Se ha descubierto una vulnerabilidad que permite a un atacante forzar a Docker Compose, al procesar artefactos OCI remotos, a salir del directorio de caché y sobrescribir archivos arbitrarios en la máquina anfitriona, incluso cuando el usuario sólo ejecuta comandos aparentemente de sólo lectura.

Se identificó una vulnerabilidad crítica en Zoom Workplace/Meeting SDK para Android (versiones 6.4.5 y 6.4.13) que permite a un atacante eludir los controles de acceso y ejecutar acciones no autorizadas en la aplicación.

Se ha identificado una vulnerabilidad en el instalador de NVApp de NVIDIA para Windows, que permite a un atacante local con bajos privilegios explotar un problema de ruta de búsqueda no controlada (CWE-427). Esta falla podría permitir la ejecución de código con privilegios elevados.

Se identificó una vulnerabilidad de inyección SQL en el framework Django que afecta las versiones 5.1 (antes de 5.1.14), 4.2 (antes de 4.2.26) y 5.2 (antes de 5.2.8). El fallo permite que un atacante remoto no autenticado manipule consultas SQL a través del uso indebido del parámetro _connector, lo que podría derivar en acceso no autorizado o filtración de datos.

Una falla de autorización permite que un usuario “solo lectura” ejecute llamadas a APIs críticas, escalando privilegios a nivel administrativo en Elastic Cloud Enterprise.

Se ha identificado la vulnerabilidad CVE-2025-55754 en Apache Tomcat, que permite la inyección de secuencias ANSI en los registros de la consola en entornos Windows, pudiendo ser utilizada por un atacante para manipular la consola, el portapapeles o inducir la ejecución de código malicioso.

Una vulnerabilidad crítica (CVSS 3.1 = 9.8) en el componente Concurrent Processing/BI Publisher Integration de Oracle E-Business Suite versiones 12.2.3 a 12.2.14 permite que un atacante remoto sin autenticarse, mediante acceso HTTP de red, ejecute código arbitrario en el servidor vulnerable.

El plugin Service Finder Bookings para WordPress (versiones ≤ 6.0) permite que un atacante no autenticado manipule la cookie original_user_id en la función service_finder_switch_back() para iniciar sesión como cualquier usuario, incluso administradores. El problema fue corregido en la versión 6.1.

Se identificó una vulnerabilidad crítica en Redis que permite a un usuario autenticado ejecutar código remoto al aprovechar un fallo en el motor de scripting Lua. Afecta versiones anteriores a la 8.2.2 y ya cuenta con parche oficial.

Se ha identificado una vulnerabilidad crítica en el componente Runtime UI del módulo Oracle Configurator de Oracle E-Business Suite (EBS) versiones 12.2.3 a 12.2.14. Un atacante sin autenticación puede explotarla remotamente vía HTTP para acceder a datos sensibles. Oracle ha publicado un parche de emergencia para mitigar este fallo.