CVE-2025-2825

CVE-2025-2825

Título es
CVE-2025-2825

Mié, 26/03/2025 – 16:15

Tipo
CWE-287

Gravedad 2.0 Txt
Pendiente de análisis

Título en

CVE-2025-2825

Descripción en
CrushFTP versions 10.0.0 through 10.8.3 and 11.0.0 through 11.3.0 are affected by a vulnerability that may result in unauthenticated access. Remote and unauthenticated HTTP requests to CrushFTP may allow attackers to gain unauthorized access.

26/03/2025
26/03/2025
Vector CVSS:3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Gravedad 3.1 (CVSS 3.1 Base Score)
9.80

Gravedad 3.1 Txt Gravedad 3.1 (CVSS 3.1 Base Score)
CRITICAL

Enviar en el boletín
Off

CVE-2025-2783

CVE-2025-2783

Título es
CVE-2025-2783

Mié, 26/03/2025 – 16:15

Gravedad 2.0 Txt
Pendiente de análisis

Título en

CVE-2025-2783

Descripción en
Incorrect handle provided in unspecified circumstances in Mojo in Google Chrome on Windows prior to 134.0.6998.177 allowed a remote attacker to perform a sandbox escape via a malicious file. (Chromium security severity: High)

26/03/2025
26/03/2025
Vector CVSS:3.1
CVSS:3.1/AV:N/AC:H/PR:N/UI:R/S:C/C:H/I:H/A:H

Gravedad 3.1 (CVSS 3.1 Base Score)
8.30

Gravedad 3.1 Txt Gravedad 3.1 (CVSS 3.1 Base Score)
HIGH

Enviar en el boletín
Off

CVE-2025-2098

CVE-2025-2098

Título es
CVE-2025-2098

Mié, 26/03/2025 – 16:15

Tipo
CWE-266

Gravedad 2.0 Txt
Pendiente de análisis

Título en

CVE-2025-2098

Descripción en
Fast CAD Reader application on MacOS was found to be installed with incorrect file permissions (rwxrwxrwx). This is inconsistent with standard macOS security practices, where applications should have drwxr-xr-x permissions. Incorrect permissions allow for Dylib Hijacking. Guest account, other users and applications can exploit this vulnerability for privilege escalation. This issue affects Fast CAD Reader in possibly all versions since the vendor has not responded to our messages. The tested version was 4.1.5

26/03/2025
26/03/2025
Vector CVSS:4.0
CVSS:4.0/AV:L/AC:L/AT:N/PR:L/UI:N/VC:H/VI:H/VA:N/SC:L/SI:L/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X

Gravedad 4.0
8.40

Gravedad 4.0 txt
HIGH

Gravedad 3.1 Txt Gravedad 3.1 (CVSS 3.1 Base Score)
Pendiente de análisis

Enviar en el boletín
Off

CVE-2025-27406

CVE-2025-27406

Título es
CVE-2025-27406

Mié, 26/03/2025 – 16:15

Tipo
CWE-79

Gravedad 2.0 Txt
Pendiente de análisis

Título en

CVE-2025-27406

Descripción en
Icinga Reporting is the central component for reporting related functionality in the monitoring web frontend and framework Icinga Web 2. A vulnerability present in versions 0.10.0 through 1.0.2 allows to set up a template that allows to embed arbitrary Javascript. This enables the attacker to act on behalf of the user, if the template is being previewed; and act on behalf of the headless browser, if a report using the template is printed to PDF. This issue has been resolved in version 1.0.3 of Icinga Reporting. As a workaround, review all templates and remove suspicious settings.

26/03/2025
26/03/2025
Vector CVSS:3.1
CVSS:3.1/AV:N/AC:H/PR:H/UI:R/S:C/C:H/I:H/A:H

Gravedad 3.1 (CVSS 3.1 Base Score)
7.60

Gravedad 3.1 Txt Gravedad 3.1 (CVSS 3.1 Base Score)
HIGH

Enviar en el boletín
Off

CVE-2025-27609

CVE-2025-27609

Título es
CVE-2025-27609

Mié, 26/03/2025 – 17:15

Tipo
CWE-79

Gravedad 2.0 Txt
Pendiente de análisis

Título en

CVE-2025-27609

Descripción en
Icinga Web 2 is an open source monitoring web interface, framework and command-line interface. A vulnerability in versions prior to 2.11.5 and 2.12.13 allows an attacker to craft a request that, once transmitted to a victim's Icinga Web, allows to embed arbitrary Javascript into it and to act on behalf of that user. This issue has been resolved in versions 2.11.5 and 2.12.3 of Icinga Web 2. As a workaround, those who have Icinga Web 2.12.2 may enable a content security policy in the application settings. Any modern browser with a working CORS implementation also sufficiently guards against the vulnerability.

