Una falla de autorización permite que un usuario “solo lectura” ejecute llamadas a APIs críticas, escalando privilegios a nivel administrativo en Elastic Cloud Enterprise.

Se ha identificado la vulnerabilidad CVE-2025-55754 en Apache Tomcat, que permite la inyección de secuencias ANSI en los registros de la consola en entornos Windows, pudiendo ser utilizada por un atacante para manipular la consola, el portapapeles o inducir la ejecución de código malicioso.

Una vulnerabilidad crítica (CVSS 3.1 = 9.8) en el componente Concurrent Processing/BI Publisher Integration de Oracle E-Business Suite versiones 12.2.3 a 12.2.14 permite que un atacante remoto sin autenticarse, mediante acceso HTTP de red, ejecute código arbitrario en el servidor vulnerable.

El plugin Service Finder Bookings para WordPress (versiones ≤ 6.0) permite que un atacante no autenticado manipule la cookie original_user_id en la función service_finder_switch_back() para iniciar sesión como cualquier usuario, incluso administradores. El problema fue corregido en la versión 6.1.

Se identificó una vulnerabilidad crítica en Redis que permite a un usuario autenticado ejecutar código remoto al aprovechar un fallo en el motor de scripting Lua. Afecta versiones anteriores a la 8.2.2 y ya cuenta con parche oficial.

Se ha identificado una vulnerabilidad crítica en el componente Runtime UI del módulo Oracle Configurator de Oracle E-Business Suite (EBS) versiones 12.2.3 a 12.2.14. Un atacante sin autenticación puede explotarla remotamente vía HTTP para acceder a datos sensibles. Oracle ha publicado un parche de emergencia para mitigar este fallo.

Vulnerabilidad crítica en MongoDB para Windows permite ejecución de código por DLL hijacking en versiones anteriores a 6.0.25, 7.0.21 y 8.0.5.

Se identificó una vulnerabilidad crítica en Zimbra Collaboration (ZCS) que permite a un atacante con credenciales válidas configurar un nuevo método de autenticación de dos factores (2FA) sin necesidad de validar el token existente, lo que posibilita eludir la protección 2FA y acceder sin autorización a cuentas protegidas.

El Centro de Gestión de Incidentes Informáticos les informa que actores maliciosos lograron acceder y descargar parcialmente documentación (archivos pdf, odt, ods, odp, csv y otros) del CGII almacenada en la nube NextCloud de AGETIC, entre la documentación a la venta están archivos de evaluaciones de seguridad informática y de Planes institucionales de seguridad de la información.

Una vulnerabilidad en Adobe Commerce y Magento Open Source permite a atacantes tomar control de sesiones de clientes sin interacción del usuario.