| CVE | Vendor | Producto | Severidad | VAfectadas | Exploit |
|---|---|---|---|---|---|
| CVE-2023-42442 | fit2cloud | jumpserver | No especificado (Alta por contexto de explotación) | No especificado | Sí |
| CVE-2026-73181 | ThemeComplete | Extra Product Options & Add-Ons para WooCommerce | ALTA | No especificado claramente, versiones afectadas del plugin Extra Product Options & Add-Ons para WooCommerce | Sí |
| CVE-2026-10526 | WPDeveloper | EmbedPress | ALTA (explotación confirmada) | No especificadas (revisar versiones actuales instaladas) | Sí |
| CVE-2025-14657 | Arraytics | Eventin | ALTA | No especificadas | Sí |
| CVE-2026-103688 | WP Wham | Checkout Files Upload para WooCommerce | ALTA (No especificado CVSS, pero explotación confirmada) | No especificadas, se recomienda asumir todas las versiones hasta parchear | Sí |
| CVE-2026-76418 | Cisco | Cisco Secure Firewall Adaptive Security Appliance y Secure Firewall Threat Defense Software | ALTA (No especificado numericam.) | No especificado en fuente | Sí |
| CVE-2026-118539 | No confirmado | No confirmado | Pendiente de análisis, pero con evidencia de explotación activa | No disponible | Sí |
| CVE-2026-41709 | VMware | VMware Cloud Foundation – ESX | MEDIO-Alto (según contexto) | Versiones afectadas no especificadas (ESX product) | Sí |
| CVE-2026-116690 | lfprojects | mlflow | Alta | No especificadas | Sí |
| CVE-2025-1514 | pluginus | active_products_tables_for_woocommerce | Alta | No especificado | Sí |
| CVE-2020-13945 | Apache Software Foundation | Apache APISIX | ALTA (explotación remota confirmada) | No especificadas explícitamente (se recomienda revisão inmediata de todas las versiones activas) | Sí |
| CVE-2026-104383 | EagleCloud | Pigeon MFA service en EagleCloud Aquila | CRITICAL (9.4) | Versiones hasta la 2.6.7.2 en plataformas on-premises | Sí |
| CVE-2026-109218 | WordPress Plugin Team | Contact Manager plugin para WordPress | CRITICAL (9.8) | todas hasta la 9.1.2 inclusive | Sí |
| CVE-2026-86397 | Dell | PowerProtect Data Domain | CRÍTICA (9.8) | Feature Release 7.7.1.0 a 8.8, LTS2024 7.13.1.0 a 7.13.1.80, LTS2025 8.3.1.0 a 8.3.1.40, LTS2026 8.6.1.0 a 8.6.1.20 | Sí |
| CVE-2026-86400 | Dell | PowerProtect Data Domain | CRITICAL (9.8) | Feature Release 7.7.1.0 a 8.8; LTS2024 7.13.1.0 a 7.13.1.80; LTS2025 8.3.1.0 a 8.3.1.40; LTS2026 8.6.1.0 a 8.6.1.20 | Sí |
| CVE-2026-90717 | Dell | PowerProtect Data Domain Management Center | CRITICAL (9.1) | Feature Release 7.7.1.0 a 8.8, LTS2024 7.13.1.0 a 7.13.1.80, LTS2025 8.3.1.0 a 8.3.1.40, LTS2026 8.6.1.0 a 8.6.1.20 | Sí |
| CVE-2026-14571 | Futurum Software | Software de gestión de Futurum Software | CRITICAL (9.1) | No especificadas | Sí |
| CVE-2026-86384 | Dell | PowerProtect Data Domain | CRITICAL (9.8) | Feature Release 7.7.1.0 a 8.8, LTS2024 7.13.1.0 a 7.13.1.80, LTS2025 8.3.1.0 a 8.3.1.40, LTS2026 8.6.1.0 a 8.6.1.20 | Sí |
| CVE-2026-103780 | Dell | PowerProtect Data Domain | CRITICAL (9.8) | Feature Release 7.7.1.0 a 8.8; LTS2024 7.13.1.0 a 7.13.1.80; LTS2025 8.3.1.0 a 8.3.1.40; LTS2026 8.6.1.0 a 8.6.1.20 | Sí |
| CVE-2026-103792 | Dell | PowerProtect Data Domain Management Center | CRITICAL (9.6) | Feature Release 7.7.1.0 – 8.8; LTS2024 7.13.1.0 – 7.13.1.80; LTS2025 8.3.1.0 – 8.3.1.40; LTS2026 8.6.1.0 – 8.6.1.20 | Sí |
| CVE-2026-103799 | Dell | PowerProtect Data Domain Management Center | CRITICAL (9.6) | Feature Release 7.7.1.0 a 8.8, LTS2024 7.13.1.0 a 7.13.1.80, LTS2025 8.3.1.0 a 8.3.1.40, LTS2026 8.6.1.0 a 8.6.1.20 | Sí |
| CVE-2026-112197 | Tactis | NoviGest Desktop App | CRÍTICA (9.4) | Todas las versiones afectadas hasta el 29 | Sí |
| CVE-2026-114278 | Eclipse Foundation | che-machine-exec | CRITICAL (9.8) | Todas las versiones con autenticación deshabilitada (configuración por defecto) | Sí |
| CVE-2026-111411 | Aman | FunnelKit Automations (wp-marketing-automations) | CRITICAL (9.3) | Desde versiones no especificadas hasta 3.8.5.2 | Sí |
| CVE-2026-115607 | Crowd Favorite | DXP ToolKit | CRÍTICA (9.3) | Hasta la versión 2.0.1 inclusive | Sí |
| CVE-2026-115904 | Topluyo | AfectadoTopluyo Desktop para Linux | CRÍTICA (9.6) | Versiones anteriores a 2026.9.2410 | Sí |
| CVE-2026-67074 | HCL | HCL BigFix AEX | CRITICAL (9.1) | Versiones afectadas no especificadas en el aviso | Sí |
| CVE-2026-105420 | Wing FTP Software | Wing FTP Server | CRÍTICA (9.4) | versiones anteriores a 8.2.6 | Sí |
| CVE-2026-115968 | Ultimate Member | Ultimate Member | CRITICAL (9.8) | Desde n | Sí |
| CVE-2026-44179 | XWiki | XWiki Remote Macros | CRITICAL (9.9) | Desde 1.13 hasta 1.14.5 (excepto 1.14.5) | Sí |
| CVE-2026-103406 | Juniper Networks | Session Smart Conductor – AutomatedProvisioner | CRITICAL (9.8) | No especificadas en la fuente, validar con el fabricante | Sí |
| CVE-2026-103409 | Juniper Networks | Session Smart Router | CRITICAL (9.8) | Dispositivos no onboardeados a Mist | Sí |
| CVE-2026-118264 | Labstack | Echo (framework web Go) | CRITICAL (9.1) | 4.0.0 hasta 4.16.1 y 5.4.1 | Sí |
| CVE-2026-118633 | Sophos | Sophos UTM | CRITICAL (9.2) | Todas las versiones | Sí |
| CVE-2026-117574 | Red Hat | ai-gateway-payload-processing | CRÍTICA (9.1) | No especificadas, afecta a implementaciones actuales | Sí |
| CVE-2026-63190 | FearlessCMS | FearlessCMS (Sistema de gestión de contenido basado en archivos) | CRÍTICA (9.4) | Versiones anteriores a 0.1.4 | Sí |
| CVE-2026-118690 | Signal K | Signal K Server | CRITICAL (9.3) | versiones anteriores a 2.33.0 | Sí |
| CVE-2026-61564 | WWBN | AVideo (plataforma para compartir vídeos) | CRITICAL (10) | versiones anteriores a la 8.1.0 | Sí |
| CVE-2026-61567 | WWBN | AVideo (Video-sharing Platform) | CRITICAL (10) | Anterior a la 8.1.0 | Sí |
| CVE-2026-66088 | openEQUELLA | openEQUELLA | CRITICAL (9.4) | versiones anteriores a 2026.1 | Sí |
| CVE-2026-109516 | WooCommerce (Automattic) | Bot for Telegram on WooCommerce plugin para WordPress | CRÍTICA (9.8) | Todas las versiones hasta e incluyendo la 1.3.0 | Sí |
| CVE-2026-42922 | FUXA | Funcionalidad | CRITICAL (9.8) | 1.3.2-2809 | Sí |
| CVE | CVE-2023-42442 |
| Severidad | No especificado (Alta por contexto de explotación) |
| Importancia para la empresa | ALTA |
| Publicado | 29 octubre 2026 |
| Vendor | fit2cloud |
| Producto | jumpserver |
| Versiones | No especificado |
| Exploit Públicos | Sí, está siendo explotada |
| Referencia | Vulncheck CVE-2023-42442 |
| Descripción | Vulnerabilidad de Autenticación Incorrecta en fit2cloud jumpserver que permite acceso no autorizado debido a mecanismos de autenticación deficientes. Esta falla puede ser explotada para evadir controles y obtener acceso sin credenciales válidas. |
| Estrategia | Actualizar urgentemente a la versión que corrige la autenticación o implementar controles adicionales de autenticación fuerte (MFA, revisiones de acceso). Monitorizar logs para detectar intentos de acceso no autorizados y responder rápidamente a indicios de explotación activa. |
—
*Esta vulnerabilidad es crítica porque permite a atacantes eludir la autenticación y acceder sin autorización a sistemas sensibles. Explotada activamente en el entorno, representa un riesgo real para la seguridad operacional y confidencialidad de la empresa.*
—
Realizada la inserción en Supabase con los datos proporcionados para seguimiento interno.
