Vulnerabilidades

Se trata de una vulnerabilidad en Bitbucket Data Center, Confluence Data Center, Jira Service Management Data Center, Jira Software Data Center, Bamboo Data Center. Crowd Data Center, Crucible y Fisheye. Esta vulnerabilidad de acceso arbitrario a archivos permite a un atacante no autenticado acceder a archivos…

Un atacante remoto no autorizado con acceso de red a través del puerto 4307/TCP al servidor TrueConf, versiones 5.3.X a 5.3.9, 5.4.X a 5.4.9, 5.5.X a 5.5.5 y anteriores, podría usar un script especialmente manipulado para escapar del entorno aislado y ejecutar código arbitrario en el sistema host.

Un atacante remoto no autorizado con acceso de red a través del puerto 4307/TCP al servidor TrueConf, versiones 5.3.X a 5.3.9, 5.4.X a 5.4.9, 5.5.X a 5.5.5 y anteriores, podría ejecutar un script arbitrario llamando a una función no documentada.

VMware vCenter contiene una vulnerabilidad de recorrido de directorios en el servidor Syslog. Un actor malintencionado con acceso de red a vCenter puede explotar este problema para ejecutar código arbitrario.

Una autenticación débil en Microsoft Office SharePoint permite a un atacante no autorizado omitir una característica de seguridad a través de una red.

La deserialización de datos no confiables en Microsoft Office SharePoint permite a un atacante no autorizado ejecutar código a través de una red.

La falta de autenticación para una función crítica en Microsoft Office SharePoint permite a un atacante no autorizado elevar privilegios a través de una red.

La deserialización de datos no confiables en Microsoft Office SharePoint permite a un atacante no autorizado ejecutar código a través de una red.

Un actor malicioso con acceso a la red podría explotar una vulnerabilidad de validación de entrada incorrecta encontrada en dispositivos UniFi OS para ejecutar una inyección de comandos.

Un actor malicioso con acceso a la red podría explotar una vulnerabilidad de salto de ruta encontrada en dispositivos UniFi OS para acceder a archivos en el sistema subyacente que podrían ser manipulados para acceder a una cuenta subyacente.

Un actor malicioso con acceso a la red podría explotar una vulnerabilidad de control de acceso inadecuado encontrada en dispositivos UniFi OS para realizar cambios no autorizados en el sistema.

El 11 de mayo de 2026, entre aproximadamente las 19:20 y las 19:26 UTC, se publicaron en el registro de npm 84 versiones maliciosas de 42 paquetes @tanstack/*. Las publicaciones se autenticaron mediante la vinculación OIDC de editor de confianza de GitHub Actions, legítima para TanStack/router, pero el propio flujo de…

Doble liberación en la extensión IKE de Windows permite a un atacante no autorizado ejecutar código a través de una red.

Vulnerabilidad en el producto Oracle HTTP Server, Oracle Weblogic Server Proxy Plug-in de Oracle Fusion Middleware (componente: Weblogic Server Proxy Plug-in para Servidor HTTP Apache, Weblogic Server Proxy Plug-in para IIS). Las versiones compatibles afectadas son 12.2.1.4.0, 14.1.1.0.0 y 14.1.2.0.0. Una…

La deserialización de datos no confiables en Microsoft Office SharePoint permite a un atacante autorizado ejecutar código a través de una red.

GeoServer es un servidor de código abierto que permite a los usuarios compartir y editar datos geoespaciales. Desde la versión 2.26.0 hasta la 2.26.2 y hasta la 2.25.6, una vulnerabilidad de XML External Entity (XXE) fue identificada. La aplicación acepta entrada XML a través de un endpoint específico /geoserver/wms…

La deserialización de datos no fiables en Windows Server Update Service permite a un atacante no autorizado ejecutar código a través de una red.

La deserialización de datos no confiables en on-premises Microsoft SharePoint Server permite que un atacante no autorizado ejecute código a través de la red. Microsoft tiene conocimiento de la existencia de un exploit para CVE-2025-53770. Microsoft está preparando y probando a fondo una actualización completa para…

En Wing FTP Server anterior a la versión 7.4.4, las interfaces web de usuario y administrador gestionan incorrectamente los bytes '\0', lo que permite la inyección de código Lua arbitrario en los archivos de sesión del usuario. Esto puede usarse para ejecutar comandos de sistema arbitrarios con los privilegios del…

La vulnerabilidad de limitación incorrecta de una ruta de acceso a un directorio restringido en Samsung MagicINFO 9 Server versión anterior a 21.1052 permite a los atacantes escribir archivos arbitrarios como autoridad del sistema.

vCenter Server contiene una vulnerabilidad de escalada de privilegios. Un actor malintencionado con acceso de red al servidor vCenter puede activar esta vulnerabilidad para escalar privilegios a la raíz mediante el envío de un paquete de red especialmente manipulado.

vCenter Server contiene una vulnerabilidad de desbordamiento de pila en la implementación del protocolo DCERPC. Un agente malintencionado con acceso de red al vCenter Server puede desencadenar esta vulnerabilidad enviando un paquete de red especialmente manipulado que podría provocar la ejecución remota de código.

La limitación inadecuada de un nombre de ruta a una vulnerabilidad de directorio restringido en la versión Samsung MagicINFO 9 Server anterior a la 21.1050 permite a los atacantes escribir archivos arbitrarios como autoridad del sistema.

El escape inadecuado de la salida en mod_rewrite en Apache HTTP Server 2.4.59 y versiones anteriores permite a un atacante asignar URL a ubicaciones del sistema de archivos que el servidor permite servir, pero a las que no se puede acceder intencional o directamente mediante ninguna URL, dando como resultado la…

GeoServer es un servidor de código abierto que permite a los usuarios compartir y editar datos geoespaciales. Antes de las versiones 2.23.6, 2.24.4 y 2.25.2, varios parámetros de solicitud de OGC permitían la ejecución remota de código (RCE) por parte de usuarios no autenticados a través de entradas especialmente…