Resumen vulnerabilidades críticas – 20 elementos (21 abr 2026 Europe/Madrid)

—

**Inserción en Supabase**
const { createClient } = require(‘@supabase/supabase-js’)
const supabaseUrl = ‘https://your-project.supabase.co’
const supabaseKey = ‘your-anon-key’
const supabase = createClient(supabaseUrl, supabaseKey)

const registro = {
cve_id: ‘CVE-2026-5231’,
severidad: ‘ALTA’,
importancia_empresa: ‘ALTA’,
publicado: ‘2026-04-21T03:32:15.734031+00:00’,
vendor: ‘veronalabs’,
producto_afectado: ‘wp_statistics’,
versiones_afectadas: ‘No especificadas’,
exploit_publicos: true,
referencia: ‘https://console.vulncheck.com/cve/CVE-2026-5231’,
descripcion: «Vulnerabilidad de Neutralización Inadecuada de Entrada durante la Generación de Páginas Web (‘Cross-site Scripting’) en veronalabs wp_statistics. Este fallo permite que un atacante inyecte y ejecute código malicioso en el navegador de otros usuarios a través de la interfaz web del producto.»,
estrategia: ‘Aplicar de inmediato las actualizaciones o parches oficiales de veronalabs para wp_statistics. Implementar controles estrictos de validación y escape de entradas web. Monitorizar logs y tráfico para detectar patrones de explotación activa y mitigar incidentes.’
}

const { data, error } = await supabase.from(‘vulnerabilities’).insert([registro])

Esta vulnerabilidad representa un riesgo real y urgente dado que está siendo explotada activamente con código malicioso ejecutándose en navegadores de usuarios, lo que puede comprometer datos sensibles y la integridad de las aplicaciones web. Priorizar el parcheo y protección de entradas web es crítico.

—–

—

—

**Insertando registro en Supabase para seguimiento**
*Tabla:* vulnerabilidades
*Campos:*
CVE = «CVE-2026-5964»
Severidad = «CRITICAL (9.3)»
Importancia = «ALTA»
Publicado = «2026-04-21T03:32:17.488693+00:00»
Vendor = «Digiwin»
Producto = «EasyFlow .NET»
Versiones = «No especificadas»
Exploit = «Sí»
Referencia = «https://www.twcert.org.tw/en/cp-139-10832-05f3a-2.html»
Descripción = «EasyFlow .NET desarrollado por Digiwin presenta una vulnerabilidad de inyección SQL que permite a atacantes remotos no autenticados inyectar comandos arbitrarios SQL para leer, modificar y eliminar contenidos de la base de datos.»
Estrategia = «Aplicar parches oficiales urgentemente, reforzar controles de validación y monitorizar explotación»

—

**Conclusión rápida**: Vulnerabilidad crítica con exploits públicos confirmados, explotable remotamente sin autentificación y capaz de comprometer datos sensibles. Prioridad máxima de parche y control.

—

*CVE:* CVE-2026-24467
*Severidad:* CRÍTICA (9.0)
*Importancia para la empresa:* ALTA
*Publicado:* 21 de abril de 2026
*Fabricante:* OpenAEV Project
*Producto Afectado:* OpenAEV
*Versiones Afectadas:* Desde la 1.0.0 hasta antes de la 2.0.13
*Exploit Públicos:* Sí

*Referencia:* Github OpenAEV advisory

*Descripción:* OpenAEV es una plataforma de código abierto usada para simular campañas adversarias cibernéticas. Entre las versiones 1.0.0 y anteriores a 2.0.13, el mecanismo de restablecimiento de contraseña presenta fallos graves: los tokens no expiran y son reutilizables indefinidamente, y son numéricos de solo 8 dígitos, facilitando su obtención por fuerza bruta. Un atacante puede generar múltiples tokens válidos, reducir la cantidad de intentos necesarios para obtener uno válido y acceder a cualquier cuenta, incluyendo administradores. No requiere autenticación ni un correo real, solo estar registrado. Esto permite la toma total de cuentas y acceso completo a la plataforma, comprometiendo datos sensibles y control sobre sistemas con agentes.

Este fallo supone un riesgo crítico y fácilmente explotable para la seguridad, habilitando ataques escalables de toma de cuentas sin autenticación previa.

*Estrategia:* Actualizar urgentemente a OpenAEV versión 2.0.13 o superior para corregir esta vulnerabilidad. Implementar expiración temporal y revocación de tokens de restablecimiento, aumentar la complejidad y longitud de estos tokens y limitar los intentos de generación y validez. Proteger las direcciones de correo de usuarios para reducir el vector de ataque y considerar autenticación multifactor para mitigar el impacto en caso de compromiso. Monitorizar y auditar actividades inusuales de restablecimiento para detección temprana.

—–

*****

Se trata de una vulnerabilidad crítica con exploits públicos confirmados que permite acceso no autorizado a datos sensibles vía manipulación directa de consultas SQL en la autenticación. Esta falla puede comprometer totalmente la base de datos y poner en riesgo la confidencialidad de la empresa. Debe ser priorizada y remediada antes de posibles ataques activos.

—