| CVE | CVE-2026-73181 |
| Severidad | ALTA |
| Importancia para la empresa | ALTA |
| Publicado | 29 de octubre de 2026 |
| Vendor | ThemeComplete |
| Producto | Extra Product Options & Add-Ons para WooCommerce |
| Versiones | No especificado claramente, versiones afectadas del plugin Extra Product Options & Add-Ons para WooCommerce |
| Exploit Públicos | Sí, actualmente en explotación activa |
| Referencia | Más detalles CVE-2026-73181 |
| Descripción | Vulnerabilidad de Limitación Incorrecta de una Ruta a un Directorio Restringido (‘Path Traversal’) en el plugin Extra Product Options & Add-Ons para WooCommerce desarrollado por ThemeComplete. Esta vulnerabilidad permite a un atacante acceder a archivos arbitrarios dentro del sistema de archivos del servidor, fuera de los límites permitidos por la aplicación. |
| Estrategia | Aplicar inmediatamente cualquier actualización o parche oficial publicado por ThemeComplete que corrija esta vulnerabilidad. Limitar el acceso al plugin y monitorear los logs en busca de intentos de path traversal. Implementar controles adicionales de validación y saneamiento estrictos en las rutas y parámetros del sistema de archivos usados por la aplicación. Dado que la explotación es activa, priorizar esta corrección con urgencia para proteger la infraestructura y evitar accesos no autorizados. |
| CVE | CVE-2026-10526 |
| Severidad | ALTA (explotación confirmada) |
| Importancia para la empresa | ALTA |
| Publicado | 29 Oct 2026, 04:31 (UTC) |
| Vendor | WPDeveloper |
| Producto | EmbedPress |
| Versiones | No especificadas (revisar versiones actuales instaladas) |
| Exploit Públicos | Sí, en explotación activa |
| Referencia | Vulncheck CVE Details |
| Descripción | Vulnerabilidad de Server-Side Request Forgery (SSRF) en EmbedPress de WPDeveloper. Esta falla permite a un atacante forzar al servidor vulnerable a realizar solicitudes arbitrarias a destinos internos o externos, potencialmente accediendo a recursos sensibles o sistemas inaccesibles directamente. La vulnerabilidad ya está siendo explotada activamente. |
| Estrategia | Aplicar inmediatamente la actualización oficial del plugin EmbedPress emitida por WPDeveloper. Revisar y restringir las políticas de acceso interno para mitigar solicitudes no autorizadas. Monitorizar logs para detectar patrones de SSRF y potencial tráfico inusual. Considerar filtros adicionales en el servidor para bloquear destinos internos críticos. |
—
| CVE | CVE-2025-14657 |
| Severidad | ALTA |
| Importancia para la empresa | ALTA |
| Publicado | 29 de octubre de 2026, 04:31 (UTC) |
| Vendor | Arraytics |
| Producto | Eventin |
| Versiones | No especificadas |
| Exploit Públicos | Sí, se está explotando |
| Referencia | Vulncheck Advisory |
| Descripción | Vulnerabilidad por falta de autorización en el producto Eventin de Arraytics que permite acceso no autorizado debido a la ausencia de comprobaciones de autorización en ciertas funciones.
Esta vulnerabilidad permite que atacantes accedan sin permisos a funcionalidades o datos restringidos, potencialmente comprometiendo la integridad y confidencialidad de la información. Se ha confirmado explotación activa de esta vulnerabilidad, aumentando el riesgo para la empresa. |
| Estrategia | Aplicar de inmediato los parches oficiales proporcionados por Arraytics o actualizar el producto Eventin a la versión corregida. Revisar y reforzar los controles de autorización en todas las interfaces del producto para evitar accesos no autorizados. Además, monitorizar activamente los sistemas para detectar intentos de explotación o accesos anómalos vinculados a esta vulnerabilidad. |
—
*He registrado el CVE en Supabase conforme a tus indicaciones para seguimiento.*
| CVE | CVE-2026-103688 |
| Severidad | ALTA (No especificado CVSS, pero explotación confirmada) |
| Importancia para la empresa | ALTA |
| Publicado | 29 Octubre 2026 |
| Vendor | WP Wham |
| Producto | Checkout Files Upload para WooCommerce |
| Versiones | No especificadas, se recomienda asumir todas las versiones hasta parchear |
| Exploit Públicos | Sí, explotación confirmada en entorno real |
| Referencia | Detalle CVE – Lista KEV |
| Descripción | Vulnerabilidad de Carga Irrestricta de Archivos con Tipo Peligroso en Checkout Files Upload de WooCommerce por WP Wham que permite subir archivos maliciosos sin ninguna restricción, facilitando ataques remotos contra la aplicación afectada.
Esta falla permite a un atacante remoto cargar archivos que pueden contener código malicioso o scripts ejecutables, comprometiendo la integridad del servidor o permitiendo la ejecución remota de código. |
| Estrategia | Actualizar inmediatamente el plugin a la última versión corregida o deshabilitar la funcionalidad vulnerable. Implementar controles estrictos de validación y filtrado de tipos de archivo en la capa de aplicaciones y firewall. Monitorizar activamente intentos de explotación y accesos inusuales para detectar actividad maliciosa en tiempo real. |
| CVE | CVE-2026-76418 |
| Severidad | ALTA (No especificado numericam.) |
| Importancia para la empresa | ALTA |
| Publicado | 2026-10-29 |
| Vendor | Cisco |
| Producto | Cisco Secure Firewall Adaptive Security Appliance y Secure Firewall Threat Defense Software |
| Versiones | No especificado en fuente |
| Exploit Públicos | Sí, explotación activa confirmada |
| Referencia | Cisco Secure Firewall Advisory |
| Descripción | Vulnerabilidad de denegación de servicio (DoS) en los túneles VPN SSL de Cisco Secure Firewall Adaptive Security Appliance y Secure Firewall Threat Defense Software. Esta falla permite a un atacante remoto con acceso a la VPN provocar una denegación de servicio interrumpiendo la conectividad y afectando la disponibilidad del sistema.
Esta vulnerabilidad está siendo explotada activamente, lo que incrementa el riesgo para cualquier organización que utilice estos productos como parte de su infraestructura de seguridad de red. |
| Estrategia | Aplicar de inmediato los parches oficiales proporcionados por Cisco. Revisar configuraciones VPN para limitar accesos innecesarios y monitorizar actividad anómala en túneles SSL. Priorizar esta vulnerabilidad debido a su explotación activa y alto impacto en la continuidad operativa. |
*****
He insertado el registro correspondiente en la base de datos Supabase para seguimiento y análisis.
| CVE | CVE-2026-118539 |
| Severidad | Pendiente de análisis, pero con evidencia de explotación activa |
| Importancia para la empresa | ALTA |
| Publicado | 29 de octubre de 2026 |
| Vendor | No confirmado |
| Producto | No confirmado |
| Versiones | No disponible |
| Exploit Públicos | Sí, evidencia de explotación activa |
| Referencia | Vulncheck CVE-2026-118539 |
| Descripción | Vulnerabilidad bajo análisis, detalles y producto aún no confirmados, pero con evidencia clara de explotación activa en entornos reales.
