI Vision Builder AI VBAI File Processing Missing Warning Remote Code Execution Vulnerability. This vulnerability allows remote attackers to execute arbitrary code on affected installations of NI Vision Builder AI. User interaction is required to exploit this vulnerability in that the target must visit a malicious page or open a malicious file.

    The specific flaw exists within the processing of VBAI files. The issue results from allowing the execution of dangerous script without user warning. An attacker can leverage this vulnerability to execute code in the context of the current user. Was ZDI-CAN-22833.

    18/03/2025

    18/03/2025

    Vector CVSS:3.1
    CVSS:3.0/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H

    Gravedad 3.1 (CVSS 3.1 Base Score)
    7.80

    Gravedad 3.1 Txt Gravedad 3.1 (CVSS 3.1 Base Score)
    HIGH

    Referencias


  • https://www.zerodayinitiative.com/advisories/ZDI-25-147/
  • Enviar en el boletín
    Off

    CVE-2025-2449

    CVE-2025-2449

    Título es
    CVE-2025-2449

    Mar, 18/03/2025 – 14:15

    Tipo
    CWE-22

    Gravedad 2.0 Txt
    Pendiente de análisis

    Título en

    CVE-2025-2449

    Descripción en
    NI FlexLogger usiReg URI File Parsing Directory Traversal Remote Code Execution Vulnerability. This vulnerability allows remote attackers to create arbitrary files on affected installations of NI FlexLogger. User interaction is required to exploit this vulnerability in that the target must visit a malicious page or open a malicious file.

    The specific flaw exists within the parsing of URI files by the usiReg component. The issue results from the lack of proper validation of a user-supplied path prior to using it in file operations. An attacker can leverage this vulnerability to execute code in the context of the current user. Was ZDI-CAN-21805.

    18/03/2025

    18/03/2025

    Vector CVSS:3.1
    CVSS:3.0/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H

    Gravedad 3.1 (CVSS 3.1 Base Score)
    7.80

    Gravedad 3.1 Txt Gravedad 3.1 (CVSS 3.1 Base Score)
    HIGH

    Referencias


  • https://www.zerodayinitiative.com/advisories/ZDI-25-146/
  • Enviar en el boletín
    Off

    CVE-2025-30106

    CVE-2025-30106

    Título es
    CVE-2025-30106

    Mar, 18/03/2025 – 14:15

    Gravedad 2.0 Txt
    Pendiente de análisis

    Título en

    CVE-2025-30106

    Descripción en
    On IROAD v9 devices, the dashcam has hardcoded default credentials ("qwertyuiop") that cannot be changed by the user. This allows an attacker within Wi-Fi range to connect to the device's network to perform sniffing.

    18/03/2025

    18/03/2025

    Gravedad 3.1 Txt Gravedad 3.1 (CVSS 3.1 Base Score)
    Pendiente de análisis

    Referencias


  • https://github.com/geo-chen/IROAD-V
  • IROAD X5


  • Enviar en el boletín
    Off

    CVE-2025-2490

    CVE-2025-2490

    Título es
    CVE-2025-2490

    Mar, 18/03/2025 – 14:15

    Tipo
    CWE-79

    Gravedad v2.0
    3.30

    Gravedad 2.0 Txt
    LOW

    Título en

    CVE-2025-2490

    Descripción en
    A vulnerability was found in Dromara ujcms 9.7.5. It has been rated as problematic. Affected by this issue is the function uploadZip/upload of the file /main/java/com/ujcms/cms/ext/web/backendapi/WebFileUploadController.java of the component File Upload. The manipulation leads to cross site scripting. The attack may be launched remotely. The exploit has been disclosed to the public and may be used.