26/03/2025
26/03/2025
Vector CVSS:4.0
CVSS:4.0/AV:L/AC:L/AT:N/PR:N/UI:P/VC:N/VI:N/VA:N/SC:L/SI:L/SA:N/E:U/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X

Gravedad 4.0
1.10

Gravedad 4.0 txt
LOW

Gravedad 3.1 Txt Gravedad 3.1 (CVSS 3.1 Base Score)
Pendiente de análisis

Enviar en el boletín
Off

CVE-2025-30225

CVE-2025-30225

Título es
CVE-2025-30225

Mié, 26/03/2025 – 17:15

Tipo
CWE-770

Gravedad 2.0 Txt
Pendiente de análisis

Título en

CVE-2025-30225

Descripción en
Directus is a real-time API and App dashboard for managing SQL database content. The `@directus/storage-driver-s3` package starting in version 9.22.0 and prior to version 12.0.1, corresponding to Directus starting in version 9.22.0 and prior to 11.5.0, is vulnerable to asset unavailability after a burst of malformed transformations. When making many malformed transformation requests at once, at some point, all assets are served as 403. This causes denial of assets for all policies of Directus, including Admin and Public. Version 12.0.1 of the `@directus/storage-driver-s3` package, corresponding to version 11.5.0 of Directus, fixes the issue.

26/03/2025
26/03/2025
Vector CVSS:3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:L

Gravedad 3.1 (CVSS 3.1 Base Score)
5.30

Gravedad 3.1 Txt Gravedad 3.1 (CVSS 3.1 Base Score)
MEDIUM

Enviar en el boletín
Off

CVE-2025-30217

CVE-2025-30217

Título es
CVE-2025-30217

Mié, 26/03/2025 – 17:15

Tipo
CWE-89

Gravedad 2.0 Txt
Pendiente de análisis

Título en

CVE-2025-30217

Descripción en
Frappe is a full-stack web application framework. Prior to versions 14.93.2 and 15.55.0, a SQL Injection vulnerability has been identified in Frappe Framework which could allow a malicious actor to access sensitive information. Versions 14.93.2 and 15.55.0 contain a patch for the issue. No known workarounds are available.

26/03/2025
26/03/2025
Vector CVSS:4.0
CVSS:4.0/AV:L/AC:L/AT:N/PR:N/UI:N/VC:H/VI:N/VA:N/SC:N/SI:N/SA:N/E:U/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X

Gravedad 4.0
4.60

Gravedad 4.0 txt
MEDIUM

Gravedad 3.1 Txt Gravedad 3.1 (CVSS 3.1 Base Score)
Pendiente de análisis

Enviar en el boletín
Off

CVE-2025-30164

CVE-2025-30164

Título es
CVE-2025-30164

Mié, 26/03/2025 – 17:15

Tipo
CWE-601

Gravedad 2.0 Txt
Pendiente de análisis

Título en

CVE-2025-30164

Descripción en
Icinga Web 2 is an open source monitoring web interface, framework and command-line interface. A vulnerability in versions prior to 2.11.5 and 2.12.13 vulnerability allows an attacker to craft a URL that, once visited by an authenticated user (or one that is able to authenticate), allows to manipulate the backend to redirect the user to any location. This issue has been resolved in versions 2.11.5 and 2.12.3 of Icinga Web 2. No known workarounds are available.

26/03/2025
26/03/2025
Vector CVSS:3.1
CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:N/I:L/A:N

Gravedad 3.1 (CVSS 3.1 Base Score)
4.10

Gravedad 3.1 Txt Gravedad 3.1 (CVSS 3.1 Base Score)
MEDIUM

Enviar en el boletín
Off

CVE-2025-30350

CVE-2025-30350

Título es
CVE-2025-30350

Mié, 26/03/2025 – 17:15

Tipo
CWE-770

Gravedad 2.0 Txt
Pendiente de análisis

Título en

CVE-2025-30350

Descripción en
Directus is a real-time API and App dashboard for managing SQL database content. The `@directus/storage-driver-s3` package starting in version 9.22.0 and prior to version 12.0.1, corresponding to Directus starting in version 9.22.0 and prior to 11.5.0, is vulnerable to asset unavailability after a burst of HEAD requests. Some tools use Directus to sync content and assets, and some of those tools use the HEAD method to check the existence of files. When making many HEAD requests at once, at some point, all assets are eventually served as 403. This causes denial of assets for all policies of Directus, including Admin and Public. Version 12.0.1 of the `@directus/storage-driver-s3` package, corresponding to version 11.5.0 of Directus, fixes the issue.