Este CVE representa un riesgo inmediato debido a que ya se está utilizando para ataques reales; sin embargo, falta información específica sobre los sistemas afectados y la naturaleza exacta de la vulnerabilidad. |
| Estrategia | Adoptar una postura de alerta máxima: monitorizar logs y tráfico para detección de actividad sospechosa relacionada con esta CVE, aplicar controles de acceso restrictivos y actualizar inmediatamente tras la disponibilidad oficial del parche. Establecer comunicación con proveedores para agilizar confirmación y mitigación. |
| CVE | CVE-2026-41709 |
| Severidad | MEDIO-Alto (según contexto) |
| Importancia para la empresa | ALTA |
| Publicado | 29 de Octubre de 2026 |
| Vendor | VMware |
| Producto | VMware Cloud Foundation – ESX |
| Versiones | Versiones afectadas no especificadas (ESX product) |
| Exploit Públicos | Sí, se está explotando activamente |
| Referencia | VulnCheck CVE-2026-41709 |
| Descripción | Vulnerabilidad de registro insuficiente en VMware Cloud Foundation ESX, que puede permitir a atacantes evadir la detección o análisis forense debido a mecanismos inadecuados de logging. |
| Estrategia | Priorizar inmediata actualización y aplicación del parche oficial de VMware. Complementar con auditorías exhaustivas de logs actuales, mejorar configuración para maximizar el registro de eventos críticos y monitorizar activamente indicadores de compromiso para detectar posibles evasiones. |
| CVE | CVE-2026-116690 |
| Severidad | Alta |
| Importancia para la empresa | ALTA |
| Publicado | 2026-10-29T04:31:42.008016+00:00 |
| Vendor | lfprojects |
| Producto | mlflow |
| Versiones | No especificadas |
| Exploit Públicos | Sí, en explotación activa |
| Referencia | Detalles CVE, KEV, FAQ KEV |
| Descripción | Vulnerabilidad de Limitación Incorrecta de una Ruta a un Directorio Restringido (Path Traversal) en lfprojects mlflow que permite a un atacante acceder a archivos fuera de los directorios permitidos.
Esta vulnerabilidad permite que atacantes manipulen las rutas de archivo para acceder y potencialmente modificar o ejecutar archivos sensibles en el sistema, poniendo en grave riesgo la confidencialidad e integridad de los datos gestionados por mlflow. Está siendo explotada activamente en entornos reales. |
| Estrategia | Parchear inmediatamente con la última versión suministrada por lfprojects que corrija esta limitación de ruta. Implementar controles estrictos de validación y saneamiento de rutas de entrada. Monitorizar accesos a archivos sensibles para detectar actividad maliciosa y bloquear accesos no autorizados. |
| CVE | CVE-2025-1514 |
| Severidad | Alta |
| Importancia para la empresa | ALTA |
| Publicado | Mié, 29 Oct 2026, 04:31 (UTC) |
| Vendor | pluginus |
| Producto | active_products_tables_for_woocommerce |
| Versiones | No especificado |
| Exploit Públicos | Sí, está siendo explotada activamente |
| Referencia | Vulncheck CVE-2025-1514 |
| Descripción | Vulnerabilidad de Validación de Entrada Incorrecta en el plugin «active_products_tables_for_woocommerce» desarrollado por pluginus. Esta vulnerabilidad permite a un atacante enviar entradas mal formadas que no son correctamente validadas, lo que puede derivar en ejecución de código malicioso, acceso no autorizado o corrupción de datos dentro del sistema afectado.
El exploit está siendo activamente utilizado en entornos reales, lo que aumenta considerablemente el riesgo para cualquier entorno que utilice este plugin sin parchear. |
| Estrategia | Aplicar inmediatamente el parche oficial suministrado por el fabricante. Como medida adicional, restringir el acceso a interfaces de entrada y monitorizar logs en busca de patrones de explotación. Implementar validaciones de entrada estrictas a nivel de firewall o WAF para bloquear tráfico malicioso. Priorizar esta vulnerabilidad dada su explotación activa para evitar posibles brechas y compromisos de seguridad. |
| CVE | CVE-2020-13945 |
| Severidad | ALTA (explotación remota confirmada) |
| Importancia para la empresa | ALTA |
| Publicado | 2026-10-29 04:31 UTC |
| Vendor | Apache Software Foundation |
| Producto | Apache APISIX |
| Versiones | No especificadas explícitamente (se recomienda revisão inmediata de todas las versiones activas) |
| Exploit Públicos | Sí, hay evidencia de explotación activa en entornos productivos |
| Referencia | Detalles CVE-2020-13945 |
| Descripción | Vulnerabilidad en Apache APISIX que permite la explotación remota, confirmada con evidencia de explotación activa en entornos productivos. Esta vulnerabilidad puede permitir a un atacante remoto ejecutar código o manipular el sistema afectado sin necesidad de autenticación previa. |
| Estrategia | Priorizar la actualización inmediata a la versión parcheada recomendada por Apache. Implementar controles de monitoreo activo para detectar explotación en tráfico de red y en los sistemas afectados. Restringir acceso a servicios expuestos y aplicar reglas de firewall específicas para limitar vectores de ataque conocidos. |
—
| CVE | CVE-2026-104383 |
| Severidad | CRITICAL (9.4) |
| Importancia para la empresa | ALTA |
| Publicado | 29 de Octubre de 2026 |
| Vendor | EagleCloud |
| Producto | Pigeon MFA service en EagleCloud Aquila |
| Versiones | Versiones hasta la 2.6.7.2 en plataformas on-premises |
| Exploit Públicos | Sí, confirmados |
| Referencia | Mandiant Vulnerability Disclosure |
| Descripción | Control inadecuado en la generación de código en el servicio Pigeon MFA de EagleCloud Aquila versiones hasta 2.6.7.2 en plataformas on-premises, que permite a atacantes remotos autenticados ejecutar código arbitrario mediante inyección de código. |
| Estrategia | Aplicar inmediatamente el parche oficial o actualizar a la versión corregida superior a la 2.6.7.2. Revisar controles de acceso para reducir usuarios autenticados con permisos elevados. Monitorizar logs para detectar actividad sospechosa de inyección de código y acceso remoto no autorizado. |
—
He realizado la inserción en Supabase con los valores correspondientes para este CVE.
| CVE | CVE-2026-109218 |
| Severidad | CRITICAL (9.8) |
| Importancia para la empresa | ALTA |
| Publicado | 29 Oct 2026, 04:31 (UTC) |
| Vendor | WordPress Plugin Team |
| Producto | Contact Manager plugin para WordPress |
| Versiones | todas hasta la 9.1.2 inclusive |
| Exploit Públicos | Sí, confirmados |
| Referencia | Contact Manager Plugin WP</td |
| Descripción | El plugin Contact Manager para WordPress es vulnerable a la subida arbitraria de archivos en todas las versiones hasta la 9.1.2 inclusive mediante la función add_message. Esto se debe a una lista negra incompleta de extensiones que no detecta extensiones peligrosas cuando un punto final provoca que la derivación de la extensión devuelva una cadena vacía que sanitize_file_name() elimina silenciosamente antes de escribir el archivo en disco. Un atacante no autenticado puede subir archivos potencialmente ejecutables, permitiendo la ejecución remota de código. La explotación exitosa requiere que el servidor use Apache con libapache2-mod-php, que interpreta .phar como PHP, y que el atacante acceda al archivo subido antes de que unlink() lo elimine al final de la petición. |
| Estrategia | Actualizar inmediatamente el plugin Contact Manager a una versión parcheada superior a la 9.1.2. Confirmar que el servidor no permite la ejecución de archivos .phar o similares sin restricciones y monitorizar intentos de subida de archivos sospechosos. Como medida adicional, restringir permisos de escritura en directorios donde se alojan archivos subidos y limitar el acceso no autenticado a esta función para evitar explotación activa. |
| CVE | CVE-2026-86397 |
| Severidad | CRÍTICA (9.8) |
| Importancia para la empresa | ALTA |
| Publicado | 29 Octubre 2026 |
| Vendor | Dell |
| Producto | PowerProtect Data Domain |
| Versiones | Feature Release 7.7.1.0 a 8.8, LTS2024 7.13.1.0 a 7.13.1.80, LTS2025 8.3.1.0 a 8.3.1.40, LTS2026 8.6.1.0 a 8.6.1.20 |
| Exploit Públicos | Sí |
| Referencia | Dell Security Advisory</td |
| Descripción | Dell PowerProtect Data Domain, versiones Feature Release 7.7.1.0 a 8.8, LTS2024 7.13.1.0 a 7.13.1.80, LTS2025 8.3.1.0 a 8.3.1.40, LTS2026 8.6.1.0 a 8.6.1.20, contienen una vulnerabilidad de autenticación incorrecta. Un atacante no autenticado con acceso remoto podría explotarla para crear cuentas con privilegios elevados, tomando control completo del sistema. |
| Estrategia | Priorizar la actualización inmediata a la versión parcheada según Dell. Restringir acceso remoto a la plataforma. Monitorizar intentos de creación de cuentas privilegiadas y reforzar la autenticación para evitar accesos no autorizados. Dada la existencia de exploits públicos confirmados, esta vulnerabilidad debe ser tratada con máxima prioridad. |
—–
***Inserción en Supabase realizada con los campos relevantes para seguimiento y mitigación***
| CVE | CVE-2026-86400 |
| Severidad | CRITICAL (9.8) |
| Importancia para la empresa | ALTA |
| Publicado | 29 Octubre 2026 |
| Vendor | Dell |
| Producto | PowerProtect Data Domain |
| Versiones | Feature Release 7.7.1.0 a 8.8; LTS2024 7.13.1.0 a 7.13.1.80; LTS2025 8.3.1.0 a 8.3.1.40; LTS2026 8.6.1.0 a 8.6.1.20 |
| Exploit Públicos | Sí |
| Referencia | Avviso de seguridad Dell</td |
| Descripción | Dell PowerProtect Data Domain en versiones Feature Release desde 7.7.1.0 hasta 8.8, LTS2024 desde 7.13.1.0 hasta 7.13.1.80, LTS2025 de 8.3.1.0 a 8.3.1.40 y LTS2026 de 8.6.1.0 a 8.6.1.20, contiene una vulnerabilidad de autenticación inadecuada. Un atacante no autenticado con acceso remoto podría explotarla para ejecutar comandos arbitrarios con privilegios root, comprometiendo completamente el sistema. |
| Estrategia | Actualizar inmediatamente a la versión parcheada más reciente recomendada por Dell. Limitar acceso remoto solo a usuarios confiables, monitorear actividad anómala y asegurar configuración de autenticación reforzada para evitar accesos no autorizados. Considerar bloqueo temporal de interfaces remotas no esenciales hasta aplicar el parche. |
—–
Se registra con Supabase para seguimiento interno y controles.
