Vulnerabilidades

Path traversal relativo en Windows Kerberos permite a un atacante autorizado elevar privilegios en una red.

La deserialización de datos no confiables en Web Deploy permite que un atacante autorizado ejecute código a través de una red.

La exposición de información confidencial a un actor no autorizado en el kernel del sistema operativo Windows NT permite que un atacante autorizado divulgue información localmente.

Acceso a recursos mediante un tipo incompatible ('confusión de tipos') en Windows Win32K - ICOMP permite que un atacante autorizado eleve privilegios localmente.

La desreferencia de puntero no confiable en el componente de gráficos de Microsoft permite que un atacante no autorizado ejecute código a través de una red.

La exposición de información confidencial a un actor no autorizado en el Explorador de archivos de Windows permite que un atacante no autorizado realice suplantación de identidad a través de una red.

El control de acceso inadecuado en SQL Server permite que un atacante autorizado eleve privilegios en una red.

La versión 5.0.3256 de Photodex ProShow Producer contiene una vulnerabilidad de desbordamiento de búfer en la pila al gestionar los archivos de lista de carga de plugins. Cuando se coloca un archivo de carga especialmente manipulado en el directorio de instalación, la aplicación no valida correctamente su contenido,…

El 18 de abril de 2025, Microsoft anunció cambios de seguridad en Exchange Server para implementaciones híbridas y la corrección urgente correspondiente, no relacionada con la seguridad. Microsoft implementó estos cambios con el objetivo general de mejorar la seguridad de las implementaciones híbridas de Exchange.…

La limitación incorrecta de una ruta de acceso a un directorio restringido ('path traversal') en Microsoft Office SharePoint permite que un atacante autorizado realice suplantación de identidad a través de una red.

La deserialización de datos no confiables en on-premises Microsoft SharePoint Server permite que un atacante no autorizado ejecute código a través de la red. Microsoft tiene conocimiento de la existencia de un exploit para CVE-2025-53770. Microsoft está preparando y probando a fondo una actualización completa para…

Existe una vulnerabilidad en las versiones de SQLite anteriores a la 3.50.2 donde el número de términos agregados podría exceder el número de columnas disponibles. Esto podría causar un problema de corrupción de memoria. Recomendamos actualizar a la versión 3.50.2 o superior.

El desbordamiento del búfer basado en montón en Microsoft Graphics Component permite que un atacante autorizado eleve privilegios localmente.

La condición de ejecución de tiempo de uso y tiempo de verificación (toctou) en Microsoft Windows QoS scheduler permite que un atacante autorizado eleve privilegios localmente.

La autenticación incorrecta en Microsoft Office SharePoint permite que un atacante autorizado realice suplantación de identidad a través de una red.

El control inadecuado de la generación de código ('inyección de código') en Microsoft Office SharePoint permite que un atacante autorizado ejecute código a través de una red.

El desbordamiento de enteros o el envoltura en Virtual Hard Disk (VHDX) permite que un atacante no autorizado ejecute código localmente.

Use after free en Microsoft Brokering File System permite que un atacante autorizado eleve privilegios localmente.

El desbordamiento del búfer basado en montón en el kernel de Windows permite que un atacante autorizado ejecute código a través de una red.

La aceptación de datos extraños no confiables junto con datos confiables en Windows BitLocker permite que un atacante no autorizado eluda una característica de seguridad con un ataque físico.

La resolución incorrecta de un vínculo antes del acceso a un archivo ('seguimiento de un vínculo') en Windows Update Service permite que un atacante autorizado eleve privilegios localmente.

El desbordamiento del búfer basado en montón en el protocolo SSProvider de Windows Cred permite que un atacante autorizado eleve privilegios localmente.

El desbordamiento de búfer basado en montón en SPNEGO Extended Negotiation de Windows permite que un atacante no autorizado ejecute código a través de una red.

La neutralización incorrecta de elementos especiales utilizados en un comando SQL ('inyección SQL') en Microsoft Configuration Manager permite a un atacante autorizado ejecutar código en una red adyacente.

Existe una vulnerabilidad de cross-site scripting en el punto de acceso de RouterOS de MikroTik en versiones anteriores a la 7.19.2. Un atacante puede inyectar el protocolo `javascript` en el parámetro `dst`. Cuando la víctima accede a la URL maliciosa e inicia sesión, se ejecuta el XSS. La solicitud POST utilizada…