Vulnerabilidades

El contenedor de Azure Blob Storage utilizado para los registros de los dispositivos Gardyn se puede listar públicamente sin autenticación. Un usuario malicioso podría acceder a cualquier archivo de registro de dispositivo disponible en el contenedor de almacenamiento de blobs.

Una autorización incorrecta en Microsoft Exchange Online permite a un atacante autorizado elevar privilegios a través de una red.

Microsoft HEIF Image Extensions 1.2.22.0 tiene una lectura fuera de límites porque CHEIFItemInfoEntry_GetDataSize puede devolver éxito mientras deja el tamaño de datos reportado como 0. Esto provoca que un llamador realice una asignación de 1 byte. Más tarde, CopyPixels calcula copy_size = stride * abs(roi_height)…

Microsoft tiene conocimiento de una escalada de privilegios en el motor Microsoft Malware Protection de Microsoft Defender, denominada públicamente como "RoguePlanet ".

Múltiples cargadores de arranque UEFI SHIM firmados por Microsoft son vulnerables a una omisión de SecureBoot. Un atacante con privilegios administrativos o la capacidad de modificar el proceso de arranque podría usar uno de los cargadores de arranque shim vulnerables para eludir las protecciones de Secure Boot y…

Falla del mecanismo de protección en Windows BitLocker permite a un atacante no autorizado eludir una característica de seguridad con un ataque físico.

El consumo descontrolado de recursos en HTTP/2 permite a un atacante no autorizado denegar el servicio a través de una red.

Falsificación de petición del lado del servidor (SSRF) en Microsoft Exchange Server permite a un atacante autorizado elevar privilegios a través de una red.

Desbordamiento negativo de enteros (wrap o wraparound) en el kernel del sistema operativo Windows NT permite a un atacante autorizado elevar privilegios localmente.

Ejecución concurrente utilizando un recurso compartido con sincronización inadecuada ('condición de carrera') en las Notificaciones Push de Windows permite a un atacante autorizado elevar privilegios localmente.

Neutralización incorrecta de elementos especiales en la salida utilizada por un componente descendente ('inyección') en Copilot Chat (Microsoft Edge) permite a un atacante no autorizado divulgar información a través de una red.

Una vulnerabilidad de escalada de privilegios local (LPE) afecta al software Acer NitroSense en versiones anteriores a la 3.01.3052. La vulnerabilidad se origina en el servicio PSAdminAgent, que crea una canalización con nombre (Named Pipe) con una lista de control de acceso (ACL) débil. Esto permite que cualquier…

Esta vulnerabilidad en Veeam Agent for Microsoft Windows permite una escalada de privilegios local.

La deserialización de datos no confiables en Microsoft Office SharePoint permite a un atacante autorizado ejecutar código a través de una red.

Desbordamiento de búfer basado en montículo en Microsoft Defender permite a un atacante no autorizado ejecutar código a través de una red.

Vulnerabilidad de denegación de servicio de Microsoft Defender

Resolución de enlaces incorrecta antes del acceso a archivos ('seguimiento de enlaces') en Microsoft Defender permite a un atacante autorizado elevar privilegios localmente.

Microsoft tiene conocimiento de una vulnerabilidad de omisión de característica de seguridad en Windows conocida públicamente como 'YellowKey'. La prueba de concepto para esta vulnerabilidad se ha hecho pública violando las mejores prácticas de vulnerabilidad coordinada. Estamos emitiendo este CVE para proporcionar…

Neutralización incorrecta de la entrada durante la generación de páginas web ('secuencias de comandos en sitios cruzados') en Microsoft Exchange Server permite a un atacante no autorizado realizar suplantación (spoofing) a través de una red.

Desbordamiento de búfer basado en el montículo en Microsoft Windows DNS permite a un atacante no autorizado ejecutar código a través de una red.

Un desbordamiento de búfer basado en pila en Windows Netlogon permite a un atacante no autorizado ejecutar código a través de una red.

Un desbordamiento de búfer basado en montículo (heap) en Windows Kernel permite a un atacante autorizado elevar privilegios localmente.

Acceso a un recurso mediante un tipo incompatible ('type confusion') en el controlador de funciones auxiliares de Windows para WinSock permite a un atacante autorizado escalar privilegios localmente.

Se ha identificado una vulnerabilidad en ROS# (todas las versiones anteriores a V2.2.2). Las versiones afectadas contienen una vulnerabilidad de salto de directorio (path traversal) debido a que la entrada del usuario no se sanea correctamente. Esto podría permitir a un atacante remoto acceder a archivos arbitrarios…

El 11 de mayo de 2026, entre aproximadamente las 19:20 y las 19:26 UTC, se publicaron en el registro de npm 84 versiones maliciosas de 42 paquetes @tanstack/*. Las publicaciones se autenticaron mediante la vinculación OIDC de editor de confianza de GitHub Actions, legítima para TanStack/router, pero el propio flujo de…