| CVE | CVE-2026-90717 |
| Severidad | CRITICAL (9.1) |
| Importancia para la empresa | ALTA |
| Publicado | 29 de Octubre de 2026 |
| Vendor | Dell |
| Producto | PowerProtect Data Domain Management Center |
| Versiones | Feature Release 7.7.1.0 a 8.8, LTS2024 7.13.1.0 a 7.13.1.80, LTS2025 8.3.1.0 a 8.3.1.40, LTS2026 8.6.1.0 a 8.6.1.20 |
| Exploit Públicos | Sí |
| Referencia | Dell Advisory DSA-2026-416 |
| Descripción | Dell PowerProtect Data Domain Management Center, versiones Feature Release 7.7.1.0 a 8.8, versiones LTS2024 7.13.1.0 a 7.13.1.80, LTS2025 8.3.1.0 a 8.3.1.40, LTS2026 8.6.1.0 a 8.6.1.20, contienen una vulnerabilidad de omisión de autenticación mediante suplantación. Un atacante con bajo privilegio y acceso remoto podría explotar esta vulnerabilidad para elevar privilegios. Esto podría impactar otros sistemas Data Domain gestionados. |
| Estrategia | Aplicar de inmediato las actualizaciones oficiales publicadas por Dell que corrigen esta vulnerabilidad. Restringir el acceso remoto solo a usuarios autorizados y monitorear intentos de acceso anómalos. Implementar sistemas de detección de intrusiones para detectar actividad sospechosa relacionada con elevación de privilegios. |
—
*Evaluación:* Esta vulnerabilidad es crítica con exploit público conocido y permite a un atacante remoto sin privilegios legítimos elevar sus permisos, poniendo en riesgo la integridad de los sistemas de almacenamiento y gestión de datos. Es prioritaria su mitigación inmediata para evitar compromisos graves en la infraestructura de backup y recuperación. Se recomienda verificar si ya existen signos de explotación en los sistemas Dell PowerProtect Data Domain y priorizar la actualización cuanto antes.
| CVE | CVE-2026-14571 |
| Severidad | CRITICAL (9.1) |
| Importancia para la empresa | ALTA |
| Publicado | 29/10/2026, 04:31 (UTC) |
| Vendor | Futurum Software |
| Producto | Software de gestión de Futurum Software |
| Versiones | No especificadas |
| Exploit Públicos | Sí |
| Referencia | INCIBE Advisory |
| Descripción | Vulnerabilidad de Blind SQL Injection en el software de gestión de Futurum Software, causada por la falta de validación y saneamiento adecuados de las entradas proporcionadas por el usuario en las consultas a la base de datos de la zona privada, además de una configuración incorrecta del WAF. Esta debilidad permite eludir los mecanismos de protección simplemente enviando peticiones HTTP manipuladas. La explotación exitosa puede permitir a un atacante no autenticado ejecutar consultas arbitrarias contra la base de datos, extraer su estructura completa y obtener acceso a información sensible de clientes, incluyendo datos personales identificables (PII). |
| Estrategia | Aplicar inmediatamente los parches oficiales de Futurum Software para corregir esta vulnerabilidad. Revisar y corregir la configuración del WAF para bloquear adecuadamente peticiones manipuladas. Realizar auditorías de entrada y saneamiento para prevenir inyección SQL. Monitorizar logs de base de datos y web para detectar patrones de explotación y actividad anómala. |
| CVE | CVE-2026-86384 |
| Severidad | CRITICAL (9.8) |
| Importancia para la empresa | ALTA |
| Publicado | 29 Octubre 2026 |
| Vendor | Dell |
| Producto | PowerProtect Data Domain |
| Versiones | Feature Release 7.7.1.0 a 8.8, LTS2024 7.13.1.0 a 7.13.1.80, LTS2025 8.3.1.0 a 8.3.1.40, LTS2026 8.6.1.0 a 8.6.1.20 |
| Exploit Públicos | Sí |
| Referencia | Dell Advisory</td |
| Descripción | Dell PowerProtect Data Domain versiones Feature Release 7.7.1.0 a 8.8, LTS2024 7.13.1.0 a 7.13.1.80, LTS2025 8.3.1.0 a 8.3.1.40, y LTS2026 8.6.1.0 a 8.6.1.20 contienen una vulnerabilidad de Uso de Clave Criptográfica Codificada. Un atacante no autenticado con acceso remoto podría explotarla y obtener exposición de credenciales, lo que le permitiría acceder al sistema con privilegios del usuario comprometido. |
| Estrategia | Aplicar inmediatamente los parches oficiales publicados por Dell para todas las versiones afectadas. Revisar configuraciones de acceso remoto y credenciales. Monitorizar tráfico y eventos anómalos para detectar intentos de explotación activa. Implementar controles adicionales de segmentación de red y autenticación multifactor. |
| CVE | CVE-2026-103780 |
| Severidad | CRITICAL (9.8) |
| Importancia para la empresa | ALTA |
| Publicado | 29-10-2026 04:31 (UTC) |
| Vendor | Dell |
| Producto | PowerProtect Data Domain |
| Versiones | Feature Release 7.7.1.0 a 8.8; LTS2024 7.13.1.0 a 7.13.1.80; LTS2025 8.3.1.0 a 8.3.1.40; LTS2026 8.6.1.0 a 8.6.1.20 |
| Exploit Públicos | Sí |
| Referencia | Dell Security Advisory |
| Descripción | Dell PowerProtect Data Domain, versiones Feature Release desde 7.7.1.0 hasta 8.8, LTS2024 desde 7.13.1.0 hasta 7.13.1.80, LTS2025 desde 8.3.1.0 hasta 8.3.1.40 y LTS2026 desde 8.6.1.0 hasta 8.6.1.20 contienen una vulnerabilidad de desbordamiento de búfer basado en pila (Stack-based Buffer Overflow). Un atacante no autenticado con acceso remoto podría explotar esta vulnerabilidad, lo que puede conducir a la ejecución de comandos arbitrarios. |
| Estrategia | Aplicar inmediatamente los parches y actualizaciones proporcionados por Dell para las versiones afectadas. Restringir y monitorizar el acceso remoto para reducir la exposición y detectar intentos de explotación. Priorizar esta vulnerabilidad dada la facilidad potencial de explotación remota sin autenticación y su capacidad para permitir ejecución remota de código. |
| CVE | CVE-2026-103792 |
| Severidad | CRITICAL (9.6) |
| Importancia para la empresa | ALTA |
| Publicado | 29 Octubre 2026, 04:31 (UTC) |
| Vendor | Dell |
| Producto | PowerProtect Data Domain Management Center |
| Versiones | Feature Release 7.7.1.0 – 8.8; LTS2024 7.13.1.0 – 7.13.1.80; LTS2025 8.3.1.0 – 8.3.1.40; LTS2026 8.6.1.0 – 8.6.1.20 |
| Exploit Públicos | Sí |
| Referencia | DSA-2026-416 Security Update Dell PowerProtect |
| Descripción | Dell PowerProtect Data Domain Management Center, versiones Feature Release 7.7.1.0 hasta 8.8, LTS2024 7.13.1.0 hasta 7.13.1.80, LTS2025 8.3.1.0 hasta 8.3.1.40, y LTS2026 8.6.1.0 hasta 8.6.1.20, contienen una vulnerabilidad de Neutralización Incorrecta de Elementos Especiales usados en un Comando SQL (‘Inyección SQL’). Un atacante con bajos privilegios y acceso remoto podría explotarla, provocando acceso no autorizado a sistemas gestionados. |
| Estrategia | Aplicar inmediatamente el parche oficial publicado por Dell para todas las versiones afectadas. Limitar el acceso remoto a la consola de gestión a usuarios confiables y monitorizar intentos de explotación. Revisar logs para detectar actividades sospechosas y fortalecer controles de acceso y validación de entradas para minimizar riesgos de inyección SQL. |
| CVE | CVE-2026-103799 |
| Severidad | CRITICAL (9.6) |
| Importancia para la empresa | ALTA |
| Publicado | 29 de octubre de 2026 |
| Vendor | Dell |
| Producto | PowerProtect Data Domain Management Center |
| Versiones | Feature Release 7.7.1.0 a 8.8, LTS2024 7.13.1.0 a 7.13.1.80, LTS2025 8.3.1.0 a 8.3.1.40, LTS2026 8.6.1.0 a 8.6.1.20 |
| Exploit Públicos | Sí |
| Referencia | Dell Security Advisory |
| Descripción | Dell PowerProtect Data Domain Management Center, versiones Feature Release 7.7.1.0 hasta 8.8, LTS2024 versiones 7.13.1.0 a 7.13.1.80, LTS2025 versiones 8.3.1.0 a 8.3.1.40, y LTS2026 versiones 8.6.1.0 a 8.6.1.20 contienen una vulnerabilidad de autorización faltante. Un atacante con bajo privilegio y acceso remoto podría explotarla para realizar operaciones no autorizadas en sistemas gestionados. |
| Estrategia | Actualizar inmediatamente a las versiones corregidas publicadas por Dell y aplicar los parches oficiales. Restringir el acceso remoto a sistemas de gestión y monitorizar actividad inusual para detectar posibles intentos de explotación activa dada la disponibilidad de exploits públicos. |
*****
| CVE | CVE-2026-112197 |
| Severidad | CRÍTICA (9.4) |
| Importancia para la empresa | ALTA |
| Publicado | 29 de octubre de 2026, 04:31 (UTC) |
| Vendor | Tactis |
| Producto | NoviGest Desktop App |
| Versiones | Todas las versiones afectadas hasta el 29/10/2026 |
| Exploit Públicos | Sí |
| Referencia | INCIBE Aviso de Seguridad |
| Descripción | Vulnerabilidad debido a falta de autenticación en funciones críticas del servicio Java RMI de NoviGest Desktop App. Un atacante con acceso de red al servicio puede invocar métodos remotos sin autenticación, obtener credenciales sensibles y ejecutar consultas SQL arbitrarias en PostgreSQL. Los privilegios elevados de la cuenta de base de datos permiten encadenar estas capacidades para ejecutar comandos en el sistema operativo del servidor, comprometiendo la confidencialidad, integridad y disponibilidad. |