    18/03/2025

    18/03/2025

    Vector CVSS:4.0
    CVSS:4.0/AV:N/AC:L/AT:N/PR:H/UI:P/VC:N/VI:L/VA:N/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X

    Vector CVSS:3.1
    CVSS:3.1/AV:N/AC:L/PR:H/UI:R/S:U/C:N/I:L/A:N

    Vector CVSS:2.0
    AV:N/AC:L/Au:M/C:N/I:P/A:N

    Gravedad 4.0
    4.80

    Gravedad 4.0 txt
    MEDIUM

    Gravedad 3.1 (CVSS 3.1 Base Score)
    2.40

    Gravedad 3.1 Txt Gravedad 3.1 (CVSS 3.1 Base Score)
    LOW

    Referencias


  • https://github.com/dromara/ujcms/issues/12

  • https://github.com/dromara/ujcms/issues/13

  • https://vuldb.com/?ctiid_299996=

  • https://vuldb.com/?id_299996=

  • https://vuldb.com/?submit_517267=
  • Enviar en el boletín
    Off

    Hackeo al celular de Claudia Sheinbaum reaviva alerta de espionaje cibernético en México

    Claudia Sheinbaum, presidenta de México, confirmó esta semana que uno de sus teléfonos celulares y una de sus cuentas de correo electrónico fueron hackeados. El incidente reaviva las preocupaciones sobre el espionaje cibernético, considerado como un peligro creciente en el país.

    Durante su conferencia matutina de este lunes, la mandataria explicó que el equipo de Apple alertó sobre el ataque a la Agencia de Transformación Digital. Detalló que el número intervenido le fue obsequiado en 2008 por Layda Sansores, actual gobernadora de Campeche, y que desde entonces, lo ha utilizado en distintas etapas de su carrera política como un canal de comunicación con la ciudadanía.


    Claudia Sheinbaum
    Claudia Sheinbaum, víctima de deepfake: su imagen fue utilizada en un video fraudulento generado por IA

    La IA ya ha irrumpido a las elecciones en todo el mundo. Este miércoles, Claudia Sheinbaum ha denunciado la aparición de un video donde se usa su imagen para invitar a los mexicanos a invertir en una fraudulenta plataforma financiera.


    Sheinbaum indicó que el número telefónico vulnerado es ampliamente conocido, ya que lo hizo público durante su campaña por la jefatura delegacional de Tlalpan (en 2015) y lo mantuvo durante su gestión como jefa de Gobierno de la Ciudad de México.

    “Ese teléfono se publicó en un periódico, por lo que es conocido por muchas personas que desean comunicarse conmigo. Ya no lo uso para asuntos personales, pero aún lo empleo para atender solicitudes de gestión que, ocasionalmente, recibo y respondo”, precisó.

    La presidenta también reveló que su primera cuenta de correo electrónico en Yahoo! fue intervenida. “Es una cuenta muy antigua que muchas personas tienen. Aparte tengo una cuenta de Gobierno que sí posee todas las condiciones de ciberseguridad”, señaló. Reconoció que aún no hay información precisa sobre el origen del ataque ni sobre los programas utilizados. La investigación sigue en curso.

    El hackeo fue reportado en un artículo publicado en The New York Times al cierre de la semana pasada. Natalie Kitroeff, autora del texto, señaló que el ataque ocurrió poco después de la entrega de 29 presuntos narcotraficantes a Estados Unidos por parte del Gobierno mexicano.

    Espionaje cibernético a la alza en México

    Los especialistas advierten que ataques digitales de este tipo contra figuras públicas y dependencias estratégicas de México podrían intensificarse debido a las tensiones sociales, económicas y políticas en el contexto global actual.

    Un estudio publicado el año pasado por el Grupo de Análisis de Amenazas (TAG) de Google señala que México posee la duodécima economía más grande a nivel mundial. Esta posición lo convierte en un actor clave en la reconfiguración económica, social y política global, así como en un objetivo atractivo para grupos de ciberespionaje.

    Los analistas de Google reportan que múltiples unidades de vigilancia digital de más de 10 países han atacado a usuarios mexicanos desde 2020. Estiman que alrededor del 77% de estas actividades, respaldadas por gobiernos, están vinculadas con China, Corea del Norte y Rusia.

    El informe advierte que “el software espía se utiliza generalmente para vigilar y recopilar datos de usuarios de alto perfil, como periodistas, defensores de derechos humanos, disidentes y políticos de la oposición”.