26/03/2025
26/03/2025
Vector CVSS:3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:L

Gravedad 3.1 (CVSS 3.1 Base Score)
5.30

Gravedad 3.1 Txt Gravedad 3.1 (CVSS 3.1 Base Score)
MEDIUM

Enviar en el boletín
Off

Desactivan 39 cuentas de TikTok del CJNG, pero otras más siguen reclutando jóvenes

La Secretaría de Seguridad y Protección Ciudadana (SSPC) comunicó la desactivación de 39 cuentas de TikTok utilizadas por el Cártel Jalisco Nueva Generación (CJNG) para reclutar nuevos miembros. A pesar de los esfuerzos de la dependencia gubernamental, en la red social aún permanecen activos diversos perfiles vinculados a la mencionada organización criminal.

Omar García Harfuch, titular de la SSPC, informó sobre estas cuentas tras la captura de José Gregorio ‘N’, alias ‘el Lastra’, quien era el presunto responsable del centro de adiestramiento del CJNG en el Rancho Izaguirre, ubicado en el municipio de Teuchitlán, Jalisco.


cartel de Sinaloa Trump 2184537906
EE UU designa al Cártel de Sinaloa como organización terrorista y defiende la vigilancia con drones sobre México

Claudia Sheinbaum, presidenta de México, afirmó en su conferencia matutina de este miércoles que «no hay nada ilegal» en los vuelos con drones reportados por la prensa.


El funcionario explicó que estos perfiles difundían vacantes para guardias de seguridad con sueldos de entre 4,000 y 12,000 pesos semanales. Los interesados eran contactados por mensaje directo y citados en diversas terminales de autobuses en Jalisco. Desde esos puntos, eran trasladados al Rancho Izaguirre para iniciar el proceso de adiestramiento.

Los reclutados permanecían acuartelados e incomunicados durante un mes. Sus pertenencias eran resguardadas y se les proporcionaba ropa y botas tácticas. Además, recibían acondicionamiento físico y capacitación en el manejo de armas. De acuerdo con testimonios recabados por las autoridades, quienes se negaban a continuar con el adiestramiento o intentaban escapar eran golpeados; en algunos casos eran incluso asesinados.

¿Cómo son las cuentas de TikTok del CJNG?

La SSPC dio a conocer la lista completa de cuentas de TikTok que fueron dadas de baja. La mayoría se identificaba abiertamente como miembros del CJNG. Muchos eran operados por usuarios que afirmaban formar parte del equipo de reclutamiento de la organización criminal.

Dentro de estos perfiles, el CJNG era referido como «la empresa de las cuatro letras», «NG» (por Nueva Generación) o «la organización del señor de los gallos», apodo con el que también se identifica a Nemesio Oseguera Cervantes, ‘el Mencho’, líder del cártel.

Las ofertas publicadas estaban dirigidas a jóvenes mexicanos mayores de 18 años, con disponibilidad para «laborar» en Jalisco y Michoacán. Estas publicaciones estaban musicalizadas con narcocorridos que exaltaban las actividades ilegales del CJNG y a sus principales líderes. Además, incluían imágenes de vehículos de lujo, objetos ostentosos y fajos de billetes. Las cuentas desactivadas y presentadas por la SSPC son las siguientes:

  • Reclutamiento.ng29_3
  • @el.ken.de.cjng
  • Wera ng
  • Chamuko_fng
  • Empresa.4.letras6
  • Sombra.ramx
  • User_76711287181943
  • El_vecy
  • Evelinflorescj
  • Natasha.ng22
  • Gente.nueva.de.sonora
  • @werang56
  • johanapacheco978
  • Csrrangel
  • Empresa_de_las_4letras
  • Mochada4letras
  • @el.clutaa
  • Luis.armando.soto8
  • Juana_esther_1_2
  • ng.reclu
  • Empresa 4 letras
  • Girasol359
  • Reclutamiento_20_q
  • Angel.estrada.4355
  • Rcmx29
  • Contratista dela4
  • Empresa.de.jalisc
  • Ear23012008
  • 4letras52
  • @elcluta
  • Elmorro.gn
  • Valeriacordoba17
  • Elite_4letrasgdlrecluta2
  • @el.cluta3
  • El.minki.4lts
  • El cluta
  • Las.4.letras.ng
  • Werong6
  • elcluta

El reclutamiento del CJNG se mantiene en TikTok

Un representante de TikTok declaró a la prensa nacional que la plataforma colabora con las autoridades para identificar y eliminar cuentas vinculadas con el crimen organizado. “Los videos y cuentas que hemos detectado, ya sea de manera proactiva o por medio de la colaboración con autoridades y medios de comunicación, han sido removidos de la plataforma”, afirmó.

El vocero recordó que las políticas de uso de la red social prohíben la presencia de organizaciones o individuos violentos. Señaló que, cuando se identifican contenidos o perfiles de este tipo, estos son eliminados.