| Estrategia | Aplicar inmediatamente el parche oficial o actualizar a la última versión que corrija la falta de autenticación en el servicio Java RMI. Restringir el acceso de red a este servicio solo a hosts de confianza mediante firewall o segmentación de red. Monitorizar accesos y consultas inusuales en la base de datos y sistema operativo para detectar posibles ataques en curso. |
| CVE | CVE-2026-114278 |
| Severidad | CRITICAL (9.8) |
| Importancia para la empresa | ALTA |
| Publicado | 29 de Octubre de 2026 |
| Vendor | Eclipse Foundation |
| Producto | che-machine-exec |
| Versiones | Todas las versiones con autenticación deshabilitada (configuración por defecto) |
| Exploit Públicos | Sí |
| Referencia | Commit de corrección oficial |
| Descripción | El servicio che-machine-exec construye un comando shell concatenando sin ninguna protección entradas controladas por el usuario (campos username y namespace de los endpoints JSON /exec/init y /exec/config), dentro de una invocación sh -c «echo …». Cuando che-machine-exec se ejecuta con la autenticación deshabilitada (configuración predeterminada), un atacante con acceso a la red puede ejecutar código remotamente en los contenedores a los que che-machine-exec tiene acceso, usando sustitución de comandos en shell ($(…) o backticks).
Esta vulnerabilidad permite la ejecución remota de comandos sin restricciones en los contenedores afectados, lo que implica un riesgo crítico de comprometer sistemas internos mediante exploits remotos sin necesidad de credenciales. |
| Estrategia | Actualizar inmediatamente che-machine-exec a la versión parcheada tras el commit oficial. Además, habilitar la autenticación necesaria para evitar acceso no autorizado y restringir redes que puedan acceder al servicio. Monitorear e investigar posibles actividades anómalas o ejecuciones remotas sospechosas derivadas de esta vulnerabilidad. |
—
***Registro insertado en Supabase con éxito para CVE-2026-114278***
| CVE | CVE-2026-111411 |
| Severidad | CRITICAL (9.3) |
| Importancia para la empresa | ALTA |
| Publicado | 29/10/2026, 04:31 (UTC) |
| Vendor | Aman |
| Producto | FunnelKit Automations (wp-marketing-automations) |
| Versiones | Desde versiones no especificadas hasta 3.8.5.2 |
| Exploit Públicos | Sí |
| Referencia | Patchstack Advisory |
| Descripción | Vulnerabilidad de Neutralización Inadecuada de Elementos Especiales usados en Comandos SQL (‘SQL Injection’) en Aman FunnelKit Automations wp-marketing-automations permite una inyección SQL ciega. Este problema afecta a FunnelKit Automations en versiones desde no especificadas hasta la 3.8.5.2.
La vulnerabilidad permite que un atacante remoto inserte comandos SQL maliciosos en las consultas de la base de datos, pudiendo extraer o modificar datos sensibles sin interacción directa de la víctima. El exploit público existente facilita su explotación, lo que incrementa la probabilidad de ataques exitosos y compromete la integridad y confidencialidad de la información almacenada. |
| Estrategia | Aplicar con urgencia el parche o actualizar a la versión más reciente que corrija esta vulnerabilidad. Revisar y reforzar validaciones de entrada para comandos SQL en todas las instancias afectadas. Monitorizar logs para detectar patrones de explotación de inyección SQL y limitar accesos directos a la base de datos desde código vulnerable. |
| CVE | CVE-2026-115607 |
| Severidad | CRÍTICA (9.3) |
| Importancia para la empresa | ALTA |
| Publicado | 29 de octubre de 2026, 04:31 UTC |
| Vendor | Crowd Favorite |
| Producto | DXP ToolKit |
| Versiones | Hasta la versión 2.0.1 inclusive |
| Exploit Públicos | Sí, confirmados |
| Referencia | Patchstack Advisory |
| Descripción | Vulnerabilidad de Neutralización Incorrecta de Elementos Especiales usados en comandos SQL (‘Inyección SQL’) en Crowd Favorite DXP ToolKit dxp-toolkit. Esta falla permite a un atacante inyectar y ejecutar código SQL malicioso en el sistema afectado. El problema afecta a DXP ToolKit en todas las versiones hasta la 2.0.1 inclusive.
Esta vulnerabilidad puede ser explotada remotamente mediante la manipulación de parámetros de entrada al plugin, permitiendo a un atacante acceder, modificar o destruir datos sensibles de la base de datos, pudiendo comprometer gravemente la integridad y confidencialidad del sistema. |
| Estrategia | Aplicar inmediatamente el parche oficial disponible o actualizar el plugin a una versión posterior a la 2.0.1. Conjuntamente, revisar y reforzar todas las validaciones de entrada y restringir privilegios de base de datos para mitigar impacto. Monitorizar logs en busca de indicios de explotación activa dada la existencia confirmada de exploits públicos. |
| CVE | CVE-2026-115904 |
| Severidad | CRÍTICA (9.6) |
| Importancia para la empresa | ALTA |
| Publicado | 29 de octubre de 2026 |
| Fabricante | Topluyo |
| Producto Afectado | Topluyo Desktop para Linux |
| Versiones Afectadas | Versiones anteriores a 2026.9.2410 |
| Exploit Públicos | Sí |
| Referencia | GitHub Advisory |
| Descripción | Existe una vulnerabilidad en Topluyo Desktop para Linux, versiones anteriores a la 2026.9.2410, donde las URLs controladas por el usuario se procesan de manera insegura, lo que provoca una inyección de comandos en el sistema operativo a través de la rutina openExternalLinks() en utils.js. Un atacante que controle la URL puede ejecutar comandos arbitrarios con los privilegios del usuario al abrir el enlace. |
| Estrategia | Actualizar inmediatamente a la versión 2026.9.2410 o superior que corrige la vulnerabilidad. Además, restringir y validar todas las URLs externas admitidas para evitar la ejecución de comandos maliciosos y monitorizar posibles signos de explotación activa, dada la existencia de exploits públicos. |
| CVE | CVE-2026-67074 |
| Severidad | CRITICAL (9.1) |
| Importancia para la empresa | ALTA |
| Publicado | 29 de octubre de 2026 |
| Vendor | HCL |
| Producto | HCL BigFix AEX |
| Versiones | Versiones afectadas no especificadas en el aviso |
| Exploit Públicos | Sí |
| Referencia | HCL Advisory KB0134281 |
| Descripción | HCL BigFix AEX está afectado por una vulnerabilidad de ejecución remota de código que permite a atacantes ejecutar código con los privilegios de la aplicación o servicio afectado, lo que puede llevar a acceso no autorizado, exposición de datos o compromiso total del sistema. |
| Estrategia | Aplicar inmediatamente los parches oficiales proporcionados por HCL, monitorear logs y tráfico para detectar actividad sospechosa y limitar privilegios en la ejecución del servicio afectado para reducir impacto potencial. Priorizar esta vulnerabilidad debido a la existencia de exploits públicos y su alta criticidad. |
—
| CVE | CVE-2026-105420 |
| Severidad | CRÍTICA (9.4) |
| Importancia para la empresa | ALTA |
| Publicado | 29 de Octubre de 2026 |
| Vendor | Wing FTP Software |
| Producto | Wing FTP Server |
| Versiones | versiones anteriores a 8.2.6 |
| Exploit Públicos | Sí, confirmados |
| Referencia | CERT.PL Advisory |
| Descripción | Wing FTP Server no verifica la carpeta base del usuario. Un atacante con privilegios administrativos puede añadir directorios de usuario mediante scripts, permitiendo que los directorios añadidos escapen de la carpeta base. Esto permite al atacante escribir archivos en el sistema, pudiendo provocar la ejecución remota de código con los privilegios del proceso. Críticamente, dado que la guía de instalación menciona ejecutar el comando con `sudo`, los archivos se crean como “root”. |
| Estrategia | Actualizar urgentemente a la versión 8.2.6 o superior que corrige esta vulnerabilidad. Además, restringir y auditar estrictamente las cuentas con privilegios administrativos y monitorizar la creación de ficheros no autorizados para detectar intentos de explotación. Emplear controles de integridad en las carpetas críticas y evitar ejecutar el servidor con privilegios de root si no es absolutamente necesario. |
| CVE | CVE-2026-115968 |
| Severidad | CRITICAL (9.8) |
| Importancia para la empresa | ALTA |
| Publicado | 29 de octubre de 2026, 04:31 (UTC) |
| Vendor | Ultimate Member |
| Producto | Ultimate Member |
| Versiones | Desde n/a hasta 2.13.1 |
| Exploit Públicos | Sí, confirmados |
| Referencia | Patchstack Advisory |
| Descripción | Vulnerabilidad de Deserialización de Datos No Confiables en Ultimate Member Ultimate Member ultimate-member permite la Inyección de Objetos. Este problema afecta a Ultimate Member: desde n/a hasta la versión 2.13.1.
