Vulnerabilidades

Un desbordamiento de búfer basado en montón en Windows Imaging Component permite a un atacante no autorizado ejecutar código localmente.

Una neutralización inadecuada de elementos especiales utilizados en un comando ('inyección de comandos') en Windows Active Directory permite a un atacante no autorizado ejecutar código a través de una red.

Un control inadecuado de la generación de código ('inyección de código') en Microsoft Office SharePoint permite a un atacante autorizado ejecutar código a través de una red.

Omisión de autenticación mediante captura-repetición en Microsoft Exchange Server permite a un atacante autorizado elevar privilegios sobre una red.

ClearOS 7.9 contiene una vulnerabilidad de inyección de comandos del sistema operativo en el componente Log Viewer que permite a atacantes autenticados ejecutar comandos arbitrarios enviando entradas sin sanear a través del parámetro filter, que se interpola directamente en un comando de shell en File.php. Los…

En Microsoft Azure API Management hasta el 17-10-2025, cuando el registro de autoservicio (autenticación básica de nombre de usuario/contraseña) está habilitado en el Inquilino A, un atacante puede reutilizar el flujo de registro cambiando el nombre de host o el identificador de inquilino al Inquilino B, incluso…

Un control de acceso inadecuado en Microsoft Configuration Manager permite a un atacante autorizado elevar privilegios a través de una red.

Una condición de carrera de tiempo de comprobación a tiempo de uso (TOCTOU) en Windows Subsystem for Linux permite a un atacante autorizado realizar manipulaciones localmente.

Una autenticación débil en Microsoft Office SharePoint permite a un atacante no autorizado omitir una característica de seguridad a través de una red.

Una autorización inadecuada en Active Directory Certificate Services (AD CS) permite a un atacante autorizado elevar privilegios a través de una red.

La exposición de información personal privada a un actor no autorizado en Microsoft Defender permite a un atacante autorizado divulgar información localmente.

La exposición de información sensible a un actor no autorizado en Windows Win32K permite a un atacante autorizado divulgar información localmente.

Una conversión incorrecta entre tipos numéricos en Windows NTFS permite a un atacante autorizado elevar privilegios localmente.

Un uso después de liberar (use-after-free) en Windows Remote Desktop Services permite a un atacante autorizado elevar privilegios a través de una red.

Una gestión inadecuada de privilegios en Microsoft Install Service permite a un atacante autorizado elevar privilegios localmente.

La deserialización de datos no confiables en Microsoft Office SharePoint permite a un atacante no autorizado ejecutar código a través de una red.

La neutralización inadecuada de elementos especiales usados en un comando ('inyección de comandos') en Windows Narrator Braille permite a un atacante autorizado elevar privilegios localmente.

La falta de autenticación para una función crítica en Microsoft Office SharePoint permite a un atacante no autorizado elevar privilegios a través de una red.

Un desbordamiento de búfer basado en montículo en Windows Message Queuing Queue Manager permite a un atacante no autorizado ejecutar código localmente.

La ejecución concurrente que usa un recurso compartido con una sincronización inadecuada ('condición de carrera') en Windows Win32K permite a un atacante autorizado elevar privilegios localmente.

La deserialización de datos no confiables en Microsoft Office SharePoint permite a un atacante no autorizado ejecutar código a través de una red.

Una autenticación inadecuada en Azure Spring Apps permite a un atacante autorizado elevar privilegios a través de una red.

Una gestión inadecuada de privilegios en Windows WalletService permite a un atacante autorizado elevar privilegios localmente.

Un fallo del mecanismo de protección en Windows Event Logging Service permite a un atacante autorizado divulgar información a través de una red.

El acceso a un recurso usando un tipo incompatible ('confusión de tipos') en Microsoft Edge (basado en Chromium) permite a un atacante no autorizado ejecutar código a través de una red.