    La investigación subraya que, aunque el uso de este tipo de software suele afectar a un número reducido de personas, su impacto se extiende a toda la sociedad al amenazar la libertad de expresión, la prensa libre y la integridad de los procesos democráticos. Agrega que existen evidencias sobre la operación de diversos proveedores de tecnología de vigilancia digital en México. En 2023, The New York Times afirmó que el país sigue siendo el mayor cliente mundial de Pegasus, un spyware empleado contra activistas, políticos y periodistas, prohibido en numerosos mercados alrededor del mundo.

    México continuará siendo un objetivo atractivo para actores de amenazas con diversas motivaciones. Para proteger eficazmente a empresas y usuarios, es crucial comprender esta dinámica de riesgos y adoptar un enfoque proactivo en ciberseguridad”, recomienda el equipo de Google.

    Las políticas mexicanas de seguridad cibernética han sido objeto de críticas constantes. El año pasado, senadores del Partido Verde Ecologista de México presentaron un proyecto de reforma denominado Ley de Ciberseguridad y Confianza Digital, con el propósito de establecer un marco legal que garantice la protección de los usuarios de internet en el país. Sin embargo, algunos expertos advierten que la iniciativa presenta vacíos legales que ponen en duda su eficacia. Argumentan que carece de medidas que atiendan la falta de infraestructura y personal capacitado para enfrentar las amenazas cibernéticas.

    CVE-2025-0755

    CVE-2025-0755

    Título es
    CVE-2025-0755

    Mar, 18/03/2025 – 09:15

    Tipo
    CWE-122

    Gravedad 2.0 Txt
    Pendiente de análisis

    Título en

    CVE-2025-0755

    Descripción es
    Las diversas funciones bson_append de la librería del controlador C de MongoDB pueden ser susceptibles a desbordamientos de búfer al realizar operaciones que podrían generar un documento BSON final que supere el tamaño máximo permitido (INT32_MAX), lo que provocaría un fallo de segmentación y un posible bloqueo de la aplicación. Este problema afectaba a las versiones de libbson anteriores a la 1.27.5, a las versiones de MongoDB Server v8.0 anteriores a la 8.0.1 y a las versiones de MongoDB Server v7.0 anteriores a la 7.0.16.

    Descripción en
    The various bson_append functions in the MongoDB C driver library may be susceptible to buffer overflow when performing operations that could result in a final BSON document which exceeds the maximum allowable size (INT32_MAX), resulting in a segmentation fault and possible application crash. This issue affected libbson versions prior to 1.27.5, MongoDB Server v8.0 versions prior to 8.0.1 and MongoDB Server v7.0 versions prior to 7.0.16

    18/03/2025

    18/03/2025

    Vector CVSS:3.1
    CVSS:3.1/AV:L/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

    Gravedad 3.1 (CVSS 3.1 Base Score)
    8.40

    Gravedad 3.1 Txt Gravedad 3.1 (CVSS 3.1 Base Score)
    HIGH

    Referencias


  • https://jira.mongodb.org/browse/SERVER-94461
  • Enviar en el boletín
    Off

    CVE-2025-25220

    CVE-2025-25220

    Título es
    CVE-2025-25220

    Mar, 18/03/2025 – 09:15

    Tipo
    CWE-78

    Gravedad 2.0 Txt
    Pendiente de análisis

    Título en

    CVE-2025-25220

    Descripción es
    Existe un problema de neutralización incorrecta de elementos especiales utilizados en un comando del sistema operativo ('Inyección de comandos del sistema operativo') en versiones de +F FS010M anteriores a la V2.0.1_1101. Si se explota esta vulnerabilidad, un atacante remoto autenticado podría ejecutar un comando arbitrario del sistema operativo.

    Descripción en
    Improper neutralization of special elements used in an OS command ('OS Command Injection') issue exists in +F FS010M versions prior to V2.0.1_1101. If this vulnerability is exploited, an arbitrary OS command may be executed by a remote authenticated attacker.

    18/03/2025

    18/03/2025

    Vector CVSS:3.1
    CVSS:3.0/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

    Gravedad 3.1 (CVSS 3.1 Base Score)
    8.80

    Gravedad 3.1 Txt Gravedad 3.1 (CVSS 3.1 Base Score)
    HIGH

    Referencias


  • https://fsi-plusf.jp/news/25031701.html

  • https://jvn.jp/en/jp/JVN11230428/
  • Enviar en el boletín
    Off

    CVE-2025-24306

    CVE-2025-24306

    Título es
    CVE-2025-24306

    Mar, 18/03/2025 – 09:15

    Tipo
    CWE-78

    Gravedad 2.0 Txt
    Pendiente de análisis

    Título en

    CVE-2025-24306

    Descripción es
    Existe un problema de neutralización incorrecta de elementos especiales utilizados en un comando del sistema operativo ('Inyección de comandos del sistema operativo') en versiones de +F FS010M anteriores a la V2.0.0_1101. Si se explota esta vulnerabilidad, un atacante remoto autenticado con privilegios administrativos podría ejecutar un comando arbitrario del sistema operativo.

    Descripción en
    Improper neutralization of special elements used in an OS command ('OS Command Injection') issue exists in +F FS010M versions prior to V2.0.0_1101. If this vulnerability is exploited, an arbitrary OS command may be executed by a remote authenticated attacker with an administrative privilege.

    18/03/2025

    18/03/2025

    Vector CVSS:3.1
    CVSS:3.0/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H

    Gravedad 3.1 (CVSS 3.1 Base Score)
    7.20

    Gravedad 3.1 Txt Gravedad 3.1 (CVSS 3.1 Base Score)
    HIGH

    Referencias


  • https://fsi-plusf.jp/news/25031701.html

  • https://jvn.jp/en/jp/JVN11230428/
  • Enviar en el boletín
    Off

    CVE-2025-2262

    CVE-2025-2262

    Título es
    CVE-2025-2262

    Mar, 18/03/2025 – 07:15

    Tipo
    CWE-862

    Gravedad 2.0 Txt
    Pendiente de análisis

    Título en

    CVE-2025-2262

    Descripción es
    El complemento Logo Slider – Logo Showcase, Logo Carousel, Logo Gallery and Client Logo Presentation para WordPress es vulnerable a la ejecución de shortcodes arbitrarios en todas las versiones hasta la 3.7.3 incluida. Esto se debe a que el software permite a los usuarios ejecutar una acción que no valida correctamente un valor antes de ejecutar do_shortcode. Esto permite que atacantes no autenticados ejecuten shortcodes arbitrarios.

    Descripción en
    The The Logo Slider – Logo Showcase, Logo Carousel, Logo Gallery and Client Logo Presentation plugin for WordPress is vulnerable to arbitrary shortcode execution in all versions up to, and including, 3.7.3. This is due to the software allowing users to execute an action that does not properly validate a value before running do_shortcode. This makes it possible for unauthenticated attackers to execute arbitrary shortcodes.

    18/03/2025

    18/03/2025

    Vector CVSS:3.1
    CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:L

    Gravedad 3.1 (CVSS 3.1 Base Score)
    7.30

    Gravedad 3.1 Txt Gravedad 3.1 (CVSS 3.1 Base Score)
    HIGH

    Referencias


  • https://plugins.trac.wordpress.org/browser/gs-logo-slider/trunk/includes/shortcode-builder/builder.php#L31

  • https://plugins.trac.wordpress.org/browser/gs-logo-slider/trunk/includes/shortcode-builder/builder.php#L51

  • https://plugins.trac.wordpress.org/browser/gs-logo-slider/trunk/includes/shortcode-builder/builder.php#L65

  • https://plugins.trac.wordpress.org/changeset/3256441/

  • https://www.wordfence.com/threat-intel/vulnerabilities/id/3c7cc2d2-8de4-453b-b4dc-48f75b151078?source=cve
  • Enviar en el boletín
    Off