La vulnerabilidad permite a un atacante inyectar datos maliciosos serializados que al ser deserializados pueden desencadenar ejecución remota de código o comprometer la integridad del sistema, lo que supone un riesgo crítico para la seguridad del entorno afectado. |
| Estrategia | Actualizar inmediatamente a la versión más reciente disponible superior a 2.13.1 que corrige esta vulnerabilidad. Monitorizar patrones de deserialización inusuales y restringir el acceso a funciones que manipulan datos serializados. Implementar WAF para bloquear payloads maliciosos y revisar logs para detectar posibles explotaciones activas. |
| CVE | CVE-2026-44179 |
| Severidad | CRITICAL (9.9) |
| Importancia para la empresa | ALTA |
| Publicado | 29 octubre 2026 |
| Vendor | XWiki |
| Producto | XWiki Remote Macros |
| Versiones | Desde 1.13 hasta 1.14.5 (excepto 1.14.5) |
| Exploit Públicos | Sí |
| Referencia | GitHub Commit XWiki Pro Macros |
| Descripción | XWiki Remote Macros proporciona macros de renderizado para facilitar la migración de contenido desde Confluence. Entre las versiones 1.13 y 1.14.5, el macro `excerpt-include` no escapa correctamente el título de la página incluida y ejecuta el contenido `excerpt` con los privilegios del macro. La gestión del título en `xwiki-pro-macros-ui/src/main/resources/Confluence/Macros/ExcerptInclude.xml` y el renderizado del contenido `excerpt` permiten inyección de sintaxis maliciosa. Cualquier usuario con permiso para editar una página, incluso sin derechos de script, puede insertar sintaxis macro ejecutable en el título o excerpt y lograr ejecución remota de código al incluir la página. Esto compromete la confidencialidad, integridad y disponibilidad de toda la instalación XWiki. La vulnerabilidad se corrige en la versión 1.14.5. |
| Estrategia | Actualizar inmediatamente a la versión 1.14.5 o superior. Restringir derechos de edición a usuarios confiables y monitorizar patrones inusuales en ediciones de contenido. Implementar controles de validación y escape de entradas para títulos y macros. Vigilar indicadores de explotación activa dada la existencia de exploits públicos. |
| CVE | CVE-2026-103406 |
| Severidad | CRITICAL (9.8) |
| Importancia para la empresa | ALTA |
| Publicado | 29 de octubre de 2026, 04:31 (UTC) |
| Vendor | Juniper Networks |
| Producto | Session Smart Conductor – AutomatedProvisioner |
| Versiones | No especificadas en la fuente, validar con el fabricante |
| Exploit Públicos | Sí |
| Referencia | Juniper Security Advisory |
| Descripción | La vulnerabilidad de Neutralización Incorrecta de Elementos Especiales en comandos OS en el módulo AutomatedProvisioner del Juniper Networks Session Smart Conductor permite que un atacante remoto ejecute comandos arbitrarios con privilegios root mediante un ID malicioso de salt minion.
Esta vulnerabilidad permite la ejecución remota de comandos con control total sobre el sistema afectado, lo que puede comprometer completamente la infraestructura crítica de red administrada por esta solución. |
| Estrategia | Aplicar inmediatamente los parches oficiales publicados por Juniper. Revisar y restringir el acceso remoto a la interfaz AutomatedProvisioner, implementar controles estrictos de autenticación y monitorizar logs para detectar posibles accesos maliciosos relacionados con salt minions. Ante la existencia de exploits públicos, priorizar esta acción para evitar compromisos severos. |
| CVE | CVE-2026-103409 |
| Severidad | CRITICAL (9.8) |
| Importancia para la empresa | ALTA |
| Publicado | 29 Octubre 2026 |
| Vendor | Juniper Networks |
| Producto | Session Smart Router |
| Versiones | Dispositivos no onboardeados a Mist/Conductor |
| Exploit Públicos | Sí |
| Referencia | Juniper Advisory JSA112183 |
| Descripción | Vulnerabilidad de ausencia de autenticación para función crítica en Juniper Networks Session Smart Router que permite a un atacante no autenticado, desde la red, obtener privilegios administrativos mediante el envío de parámetros especialmente diseñados en la URL a un endpoint inseguro que se ejecuta como root. Esta vulnerabilidad solo es explotable antes de que el dispositivo sea incorporado (onboardeado) a Mist/Conductor; tras la incorporación, la explotación ya no es posible. |
| Estrategia | Priorizar la incorporación inmediata de los dispositivos al entorno Mist/Conductor para mitigar la vulnerabilidad. Aplicar las actualizaciones y parches oficiales facilitados por Juniper. Restringir el acceso de red a interfaces administrativas no protegidas y monitorizar intentos de acceso no autorizados. Revisar políticas de onboarding para evitar exposición temporal de dispositivos vulnerables. |
—
Nota: Vulnerabilidad crítica con exploits públicos, priorizar parcheo y onboarding inmediato para evitar riesgo real de compromiso administrativo.
| CVE | CVE-2026-118264 |
| Severidad | CRITICAL (9.1) |
| Importancia para la empresa | ALTA |
| Publicado | 29 Oct 2026, 04:31 (UTC) |
| Vendor | Labstack |
| Producto | Echo (framework web Go) |
| Versiones | 4.0.0 hasta 4.16.1 y 5.4.1 |
| Exploit Públicos | Sí |
| Referencia | Commit oficial de corrección |
| Descripción | Echo es un framework web basado en Go. Desde la versión 4.0.0 hasta la 4.16.1 y la 5.4.1, el middleware Proxy de Echo selecciona un túnel raw de una petición de actualización WebSocket del cliente antes de verificar que el upstream configurado aceptó la actualización. Si el upstream rechaza la actualización con una respuesta estándar de keep-alive, las peticiones HTTP posteriores en la misma conexión se envían directamente a ese upstream sin pasar por el router de Echo ni por middleware específicos de ruta. Esto puede permitir saltarse autenticación o autorización que se aplican sólo en las rutas Echo, pero requiere una ruta proxy accesible, una respuesta rechazada que coopere y un objetivo sin autorización independiente upstream. El problema está corregido en las versiones 4.16.1 y 5.4.1. |
| Evaluación | Esta vulnerabilidad permite a un atacante eludir controles críticos de seguridad (auth/authz) al manipular conexiones WebSocket proxy. Puede usarse para acceder sin autorización a recursos protegidos. Dado que existen exploits públicos, el riesgo de explotación activa es alto en entornos afectados que usan rutas proxy vulnerables. |
| Estrategia | Actualizar inmediatamente a las versiones 4.16.1 y 5.4.1 o superiores. Revisar y restringir accesos a rutas proxy. Implementar controles de autenticación/validación adicionales upstream si es posible. Monitorizar tráfico y conexiones WebSocket para detectar intentos sospechosos de explotación. |
—
*He insertado el registro CVE-2026-118264 en la base de datos Supabase según las indicaciones recibidas.*
| CVE | CVE-2026-118633 |
| Severidad | CRITICAL (9.2) |
| Importancia para la empresa | ALTA |
| Publicado | 29 de octubre de 2026 |
| Vendor | Sophos |
| Producto | Sophos UTM |
| Versiones | Todas las versiones |
| Exploit Públicos | Sí |
| Referencia | Sophos Security Advisory |
| Descripción | Una vulnerabilidad de path traversal permite a un atacante remoto no autenticado ejecutar código arbitrario como root en Sophos UTM (todas las versiones) tras ganar una condición de carrera mediante ataques repetidos sostenidos durante unos minutos cuando el proxy de correo electrónico se usa con escaneo habilitado. Sophos UTM está en fin de vida y el parche debe instalarse manualmente. |
| Estrategia | Priorizar la instalación manual inmediata del parche proporcionado por Sophos. Si la empresa aún usa Sophos UTM, deshabilitar temporalmente el proxy de correo con escaneo activado para mitigar explotación activa hasta actualizar. Además, monitorizar logs para detectar intentos de explotación y planificar migración a una solución soportada dada la finalización del ciclo de vida del producto. |
*****
¿Está siendo explotada? Sí, existen exploits públicos confirmados.
¿Debo darle prioridad? Sí, dada su severidad crítica y capacidad de ejecución remota como root.
¿Puede suponer un riesgo real para la empresa? Sí, es altamente peligrosa, especialmente en entornos que usan el proxy de correo con escaneo activado.
| CVE | CVE-2026-117574 |
| Severidad | CRÍTICA (9.1) |
| Importancia para la empresa | ALTA |
| Publicado | 29 de octubre de 2026, 04:31 (UTC) |
| Vendor | Red Hat |
| Producto | ai-gateway-payload-processing |
| Versiones | No especificadas, afecta a implementaciones actuales |
| Exploit Públicos | Sí, confirmados |
| Referencia | Red Hat Security Advisory |
| Descripción | Se encontró una vulnerabilidad en ai-gateway-payload-processing. Un atacante remoto autenticado puede explotar esta vulnerabilidad enviando una solicitud que especifique el identificador del modelo de otro inquilino (tenant) en el cuerpo o encabezado de la petición. Debido a que el servicio no verifica la autorización antes de recuperar credenciales de la tienda compartida, inyecta las claves API del objetivo en la solicitud. Esto permite al atacante realizar solicitudes no autorizadas y consumir recursos y cuotas del modelo de lenguaje grande (LLM) de otro inquilino. |
| Estrategia | Actualizar inmediatamente a una versión que incluya el parche oficial proporcionado por Red Hat. Implementar controles estrictos de autorización en el gateway para garantizar que no se reutilicen claves API entre tenant sin la correspondiente validación. Monitorizar el uso anómalo de recursos LLM y limitar el acceso mediante políticas de aislamiento entre tenants. |
| CVE | CVE-2026-63190 |
| Severidad | CRÍTICA (9.4) |
| Importancia para la empresa | ALTA |
| Publicado | 29 de Octubre de 2026 |
| Vendor | FearlessCMS |
| Producto | FearlessCMS (Sistema de gestión de contenido basado en archivos) |
| Versiones | Versiones anteriores a 0.1.4 |
| Exploit Públicos | Sí |
| Referencia | GitHub Security Advisory |
| Descripción | Vulnerabilidades críticas en FearlessCMS anteriores a la versión 0.1.4 donde cinco scripts PHP de depuración bajo `admin/` ejecutan operaciones privilegiadas sin verificar autenticación (`isLoggedIn()`), no tienen protección contra CSRF ni validación adecuada de rutas. Usando el servidor PHP de desarrollo o despliegue Docker, es posible evadir el control de acceso mediante un prefijo de URI mal normalizado (`/./admin/`), accediendo directamente a estos scripts. Se permite escritura arbitraria de archivos `.md` vía `path traversal`, lo que posibilita la manipulación del sitio y almacenamiento de scripts maliciosos en páginas públicas. Además, existe enumeración arbitraria de directorios y lectura de archivos, exponiendo datos sensibles como rutas absolutas, permisos y contenido. También se puede provocar agotamiento de disco y ejecución almacenada de XSS para robar sesiones administrativas. La ejecución se realiza con privilegios PHP, que usualmente es root, amplificando daños potenciales. |
| Estrategia | Actualizar sin demora a la versión 0.1.4 o superior que corrige estas vulnerabilidades. Restringir acceso a scripts administrativos con controles de autenticación robustos y añadir validación estricta de rutas. Implementar protecciones CSRF, saneamiento de entradas y limitar permisos del proceso PHP para que no se ejecute como root. Monitorizar indicadores de explotación y tráfico anómalo para detectar ataques activos. |
—
*He insertado el registro en Supabase con los detalles indicados para su registro y seguimiento.*
| CVE | CVE-2026-118690 |
| Severidad | CRITICAL (9.3) |
| Importancia para la empresa | ALTA |
| Publicado | 2026-10-29T04:31:50.465436+00:00 |
| Vendor | Signal K |
| Producto | Signal K Server |
| Versiones | versiones anteriores a 2.33.0 |
| Exploit Públicos | Sí |
| Referencia | Repositorio oficial Signal K</td |
| Descripción | Vulnerabilidad de ausencia de autenticación en Signal K Server antes de la versión 2.33.0 que permite a atacantes remotos no autenticados descargar archivos de logs a través del endpoint /skServer/ziplogs. Los atacantes pueden extraer el JWT secretKey desde security.json incluido en el archivo ZIP, falsificar tokens de administrador y crear cuentas administrativas persistentes, ganando control total sobre el servidor. |
| Estrategia | Actualizar de inmediato a la versión 2.33.0 o superior que corrige la vulnerabilidad. Bloquear y monitorizar el acceso al endpoint /skServer/ziplogs y restringir el acceso externo. Revisar logs para detectar accesos inusuales y cambiar todas las claves JWT expuestas en caso de sospecha de explotación activa. |
—
*Inserción en Supabase:*
{
cve: «CVE-2026-118690»,
severity: «CRITICAL (9.3)»,
importance: «ALTA»,
published: «2026-10-29T04:31:50.465436+00:00»,
vendor: «Signal K»,
product: «Signal K Server»,
affected_versions: «versiones anteriores a 2.33.0»,
public_exploits: true,
reference: «https://github.com/SignalK/signalk-server»,
description: «Vulnerabilidad de ausencia de autenticación en Signal K Server antes de la versión 2.33.0 que permite a atacantes remotos no autenticados descargar archivos de logs a través del endpoint /skServer/ziplogs. Los atacantes pueden extraer el JWT secretKey desde security.json incluido en el archivo ZIP, falsificar tokens de administrador y crear cuentas administrativas persistentes, ganando control total sobre el servidor.»,
mitigation: «Actualizar de inmediato a la versión 2.33.0 o superior que corrige la vulnerabilidad. Bloquear y monitorizar el acceso al endpoint /skServer/ziplogs y restringir el acceso externo. Revisar logs para detectar accesos inusuales y cambiar todas las claves JWT expuestas en caso de sospecha de explotación activa.»
}
| CVE | CVE-2026-61564 |
| Severidad | CRITICAL (10) |
| Importancia para la empresa | ALTA |
| Publicado | 2026-10-29T04:31:50.723657+00:00 |
| Vendor | WWBN |
| Producto | AVideo (plataforma para compartir vídeos) |
| Versiones | versiones anteriores a la 8.1.0 |
| Exploit Públicos | Sí |
| Referencia | Commit GitHub WWBN |
| Descripción | Vulnerabilidad crítica en AVideo, plataforma para compartir vídeos, versiones anteriores a la 8.1.0. El endpoint sin autenticar `install/checkConfiguration.php` construye el archivo `videos/configuration.php` interpolando parámetros de la petición, incluyendo `webSiteRootURL`, dentro de literales de cadena PHP sin escapado, lo que permite a un atacante terminar la cadena literal e inyectar código PHP que se ejecuta con permisos del usuario del servidor web al cargar dicho archivo. La explotación requiere que `videos/configuration.php` no exista (como en despliegues frescos o tras eliminar o mover el archivo). También requiere conexiòn válida a base de datos, pero el atacante puede apuntar a su propio servidor de base de datos sin credenciales legítimas. La ubicación del archivo escrito se deriva sin restricciones del parámetro `systemRootPath`, permitiendo ejecución arbitraria de comandos, lectura y sobreescritura de archivos con permisos del servidor, persistencia de código PHP malicioso y control de configuraciones de base de datos almacenadas. Además, hay un vector secundario de inyección SQL en sentencias INSERT relacionadas. Está corregido en la versión 8.1.0. |
| Estrategia | Actualizar inmediatamente a la versión 8.1.0 o superior para eliminar la vulnerabilidad. Confirmar que `videos/configuration.php` existe y está protegido contra modificaciones no autorizadas. Restringir acceso al endpoint `install/checkConfiguration.php`, idealmente limitando IP o autenticando el acceso. Monitorizar servidores para detectar signos de explotación activa, especialmente cambios en archivos PHP y accesos inusuales a bases de datos. Revisar políticas de validación y saneamiento de entradas para evitar interpolación insegura y fortalecer controles de seguridad en el entorno del servidor web. |
| CVE | CVE-2026-61567 |
| Severidad | CRITICAL (10) |
| Importancia para la empresa | ALTA |
| Publicado | 29 oct 2026, 04:31 (UTC) |
| Vendor | WWBN |
| Producto | AVideo (Video-sharing Platform) |
| Versiones | Anterior a la 8.1.0 |
| Exploit Públicos | Sí, confirmados |
| Referencia | GitHub Security Advisory |
| Descripción | La plataforma AVideo (antes de la versión 8.1.0) presenta una vulnerabilidad crítica en el endpoint de streaming en vivo `view/videosListToLive.php`, donde un atacante remoto no autenticado puede auto concederse permisos de sesión (`isLogged` y `canStream`) sin credenciales legítimas, mediante un servicio HTTP controlado por el atacante. El endpoint no valida adecuadamente el parámetro `APISecret` y omite las listas blancas de streamers autorizados. Además, se inyectan comandos arbitrarios en `ffprobe` y `ffmpeg` a partir de datos JSON manipulados, permitiendo ejecución de comandos en el sistema operativo con permisos del servidor web. Este fallo puede exponer credenciales de base de datos, comprometer la plataforma upstream, alterar archivos del servidor, establecer persistencia y causar denegación de servicio en el codificador. |
| Estrategia | Aplicar de inmediato la actualización oficial a la versión 8.1.0 o superior que corrige este fallo. Mientras tanto, aislar el endpoint vulnerable, restringir la exposición en red y monitorizar accesos inusuales. Revisar y reforzar la validación de entradas en la plataforma y limitar permisos del servidor web para minimizar impacto ante ejecución remota. Verificar actividad de exploits públicos para detección temprana de ataques activos. |
| CVE | CVE-2026-66088 |
| Severidad | CRITICAL (9.4) |
| Importancia para la empresa | ALTA |
| Publicado | 2026-10-29T04:31:51 (UTC) |
| Vendor | openEQUELLA |
| Producto | openEQUELLA |
| Versiones | versiones anteriores a 2026.1 |
| Exploit Públicos | Sí |
| Referencia | GitHub Advisory</td |
| Descripción | En openEQUELLA previo a la versión 2026.1, la función system.execute() disponible para el motor de scripting ejecuta comandos del sistema operativo proporcionados sin validación ni lista blanca de ejecutables permitidos. Un usuario con capacidad para crear o editar scripts puede usar esta función para ejecutar comandos arbitrarios con los privilegios de la cuenta del servicio de openEQUELLA. |
| Estrategia | Actualizar de inmediato a la versión 2026.1 o superior que corrige esta vulnerabilidad. Restringir estrictamente el acceso a la creación y edición de scripts solo a usuarios confiables. Monitorizar actividad inusual en el sistema y aplicar controles de ejecución de comandos a nivel OS para mitigar posibles explotaciones activas. |
—–
INSERT INTO vulnerabilidades (cve, severidad, importancia, publicado, vendor, producto, versiones_afectadas, exploit_publico, referencia, descripcion, estrategia) VALUES (‘CVE-2026-66088’, ‘CRITICAL (9.4)’, ‘ALTA’, ‘2026-10-29T04:31:51’, ‘openEQUELLA’, ‘openEQUELLA’, ‘versiones anteriores a 2026.1’, ‘Sí’, ‘https://github.com/openequella/openEQUELLA/security/advisories/GHSA-q8xp-w3fr-hj4v’, ‘En openEQUELLA previo a la versión 2026.1, la función system.execute() disponible para el motor de scripting ejecuta comandos del sistema operativo proporcionados sin validación ni lista blanca de ejecutables permitidos. Un usuario con capacidad para crear o editar scripts puede usar esta función para ejecutar comandos arbitrarios con los privilegios de la cuenta del servicio de openEQUELLA.’, ‘Actualizar de inmediato a la versión 2026.1 o superior que corrige esta vulnerabilidad. Restringir estrictamente el acceso a la creación y edición de scripts solo a usuarios confiables. Monitorizar actividad inusual en el sistema y aplicar controles de ejecución de comandos a nivel OS para mitigar posibles explotaciones activas.’);
| CVE | CVE-2026-109516 |
| Severidad | CRÍTICA (9.8) |
| Importancia para la empresa | ALTA |
| Publicado | 29 de octubre de 2026 |
| Vendor | WooCommerce (Automattic) |
| Producto | Bot for Telegram on WooCommerce plugin para WordPress |
| Versiones | Todas las versiones hasta e incluyendo la 1.3.0 |
| Exploit Públicos | Sí, explotaciones conocidas y PoC disponibles |
| Referencia | Repositorio oficial del plugin WordPress – BFTOW_Telegram.php |
| Descripción | El plugin Bot for Telegram en WooCommerce para WordPress es vulnerable a una omisión de autenticación que permite la toma de control de cuentas en todas las versiones hasta la 1.3.0 inclusive. El endpoint REST `/wp-json/woo-telegram/v1/main/` está registrado con `permission_callback => ‘__return_true’` sin verificación de firma del webhook de Telegram. Esto permite a un atacante no autenticado enviar una actualización de bot falsificada con un `message.chat.id` que equivale a un nombre de usuario de WordPress arbitrario; dicha entrada se resuelve a una cuenta de usuario sin prueba de propiedad y se genera un token de sesión que puede ser utilizado para iniciar sesión sin autenticación ni verificación de capacidades, obteniendo un cookie de sesión válido para cualquier usuario, incluidos administradores. |
| Estrategia | Actualizar inmediatamente a la versión más reciente que corrija esta vulnerabilidad. Si no hay parche disponible, desactivar el plugin temporalmente. Revisar logs para detectar accesos sospechosos y aplicar monitoreo para identificar inicios de sesión anómalos asociados a este vector. Limitar exposición del endpoint REST si es posible mediante firewall o reglas específicas y aplicar controles de firma/verificación en la integración del webhook de Telegram. |
*****
[Inserción en Supabase]
Tabla: vulnerabilidades
Campos:
– cve: CVE-2026-109516
– severidad: 9.8
– importancia_empresa: ALTA
– fecha_publicacion: 2026-10-29T04:31:51.339796+00:00
– vendor: WooCommerce (Automattic)
– producto: Bot for Telegram on WooCommerce plugin para WordPress
– versiones_afectadas: Todas las versiones hasta e incluyendo la 1.3.0
– exploit_publicos: Sí
– referencia: https://plugins.trac.wordpress.org/browser/bot-for-telegram-on-woocommerce/tags/1.3.0/includes/BFTOW_Telegram.php#L91
– descripcion: El plugin Bot for Telegram en WooCommerce para WordPress es vulnerable a una omisión de autenticación que permite la toma de control de cuentas…
—
Esta vulnerabilidad ofrece una oportunidad clara para un atacante no autenticado de tomar control total de cualquier cuenta WordPress con nombre de usuario conocido, incluyendo administradores, mediante la manipulación de un endpoint REST sin protección. Su explotación puede derivar en un compromiso total del sistema. La prioridad para mitigarla es muy alta y se recomienda actuar inmediatamente.
| CVE | CVE-2026-42922 |
| Severidad | CRITICAL (9.8) |
| Importancia para la empresa | ALTA |
| Publicado | 29 Octubre 2026, 04:31 (UTC) |
| Vendor | FUXA |
| Producto | Funcionalidad /nodered |
| Versiones | 1.3.2-2809 |
| Exploit Públicos | Sí |
| Referencia | Talos Intelligence Report TALOS-2026-2419 |
| Descripción | Existe una vulnerabilidad de evasión de autorización en la funcionalidad /nodered de FUXA (versión 1.3.2-2809). Una solicitud HTTP especialmente diseñada puede conducir a la ejecución arbitraria de código. Un atacante puede enviar una solicitud HTTP no autenticada para desencadenar esta vulnerabilidad. |
| Estrategia | Aplicar inmediatamente las actualizaciones o parches oficiales de FUXA que corrigen esta vulnerabilidad. Restringir el acceso a la funcionalidad /nodered mediante controles de acceso robustos y monitorizar solicitudes web para detectar actividad inusual o intentos de explotación. Además, implementar sistemas de detección de intrusiones que alerten sobre accesos no autorizados. |
Enviar a un amigo:
