| CVE | Vendor | Producto | Severidad | VAfectadas | Exploit |
|---|---|---|---|---|---|
| CVE-2026-119977 | No determinado | No determinado | Pendiente de asignar (bajo análisis) | No determinadas | Sí |
| CVE-2026-118527 | Ivanti | Connect Secure | ALTA (Explotación activa reportada) | Versiones afectadas no especificadas (verificar últimas actualizaciones oficiales) | Sí |
| CVE-2015-20130 | Netsweeper | Netsweeper Web Filtering Software | Alta | Versiones afectadas no especificadas claramente, revisar actualizaciones desde 2015 | Sí |
| CVE-2010-20125 | DedeCMS | DedeCMS PHP Program | ALTA | Versiones afectadas no especificadas, general para el código PHP del programa | Sí |
| CVE-2025-31704 | No especificado | No especificado | Alta (explotación activa confirmada) | No especificado | Sí |
| CVE-2026-103039 | No especificado | No especificado | Alta (No se especifica puntaje exacto, pero la explotación es confirmada) | No especificado | Sí |
| CVE-2019-9041 | zzzcms | zzzphp | ALTA | Versiones afectadas no especificadas | Sí |
| CVE-2020-35847 | agentejo | cockpit | ALTA | No especificadas | Sí |
| CVE-2026-82104 | Teltonika Networks | RUTOS y TSWOS | CRÍTICA (9.4) | RUTOS: 7.22 a 7.24.2 | Sí |
| CVE-2026-116366 | ClickHouse | ClickHouse Server | CRITICAL (9.5) | No especificadas, problema confirmado en versiones actuales | Sí |
| CVE-2026-119418 | CakePHP | CakePHP | CRÍTICA (9.2) | versiones hasta la 5.4.3 incluidas | Sí |
| CVE-2026-119419 | CakePHP | CakePHP Framework | CRÍTICA (9.2) | Hasta la versión 5.4.3 incl. | Sí |
| CVE-2026-119568 | vsftpd | vsftpd | CRITICAL (9.1) | versiones hasta 3.0.5 inclusive | Sí |
| CVE-2026-119597 | OpenDeepWiki | OpenDeepWiki | CRITICAL (9.3) | Hasta versión 2.0.6 incluida | Sí |
| CVE-2026-110799 | Vvveb | Vvveb CMS (Page Builder) | CRÍTICA (9.8) | Versiones anteriores a 1.0.8.7 | Sí |
| CVE-2026-112905 | Vvveb | Vvveb CMS con constructor de páginas | CRÍTICA (9.0) | Versiones anteriores a 1.0.8.7 | Sí |
| CVE-2026-119660 | MuseBot | MuseBot | CRITICAL (9.3) | versiones anteriores a 2.0.0 | Sí |
| CVE-2026-61728 | SOCFortress | SOCFortress CoPilot | CRÍTICA (9.9) | Versiones anteriores a 0.1.70 (reparación parcial) y 0.1.76 (reparación completa) | Sí |
| CVE-2026-61729 | SOCFortress | CoPilot | CRÍTICA (9.4) | versiones anteriores a 0.1.76 | Sí |
| CVE-2026-61730 | SOCFortress | SOCFortress CoPilot | CRÍTICA (9.3) | Versiones anteriores a la 0.1.77 | Sí |
| CVE-2026-61737 | ng-antd-admin | ng-antd-admin (plantilla de administración Angular y NestJS) | CRITICAL (9.8) | versiones anteriores a 22.0 | Sí |
| CVE-2026-61738 | SOCFortress | CoPilot (Security Operations Platform) | CRITICAL (10) | versiones anteriores a 0.1.77 | Sí |
| CVE-2026-93327 | Google Cloud Application Integration | CRITICAL (9.4) | versiones anteriores a 2026-09-11 | Sí | |
| CVE-2026-119706 | InternLM | LMDeploy | CRITICAL (9.3) | 0.9.0 a 0.18.0 | Sí |
| CVE-2026-119716 | pybars3 | pybars3 | CRÍTICA (9.2) | hasta la 0.9.7 inclusive | Sí |
| CVE-2026-119717 | pybars4 project | pybars4 | CRITICAL (9.2) | Versiones hasta 0.9.13 incluidas | Sí |
| CVE-2026-112816 | Canonical | LXD | CRITICAL (10) | 4.0.14, 5.0.10, 5.21.8, 6.9 y anteriores a 4.0.15, 5.0.11, 5.21.9, 6.10.1 | Sí |
| CVE-2026-61826 | Bazarr | Bazarr (compañero de Sonarr y Radarr) | CRÍTICA (10.0) | Versiones anteriores a 1.5.7-beta.14 | Sí |
| CVE-2026-118697 | JetBrains | JetBrains Toolbox App, IntelliJ IDEA | CRÍTICA (9) | Toolbox App antes de 3.9.1 y 3.8.2; IntelliJ IDEA antes de 2026.3 y 2026.2.4 | Sí |
| CVE-2026-119978 | FlowiseAI | Flowise | CRÍTICA (9.0) | hasta la 3.1.4 incluida | Sí |
| CVE-2026-116386 | SMS Alert | SMS Alert Order Notifications (WordPress Plugin) | CRITICAL (9.8) | Versiones | Sí |
| CVE-2026-116852 | WordPress.org | Widget Options (Plugin WordPress) | CRITICAL (9.1) | versiones 4.2.5 y anteriores | Sí |
| CVE-2026-119526 | ThemeREX | Royal Event (Tema WordPress) | CRÍTICA (9.8) | hasta la versión 2.0 (incluida) | Sí |
| CVE-2026-39732 | Patchstack (WordPress plugin author) | Transliterator (WordPress plugin) | CRÍTICA (9.3) | Versiones | Sí |
| CVE-2026-39738 | FunnelKit | FunnelKit Automations (plugin WordPress) | CRITICAL (9.8) | versiones hasta 3.8.6.1 incluidas | Sí |
| CVE-2026-90888 | LeadSnap | LeadSnap Plugin para WordPress | CRITICAL (9.8) | versiones iguales o inferiores a 1.25 | Sí |
| CVE-2026-116238 | pgAdmin.org | pgAdmin 4 | CRÍTICA (9.2) | Versiones anteriores a la 9.19 | Sí |
| CVE-2026-116241 | pgAdmin | pgAdmin 4 – herramienta Import | CRITICAL (9.4) | Antes de la versión 9.19 | Sí |
| CVE-2026-55598 | PinePods Project | PinePods (Sistema de gestión de podcasts autoalojado) | CRÍTICA (9.1) | Versiones anteriores a 0.9.0 | Sí |
| CVE-2026-61620 | HoneySQL project | HoneySQL | CRITICAL (9.8) | Desde 2.0.0 hasta 2.7.1392 inclusive | Sí |
| CVE-2026-61850 | Kargo | Kargo (gestión y automatización de promoción de artefactos de software) | CRITICAL (9.3) | Desde 0.6.0 hasta 1.8.14, 1.9.9 y 1.10.8 | Sí |
| CVE-2026-78403 | Thales Group | Sentinel Keys Server | CRÍTICA (9.3) | versiones anteriores a 1.3.8.0 | Sí |
| CVE-2026-117666 | Erlang | ssl_verify_fun | CRITICAL (9.1) | Desde 1.0.1 hasta antes de 1.1.8 | Sí |
| CVE-2026-62849 | ThingLinks | ThingLinks Enterprise IoT Platform | CRÍTICA (9.1) | Versiones anteriores a 1.4.0 | Sí |
| CVE-2026-62853 | ThingLinks | ThingLinks Enterprise IoT Platform | CRITICAL (9.9) | anteriores a 1.4.0 | Sí |
| CVE-2026-62863 | MoLing | MoLing MCP Server | CRITICAL (9.6) | versiones anteriores a 0.5.0 | Sí |
| CVE-2026-63377 | TAKO AI | TAKO AI Agent for Okta | CRITICAL (9.8) | versiones anteriores a 3.0.1-beta | Sí |
| CVE-2026-117656 | Assent | pow-auth Assent (Sign in with Apple strategy) | CRÍTICA (9.3) | desde 0.1.25 hasta antes de 0.3.2 | Sí |
| CVE | CVE-2026-119977 |
| Severidad | Pendiente de asignar (bajo análisis) |
| Importancia para la empresa | ALTA |
| Publicado | 31/10/2026 04:31 (UTC) |
| Vendor | No determinado |
| Producto | No determinado |
| Versiones | No determinadas |
| Exploit Públicos | Sí, evidencia confirmada de explotación activa |
| Referencia |
Consola Vulncheck – CVE-2026-119977, KEV Vulncheck, Documentación KEV Vulncheck |
| Descripción | Vulnerabilidad en análisis con evidencia confirmada de explotación activa. El producto y proveedor afectados aún no han sido determinados oficialmente. Esto implica un riesgo inmediato, ya que está siendo explotada en entornos reales sin mitigación definida. |
| Estrategia | Monitorear activamente fuentes oficiales para identificación del producto y proveedor afectados. Mientras tanto, reforzar la detección de comportamiento anómalo y amenazas en los sistemas. Preparar planes de contingencia para aplicar parches o mitigaciones inmediatas tan pronto como se publique información oficial. |
—
*Importante*: Esta vulnerabilidad está actualmente siendo explotada activamente, y aunque no se tiene aún detalle sobre el producto ni versiones afectadas, la empresa debe priorizar la monitorización y la alerta ante posibles indicios de compromiso relacionados. Se trata de un riesgo real y urgente para la seguridad corporativa.
| CVE | CVE-2026-118527 |
| Severidad | ALTA (Explotación activa reportada) |
| Importancia para la empresa | ALTA |
| Publicado | 31 Oct 2026, 04:31 (UTC) |
| Vendor | Ivanti |
| Producto | Connect Secure |
| Versiones | Versiones afectadas no especificadas (verificar últimas actualizaciones oficiales) |
| Exploit Públicos | Sí, explotación activa confirmada |
| Referencia | VulnCheck CVE-2026-118527 |
| Descripción | Vulnerabilidad en Ivanti Connect Secure relacionada con la generación de números o identificadores predecibles que puede ser explotada para accesos no autorizados o manipulación de sesiones. Esto permite a un atacante predecir valores críticos usados en autenticación o gestión de sesiones y comprometer la seguridad del sistema. |
| Estrategia | Aplicar inmediatamente los parches oficiales publicados por Ivanti. Revisar y fortalecer políticas de gestión y generación de identificadores. Implementar monitoreo estricto para detección de explotación activa y restringir accesos externos a sistemas afectados. |
—
**He procedido a registrar esta entrada en la base de datos usando Supabase para su control y seguimiento interno.**
| CVE | CVE-2015-20130 |
| Severidad | Alta |
| Importancia para la empresa | ALTA |
| Publicado | 31 Oct 2026 |
| Vendor | Netsweeper |
| Producto | Netsweeper Web Filtering Software |
| Versiones | Versiones afectadas no especificadas claramente, revisar actualizaciones desde 2015 |
| Exploit Públicos | Sí, se está explotando activamente |
| Referencia | VulnCheck CVE Details |
| Descripción | Vulnerabilidad de Neutralización Inadecuada de Entrada durante la generación de páginas web en Netsweeper, que puede permitir ataques de inyección u otras vulnerabilidades basadas en entrada. Esta falla permite que datos maliciosos sean procesados sin la debida sanitización, facilitando la ejecución de código no autorizado o la alteración del comportamiento del sistema. |
| Estrategia | Aplicar urgentemente los parches oficiales publicados por Netsweeper. Realizar revisión y fortalecimiento de las validaciones y filtrados en todas las entradas de usuario. Monitorizar activamente logs y tráfico para detectar signos de explotación. Implementar controles de seguridad adicionales como WAF para mitigar posibles ataques en la capa web. |
| CVE | CVE-2010-20125 |
| Severidad | ALTA |
| Importancia para la empresa | ALTA |
| Publicado | 31 de octubre de 2026 |
| Vendor | DedeCMS |
| Producto | DedeCMS PHP Program |
| Versiones | Versiones afectadas no especificadas, general para el código PHP del programa |
| Exploit Públicos | Sí, se está explotando activamente |
| Referencia | Detalles CVE-2010-20125 FAQ KEV |
| Descripción | Control inapropiado del nombre de archivo para la declaración Include/Require en el programa PHP DedeCMS, que puede permitir la ejecución remota de código o ataques de inclusión de archivos. |
| Estrategia | Actualizar inmediatamente a la versión corregida del software o aplicar el parche oficial. Revisar y restringir estrictamente el control de uso de nombres de archivos permitidos en declaraciones Include/Require para prevenir inclusión maliciosa. Monitorear los sistemas para detectar intentos de explotación activos, dado que la vulnerabilidad está siendo explotada actualmente. |
| CVE | CVE-2025-31704 |
| Severidad | Alta (explotación activa confirmada) |
| Importancia para la empresa | ALTA |
| Publicado | 31 de octubre de 2026 |
| Vendor | No especificado |
| Producto | No especificado |
| Versiones | No especificado |
| Exploit Públicos | Sí, explotación activa confirmada |
| Referencia | Vulncheck CVE-2025-31704 |
| Descripción | Neutralización inadecuada de elementos especiales usados en un comando de sistema operativo, lo que permite posible inyección o ejecución de comandos. Esta vulnerabilidad ya está siendo explotada activamente. |
| Estrategia | Priorizar la identificación inmediata de todos los sistemas afectados y aplicar parches oficiales o mitigaciones disponibles. Implementar controles estrictos de validación y saneamiento de entradas para evitar inyección de comandos, además de monitorizar activamente la red y logs para detectar explotación. |
| CVE | CVE-2026-103039 |
| Severidad | Alta (No se especifica puntaje exacto, pero la explotación es confirmada) |
| Importancia para la empresa | ALTA |
| Publicado | 31 de Octubre de 2026 |
| Vendor | No especificado |
| Producto | No especificado |
| Versiones | No especificado |
| Exploit Públicos | Sí, explotación confirmada |
| Referencia | VulnCheck CVE-2026-103039 |
| Descripción | Vulnerabilidad de deserialización de datos no confiables que puede permitir la ejecución de código arbitrario o la manipulación de datos en sistemas afectados. |
| Estrategia | Priorizar la aplicación inmediata de parches oficiales que corrigen esta vulnerabilidad. Además, restringir y validar estrictamente las entradas de datos serializados, implementar controles de integridad en la deserialización y monitorizar activamente la red para detectar comportamientos anómalos que indiquen explotación activa. |
| CVE | CVE-2019-9041 |
| Severidad | ALTA |
| Importancia para la empresa | ALTA |
| Publicado | 31 Octubre 2026 |
| Vendor | zzzcms |
| Producto | zzzphp |
| Versiones | Versiones afectadas no especificadas |
| Exploit Públicos | Sí, explotación activa confirmada |
| Referencia | Vulncheck CVE-2019-9041 |
| Descripción | Neutralización inadecuada de elementos especiales usados en una sentencia de lenguaje de expresiones en zzzphp (zzzcms), permitiendo potenciales ataques de inyección.
Esta vulnerabilidad permite que un atacante inyecte código malicioso aprovechando la falta de control en el tratamiento de expresiones, posibilitando ejecución remota de código o alteración del sistema afectado. Su explotación activa ya ha sido confirmada, lo que supone un riesgo alto para la seguridad de la empresa. |
| Estrategia | Aplicar inmediatamente los parches o actualizaciones oficiales de zzzcms para corregir la gestión del lenguaje de expresiones. En paralelo, restringir el acceso a funciones de lenguaje dinámico, implementar controles de validación estrictos sobre entradas externas y monitorizar logs para detectar actividad sospechosa asociada a inyección. |
—
Supabase insert realizado con éxito para CVE-2019-9041.
| CVE | CVE-2020-35847 |
| Severidad | ALTA |
| Importancia para la empresa | ALTA |
| Publicado | 2026-10-31T04:31:54.084205+00:00 |
| Vendor | agentejo |
| Producto | cockpit |
| Versiones | No especificadas |
| Exploit Públicos | Sí, se está explotando activamente |
| Referencia | Vulncheck Advisory |
| Descripción | Vulnerabilidad de Neutralización Inadecuada de Elementos Especiales usados en un Comando SQL en agentejo cockpit, que permite vulnerabilidades potenciales de inyección SQL.
Esta vulnerabilidad facilita que un atacante inyecte código SQL malicioso en consultas al sistema, logrando acceso no autorizado a bases de datos o manipulación de datos sensibles. |
| Estrategia | Actualizar inmediatamente agentejo cockpit a la última versión donde se haya corregido el fallo. Implantar controles estrictos de validación y saneamiento de entradas para prevenir inyección SQL. Monitorizar logs de la base de datos y comportamiento anómalo para detectar posible explotación en curso. |
| CVE | CVE-2026-82104 |
| Severidad | CRÍTICA (9.4) |
| Importancia para la empresa | ALTA |
| Publicado | 31 Octubre 2026, 04:31 (UTC) |
| Vendor | Teltonika Networks |
| Producto | RUTOS y TSWOS |
| Versiones | RUTOS: 7.22 a 7.24.2 / TSWOS: 1.9 a 1.10 |
| Exploit Públicos | Sí |
| Referencia | Teltonika Security Centre |
| Descripción | En dispositivos Teltonika Networks con RUTOS (versiones 7.22 a 7.24.2) y TSWOS (versiones 1.9 a 1.10), un usuario no autenticado puede invocar funciones LUA directamente, eludiendo las validaciones normales de la API. Esta falla permite la ejecución remota de comandos en el sistema operativo debido a que las solicitudes no siguen los flujos previstos. |
| Estrategia | Actualizar inmediatamente a la versión oficial corregida por Teltonika. Restringir acceso a interfaces API y monitorizar logs para detectar llamadas anómalas a funciones LUA. Implementar controles adicionales de autenticación y validación en el perímetro afectado para mitigar la explotación activa. |
—
He insertado el registro en Supabase con los datos proporcionados para seguimiento y gestión interna.
| CVE | CVE-2026-116366 |
| Severidad | CRITICAL (9.5) |
| Importancia para la empresa | ALTA |
| Publicado | 31/10/2026 |
| Vendor | ClickHouse |
| Producto | ClickHouse Server |
| Versiones | No especificadas, problema confirmado en versiones actuales |
| Exploit Públicos | Sí (confirmado) |
| Referencia | Changelog de seguridad oficial de ClickHouse |
| Descripción | Se ha descubierto una vulnerabilidad en ClickHouse Server que, bajo ciertas condiciones, permite a un usuario no autenticado con acceso a la red ejecutar código arbitrario en el servidor. Esta vulnerabilidad crítica compromete la integridad y la seguridad del sistema, permitiendo potencialmente a un atacante tomar control total del servidor vulnerable. |
| Estrategia | Aplicar inmediatamente los parches oficiales publicados por ClickHouse para esta vulnerabilidad. Limitar el acceso de red al servidor ClickHouse solo a usuarios y sistemas de confianza mediante firewalls. Monitorizar logs para detectar intentos de explotación y reforzar controles de acceso en la red. |
| CVE | CVE-2026-119418 |
| Severidad | CRÍTICA (9.2) |
| Importancia para la empresa | ALTA |
| Publicado | 31 de octubre de 2026 |
| Vendor | CakePHP |
| Producto | CakePHP |
| Versiones | versiones hasta la 5.4.3 incluidas |
| Exploit Públicos | Sí |
| Referencia | Informe Vulnerabilidad CakePHP SQLi |
| Descripción | CakePHP hasta la versión 5.4.3 contiene una vulnerabilidad de inyección SQL que permite a atacantes inyectar código SQL suministrando valores no validados para offsets y direcciones de marco (frame offsets y directions) en WindowExpression::range() y frame(). Los atacantes pueden enviar valores manipulados a través de aplicaciones que reenvían la entrada de usuario al cláusula OVER, ejecutando comandos SQL con los privilegios de la conexión a la base de datos. |
| Estrategia | Actualizar inmediatamente a la versión corregida superior a 5.4.3. Revisar y validar estrictamente las entradas que se utilizan para generar consultas SQL, especialmente las que afectan cláusulas OVER en bases de datos. Implementar controles de acceso y monitoreo de consultas anómalas en la base de datos para detectar posibles explotaciones activas. |
—
Se trata de una vulnerabilidad crítica y explotable activamente que puede comprometer la integridad de la base de datos con acceso completo del proceso, por lo que la prioridad debe ser máxima en cualquier entorno que utilice CakePHP hasta la 5.4.3. Explotación ya confirmada públicamente.
**Inserción en Supabase completada con datos del CVE-2026-119418.**
| CVE | CVE-2026-119419 |
| Severidad | CRÍTICA (9.2) |
| Importancia para la empresa | ALTA |
| Publicado | 31/10/2026 04:31 (UTC) |
| Vendor | CakePHP |
| Producto | CakePHP Framework |
| Versiones | Hasta la versión 5.4.3 incl. |
| Exploit Públicos | Sí, confirmados |
| Referencia | Abraxas Labs Research</td |
| Descripción | CakePHP hasta la versión 5.4.3 contiene una vulnerabilidad de inyección SQL que permite a los atacantes inyectar código SQL proporcionando valores de colación no validados a StringExpression y IdentifierExpression. Un atacante que controle el nombre de colación pasado al constructor o al método setCollation() puede añadir SQL tras la cláusula COLLATE sin comillas, afectando a todos los controladores de base de datos con los privilegios de la conexión.
La vulnerabilidad puede ser explotada inyectando comandos SQL arbitrarios que comprometen la integridad, confidencialidad y disponibilidad de la base de datos, permitiendo exfiltración de datos o ejecución de acciones no autorizadas dentro del contexto de la base de datos. |
| Estrategia | Aplicar inmediatamente las actualizaciones oficiales que corrigen esta vulnerabilidad, actualizando a versiones superiores a 5.4.3. Revisar los controles de validación de entradas para campos que manejan colaciones o SQL dinámico, limitar privilegios mínimos en las conexiones a base de datos, y monitorizar registros de consultas sospechosas. La explotación confirmada y alta severidad requieren máxima prioridad. |
| CVE | CVE-2026-119568 |
| Severidad | CRITICAL (9.1) |
| Importancia para la empresa | ALTA |
| Publicado | 31 octubre 2026, 04:31 (UTC) |
| Vendor | vsftpd |
| Producto | vsftpd |
| Versiones | versiones hasta 3.0.5 inclusive |
| Exploit Públicos | Sí, confirmado |
| Referencia | Abraxas Labs</td |
| Descripción | vsftpd hasta la versión 3.0.5 contiene una vulnerabilidad de omisión de autenticación en la función ssl_data_accept() que permite a atacantes no autenticados secuestrar conexiones FTPS de datos reanudando su propia sesión TLS mediante un ticket. Atacantes que compartan la IP origen de la víctima pueden obtener un ticket vía AUTH TLS y luego conectarse al puerto PASV de la víctima para robar descargas o inyectar datos en subidas. |
| Estrategia | Aplicar inmediatamente el parche actualizado que corrija esta vulnerabilidad o actualizar a una versión superior a 3.0.5. Implementar controles en firewall para restringir conexiones a puertos PASV solo a clientes autenticados y monitorizar tráfico FTPS sospechoso desde IPs internas para detectar posibles ataques activos. |
| CVE | CVE-2026-119597 |
| Severidad | CRITICAL (9.3) |
| Importancia para la empresa | ALTA |
| Publicado | 31/10/2026 04:31 UTC |
| Vendor | OpenDeepWiki |
| Producto | OpenDeepWiki |
| Versiones | Hasta versión 2.0.6 incluida |
| Exploit Públicos | Sí, llave JWT hardcoded conocida públicamente |
| Referencia | GitHub OpenDeepWiki |
| Descripción | OpenDeepWiki hasta la versión 2.0.6 contiene una vulnerabilidad crítica de clave de firma JWT hardcoded que permite a atacantes no autenticados forjar tokens de administrador usando la clave pública Jwt:SecretKey encontrada en appsettings.json. Los atacantes pueden crear tokens HS256 con el rol Admin para acceder a endpoints /api/admin, controlando usuarios, roles, repositorios, configuraciones y claves API. |
| Estrategia | Actualizar inmediatamente a una versión que elimine la clave JWT hardcoded y use un método seguro para la gestión de secretos. Revisar logs para detectar accesos sospechosos con tokens falsificados y restringir el acceso a endpoints críticos hasta solucionar. Implementar rotación de claves y reforzar monitoreo de administración. |
| CVE | CVE-2026-110799 |
| Severidad | CRÍTICA (9.8) |
| Importancia para la empresa | ALTA |
| Publicado | 31 Octubre 2026, 04:31 (UTC) |
| Vendor | Vvveb |
| Producto | Vvveb CMS (Page Builder) |
| Versiones | Versiones anteriores a 1.0.8.7 |
| Exploit Públicos | Sí |
| Referencia | Github Advisory Vvveb CVE-2026-110799 |
| Descripción | Vulnerabilidad crítica de Bypass de Autenticación en Vvveb CMS (constructor de sitios web, blogs y ecommerce) en la funcionalidad de restablecimiento de contraseña anterior a la versión 1.0.8.7. El problema surge por una validación insuficiente de los parámetros GET de usuario y token, lo que permite a un atacante autenticar sin credenciales válidas. Esta vulnerabilidad ha sido corregida en la versión 1.0.8.7. |
| Evaluación | Esta vulnerabilidad puede ser explotada remotamente sin necesidad de autenticación previa, permitiendo a un atacante tomar control de cuentas mediante manipulación de parámetros. Existen exploits públicos conocidos. Representa un riesgo real y crítico para la empresa si se usa Vvveb CMS sin actualizar, pudiendo comprometer cuentas administrativas o sensibles. Se recomienda asignarle máxima prioridad inmediata. |
| Estrategia | Actualizar urgentemente Vvveb CMS a la versión 1.0.8.7 o superior donde se corrigió la vulnerabilidad. Revisar los logs para detectar posibles accesos anómalos a la función de restablecimiento de contraseña, implementar controles adicionales en parámetros GET y monitorizar intentos de explotación para prevenir compromisos activos. |
—
***Registros insertados en Supabase con CVE-2026-110799, severidad CRÍTICA, explotación confirmada y alta prioridad para acción inmediata.***
| CVE | CVE-2026-112905 |
| Severidad | CRÍTICA (9.0) |
| Importancia para la empresa | ALTA |
| Publicado | 31 de octubre de 2026, 04:31 (UTC) |
| Vendor | Vvveb |
| Producto | Vvveb CMS con constructor de páginas |
| Versiones | Versiones anteriores a 1.0.8.7 |
| Exploit Públicos | Sí |
| Referencia | GitHub Advisory GHSA-hg48-r64v-9rvq |
| Descripción | Vulnerabilidad autenticada de Insecure Direct Object Reference (IDOR) en el endpoint admin/auth-token de Vvveb CMS versiones anteriores a 1.0.8.7. Permite a cualquier administrador leer y sobrescribir los tokens API de otros administradores.
Esta vulnerabilidad puede ser explotada mediante acceso administrativo para obtener y modificar los tokens de API de otros usuarios con privilegios, lo que puede llevar a la toma completa de control o acceso no autorizado a servicios críticos mediante la suplantación de identidad administrativa. |
| Estrategia | Actualizar inmediatamente a la versión 1.0.8.7 o superior que ha parchado esta vulnerabilidad. Revisar y revocar tokens API existentes que puedan estar comprometidos. Limitar estrictamente el acceso administrativo y auditar registros de cambios para detectar actividad sospechosa. Implementar controles adicionales de segregación de privilegios en la gestión de tokens. |
| CVE | CVE-2026-119660 |
| Severidad | CRITICAL (9.3) |
| Importancia para la empresa | ALTA |
| Publicado | 31 de octubre de 2026, 04:31 (UTC) |
| Vendor | MuseBot |
| Producto | MuseBot |
| Versiones | versiones anteriores a 2.0.0 |
| Exploit Públicos | Sí |
| Referencia | MuseBot GitHub |
| Descripción | MuseBot antes de la versión 2.0.0 contiene una vulnerabilidad de omisión de autenticación que permite a atacantes no autenticados falsificar sesiones de administrador utilizando la clave de sesión por defecto codificada ‘muse_bot_session_key’. Los atacantes pueden firmar una cookie de sesión MuseBot que lleva un user_id para obtener acceso administrativo completo, pudiendo leer hashes de contraseñas, registros de chat, configuración del bot y detener bots. |
| Estrategia | Actualizar inmediatamente a la versión 2.0.0 o superior que corrige esta vulnerabilidad. En paralelo, revisar la gestión de claves y sesiones para eliminar cualquier clave por defecto fija y fortalecer la autenticación. Monitorizar accesos administrativos anómalos y aplicar controles estrictos de acceso a las sesiones. |
| CVE | CVE-2026-61728 |
| Severidad | CRÍTICA (9.9) |
| Importancia para la empresa | ALTA |
| Publicado | 31/10/2026 04:31 (UTC) |
| Vendor | SOCFortress |
| Producto | SOCFortress CoPilot |
| Versiones | Versiones anteriores a 0.1.70 (reparación parcial) y 0.1.76 (reparación completa) |
| Exploit Públicos | Sí, confirmados |
| Referencia | SOCFortress Advisory]</td |
| Descripción | La aplicación SOCFortress CoPilot presenta una vulnerabilidad crítica de Cross-Site Scripting (XSS) almacenado en el componente de portal de clientes. Los usuarios pueden inyectar código HTML/JavaScript malicioso sin sanitizar a través de comentarios en alertas y otros campos críticos (casos SOC, activos, revisiones de estado). El script inyectado se ejecuta en el origen de la aplicación cuando otros usuarios visualizan estos datos. Debido a que los tokens de acceso y refresco se almacenan en un almacenamiento accesible por JavaScript y se envían mediante encabezados Bearer, el atacante puede robar estos tokens, suplantar sesiones privilegiadas y persistir un control completo del sistema, incluyendo acceso cruzado entre inquilinos y manipulación de incidentes. |
| Estrategia | Actualizar sin demora a la versión 0.1.76 o superior, que corrige todas las vulnerabilidades de XSS reportadas. Revisar y reforzar las prácticas de almacenamiento de tokens implementando HttpOnly cookies para minimizar robo de tokens vía JS. Monitorizar indicadores de compromiso relacionados con actividades de cuentas privilegiadas y accesos inusuales tras despliegue del parche. |
—
*****
| CVE | CVE-2026-61728 |
| Severidad | CRÍTICA (9.9) |
| Importancia para la empresa | ALTA |
| Publicado | 31/10/2026 04:31 (UTC) |
| Fabricante | SOCFortress |
| Producto Afectado | SOCFortress CoPilot |
| Versiones Afectadas | Versiones anteriores a 0.1.70 y 0.1.76 |
| Exploit Públicos | Sí, confirmados |
| Referencia | SOCFortress Advisory]</td |
| Descripción | Vulnerabilidad crítica de XSS almacenado que permite ejecución remota de scripts maliciosos en el portal de clientes, robando tokens de autenticación y permitiendo toma de control persistente y acceso cruzado entre inquilinos. |
| Estrategia | Actualizar a versión 0.1.76 inmediatamente, utilizar almacenamiento seguro para tokens, y monitorizar actividad sospechosa. |
| CVE | CVE-2026-61729 |
| Severidad | CRÍTICA (9.4) |
| Importancia para la empresa | ALTA |
| Publicado | 31/10/2026 04:31 (UTC) |
| Vendor | SOCFortress |
| Producto | CoPilot |
| Versiones | versiones anteriores a 0.1.76 |
| Exploit Públicos | Sí, confirmados |
| Referencia | Commit oficial de corrección |
| Descripción | SOCFortress CoPilot, en versiones anteriores a 0.1.76, tiene una vulnerabilidad crítica en los endpoints que validan webhooks (`verify_graylog_header` y `verify_velociraptor_header`), donde usan un valor por defecto público y conocido para autenticación. Esto permite a atacantes anónimos saltarse la autenticación JWT y ejecutar comandos arbitrarios en el gestor Wazuh activo a través de `POST /api/graylog/invoke`, además de forjar alertas manipuladas que afectan consultas OpenSearch. |
| Estrategia | Actualizar inmediatamente a la versión 0.1.76 o superior, asegurando que los valores secretos de `GRAYLOG_API_HEADER_VALUE` y `VELOCIRAPTOR_API_HEADER_VALUE` estén configurados con claves únicas y no el valor por defecto. Monitorizar tráfico para detectar llamadas anónimas a los endpoints afectados y restringir el acceso a APIs críticas mediante firewalls o controles de red. |
| CVE | CVE-2026-61730 |
| Severidad | CRÍTICA (9.3) |
| Importancia para la empresa | ALTA |
| Publicado | 31 de octubre de 2026, 04:31 (UTC) |
| Vendor | SOCFortress |
| Producto | SOCFortress CoPilot |
| Versiones | Versiones anteriores a la 0.1.77 |
| Exploit Públicos | Sí, confirmados |
| Referencia | SOCFortress GitHub Advisory |
| Descripción | SOCFortress CoPilot presenta un punto de exposición no autenticado en la ruta /scoutsuite-report, permitiendo el acceso sin autenticación a informes HTML y archivos JS que contienen información sensible de AWS, Azure y GCP, incluyendo identidades IAM, inventarios de recursos y configuraciones erróneas. Durante un escaneo GCP iniciado por administrador o analista, la clave JSON de la cuenta de servicio de Google se almacena temporalmente en esa misma ruta accesible públicamente, permitiendo a un atacante anónimo recuperar dicha clave y usar los permisos de la cuenta en la nube. La vulnerabilidad fue mitigada a partir de la versión 0.1.77 en cuanto al aislamiento de credenciales; sin embargo, la exposición de reportes no se ha corregido totalmente. |
| Importancia concreta | Esta vulnerabilidad supone un riesgo real y grave para la empresa al permitir la exfiltración de claves de cuentas de servicio en la nube y acceso a información crítica sobre la infraestructura, facilitando compromisos de seguridad a nivel de nube pública. |
| Estrategia | Actualizar urgentemente el producto a la versión 0.1.77 o superior que aísla las credenciales. Revisar y restringir el acceso a la ruta /scoutsuite-report, implementando autenticación fuerte y controles de acceso estrictos. Monitorizar activamente solicitudes no autorizadas y realizar auditoría de claves expuestas para revocar y rotar credenciales de servicio afectadas. Considerar la segmentación y fortificación del backend para evitar exfiltración de información sensible. |
—
*He realizado la inserción del registro correspondiente en la base de datos Supabase conforme a la política indicada.*
| CVE | CVE-2026-61737 |
| Severidad | CRITICAL (9.8) |
| Importancia para la empresa | ALTA |
| Publicado | 31-10-2026 |
| Vendor | ng-antd-admin |
| Producto | ng-antd-admin (plantilla de administración Angular y NestJS) |
| Versiones | versiones anteriores a 22.0 |
| Exploit Públicos | Sí, existe exploit público |
| Referencia | Commit oficial de corrección |
| Descripción | ng-antd-admin es una plantilla de administración Angular y NestJS. Antes de la versión 22.0, existía un secreto JWT codificado por defecto que permitía falsificar tokens si el desplegable no reemplazaba ese secreto predeterminado, sin advertencia al iniciar. Un atacante puede eludir la autenticación y autorización, suplantar a cualquier usuario (incluidos administradores) y acceder a endpoints API protegidos, causando toma de control de cuentas, filtración de datos y operaciones no autorizadas. La versión 22.0 rechaza este secreto en producción pero lo permite con advertencia en entornos no productivos. |
| Estrategia | Actualizar inmediatamente a la versión 22.0 o superior. Verificar que el secreto JWT por defecto haya sido reemplazado en todos los entornos, especialmente en producción. Implementar revisiones de configuración para evitar secretos codificados y monitorear accesos sospechosos para detectar explotación activa. |
| CVE | CVE-2026-61738 |
| Severidad | CRITICAL (10) |
| Importancia para la empresa | ALTA |
| Publicado | 31 Octubre 2026, 04:31 (UTC) |
| Vendor | SOCFortress |
| Producto | CoPilot (Security Operations Platform) |
| Versiones | versiones anteriores a 0.1.77 |
| Exploit Públicos | Sí, confirmados |
| Referencia | Commit oficial de corrección |
| Descripción | SOCFortress CoPilot, antes de la versión 0.1.77, presenta una vulnerabilidad en la ruta POST /api/scoutsuite/generate-gcp-report donde usuarios con roles de administrador y analista pueden subir archivos JSON con nombres no sanitizados que permiten un recorrido por directorios (path traversal). Esto posibilita la escritura fuera del directorio de reportes, incluyendo sobre archivos en el directorio fuente de la aplicación con privilegios de root. Aunque no se reporta ejecución de código arbitrario o filtración entre inquilinos, la vulnerabilidad puede interrumpir gravemente la operación del sistema. La versión 0.1.77 elimina la capacidad de controlar el nombre del archivo, mitigando este riesgo. |
| Estrategia | Actualizar urgentemente a la versión 0.1.77 o superior. Validar y sanitizar estrictamente los nombres de archivos recibidos para evitar escapes de directorios. Implementar controles de acceso fuertes y monitoreo para detectar escrituras anómalas en el sistema de archivos. Revisar logs para indicar posibles explotaciones activas. |
—
**Se recomienda priorizar esta vulnerabilidad debido a que la explotación confirmada permite a usuarios con permisos elevados realizar sobrescrituras arbitrarias con privilegios root, lo que puede desestabilizar o derribar la aplicación. No hay evidencia de explotación masiva reportada aún, pero el riesgo operativo y de integridad para la empresa es alto. El parche oficial ya está disponible y debe aplicarse de inmediato.**
| CVE | CVE-2026-93327 |
| Severidad | CRITICAL (9.4) |
| Importancia para la empresa | ALTA |
| Publicado | 31 octubre 2026 04:31 (UTC) |
| Vendor | |
| Producto | Google Cloud Application Integration |
| Versiones | versiones anteriores a 2026-09-11 |
| Exploit Públicos | Sí |
| Referencia | Google Cloud Support Bulletin |
| Descripción | Una vulnerabilidad de deserialización de datos no confiables en la tarea SubWorkflow de Google Cloud Application Integration en versiones anteriores al 11 de septiembre de 2026 en Google Cloud Platform permite a un atacante autenticado ejecutar código arbitrario mediante un objeto serializado maliciosamente manipulado.
Esta vulnerabilidad fue parcheada el 11 de septiembre de 2026 y no se requiere acción adicional por parte del cliente. |
| Estrategia | Actualizar inmediatamente Google Cloud Application Integration a la versión parcheada posterior al 11 de septiembre de 2026. Monitorear accesos y actividad sospechosa para detectar posibles intentos de explotación. Limitar privilegios de usuarios autenticados para reducir impacto en caso de explotación. |
—
He insertado el registro en Supabase siguiendo protocolo.
| CVE | CVE-2026-119706 |
| Severidad | CRITICAL (9.3) |
| Importancia para la empresa | ALTA |
| Publicado | 31 de octubre de 2026 |
| Vendor | InternLM |
| Producto | LMDeploy |
| Versiones | 0.9.0 a 0.18.0 |
| Exploit Públicos | Sí |
| Referencia | GitHub LMDeploy |
| Descripción | LMDeploy de InternLM versión 0.9.0 hasta 0.18.0 contiene una vulnerabilidad de ejecución remota de código sin autenticación que permite a atacantes remotos ejecutar comandos OS enviando datos pickle al endpoint /update_weights. Los atacantes pueden enviar un pickle manipulado codificado en base64 en serialized_named_tensors, que ForkingPickler.loads deserializa sin validación, ejecutando comandos como el proceso api_server. |
| Estrategia | Aplicar urgentemente la actualización o parche oficial de LMDeploy para versiones posteriores a 0.18.0. Si no es posible actualizar, restringir el acceso al endpoint /update_weights mediante filtros de red y autenticación reforzada. Monitorizar intentos sospechosos y registros de ejecución de comandos para detectar explotación activa. |
—–
He realizado la inserción del registro con:
CVE: CVE-2026-119706
Severidad: CRITICAL (9.3)
Importancia para la empresa: ALTA
Publicado: 2026-10-31T04:31:58.534707+00:00
Vendor: InternLM
Producto: LMDeploy
Versiones afectadas: 0.9.0 – 0.18.0
Exploit Públicos: Sí
Referencia: https://github.com/InternLM/lmdeploy
| CVE | CVE-2026-119716 |
| Severidad | CRÍTICA (9.2) |
| Importancia para la empresa | ALTA |
| Publicado | 31 Oct 2026, 04:31 (UTC) |
| Vendor | pybars3 |
| Producto | pybars3 |
| Versiones | hasta la 0.9.7 inclusive |
| Exploit Públicos | Sí |
| Referencia | Informe de Vulnerabilidad</td |
| Descripción | pybars3 hasta la versión 0.9.7 contiene una vulnerabilidad de inyección de código en pybars/_compiler.py que permite a autores de plantillas ejecutar código Python mediante segmentos entre corchetes no escapados. Atacantes pueden suministrar plantillas Handlebars con segmentos manipulados en argumentos helper o block para escapar de literales de cadena y ejecutar código Python dentro del proceso de la aplicación.
La vulnerabilidad permite ejecución remota de código con los privilegios del proceso afectado, lo que puede comprometer completamente la integridad y confidencialidad del sistema. |
| Estrategia | Actualizar inmediatamente pybars3 a una versión corregida posterior a la 0.9.7. Revisar y sanitizar estrictamente las plantillas Handlebars recibidas, evitando contenidos dinámicos con posibilidad de inyección. Monitorizar actividad inusual del proceso para detectar explotación activa, y restringir permisos del contexto donde corre la aplicación para minimizar daños en caso de explotación. |
—
He registrado este CVE en el sistema Supabase conforme al protocolo para seguimiento y priorización inmediata.
| CVE | CVE-2026-119717 |
| Severidad | CRITICAL (9.2) |
| Importancia para la empresa | ALTA |
| Publicado | 31 Octubre 2026, 04:31 (UTC) |
| Vendor | pybars4 project |
| Producto | pybars4 |
| Versiones | Versiones hasta 0.9.13 incluidas |
| Exploit Públicos | Sí |
| Referencia | Repositorio pybars4 en GitHub |
| Descripción | pybars4 hasta la versión 0.9.13 contiene una vulnerabilidad de inyección de código en el archivo pybars/_compiler.py que permite a atacantes ejecutar código Python mediante segmentos de ruta entre corchetes no escapados en las plantillas Handlebars. Un atacante puede suministrar una plantilla con un segmento manipulado en un argumento de helper o bloque para escapar del literal de cadena generado en resolve() y ejecutar código arbitrario en el proceso de la aplicación. |
| Estrategia | Actualizar urgentemente pybars4 a una versión parcheada posterior a la 0.9.13 que corrige esta vulnerabilidad. Revisar el manejo de plantillas externas para evitar la ejecución de código arbitrario y restringir el acceso a la funcionalidad de templates en entornos no confiables. Monitorizar indicios de explotación activa dadas las evidencias de exploits públicos disponibles. |
| CVE | CVE-2026-112816 |
| Severidad | CRITICAL (10) |
| Importancia para la empresa | ALTA |
| Publicado | 31-10-2026 04:31 UTC |
| Vendor | Canonical |
| Producto | LXD |
| Versiones | 4.0.14, 5.0.10, 5.21.8, 6.9 y anteriores a 4.0.15, 5.0.11, 5.21.9, 6.10.1 |
| Exploit Públicos | Sí |
| Referencia | Aviso oficial Canonical LXD 4.0.15 LTS |
| Descripción | Validación incorrecta de certificado en el escucha HTTPS de Canonical LXD versiones 4.0.14, 5.0.10, 5.21.8 y 6.9 anteriores a 4.0.15, 5.0.11, 5.21.9, 6.10.1 permite que un atacante no autenticado se autentique como cualquier cliente de confianza y obtenga acceso total al clúster y a las máquinas virtuales gestionadas mediante una cadena de certificados manipulada. |
| Evaluación | La vulnerabilidad permite la escalada completa mediante certificados fraudulentos sin necesidad de credenciales, comprometiendo control total sobre la infraestructura virtual. Debido a la gravedad y existencia de exploits, la explotación activa es probable y representa un riesgo real y crítico para la empresa. |
| Estrategia | Actualizar urgentemente a las versiones 4.0.15, 5.0.11, 5.21.9 o 6.10.1 o superiores. Revisar y restringir la emisión y gestión de certificados dentro del clúster. Monitorizar acceso no autorizado y auditar logs para detección de actividad maliciosa. Implementar controles de acceso adicionales y segmentación de red para limitar el impacto en caso de explotación. |
*****
**Inserción en Supabase realizada: registro de CVE-2026-112816 con severidad crítica y detalles de mitigación completos.**
| CVE | CVE-2026-61826 |
| Severidad | CRÍTICA (10.0) |
| Importancia para la empresa | ALTA |
| Publicado | 31 Octubre 2026, 04:31 (UTC) |
| Vendor | Bazarr |
| Producto | Bazarr (compañero de Sonarr y Radarr) |
| Versiones | Versiones anteriores a 1.5.7-beta.14 |
| Exploit Públicos | Sí, explotación verificada |
| Referencia | Commit oficial de parche |
| Descripción | Bazarr tiene múltiples endpoints en el espacio de nombres api_ns_plex sin protección de autenticación previa a la versión 1.5.7-beta.14. Esto permite a atacantes anónimos modificar la configuración mediante llamadas POST sin necesidad de PIN, cuenta o estado válido, logrando deshabilitar integraciones, persistir claves API controladas por el atacante, y realizar vinculaciones de tokens OAuth sin validación completa. Además, rutas permiten manipulación de configuración con capacidades para realizar Server-Side Request Forgery (SSRF) y exponer credenciales mediante tokens X-Plex-Token en solicitudes externas, lo que puede llevar a denegación de servicio persistente o control completo por el atacante. |
| Estrategia | Actualizar urgentemente a Bazarr 1.5.7-beta.14 o versiones superiores que añaden autenticación para todas las APIs vulnerables. Además, monitorizar los logs para detección de actividad anómala en estas rutas y restringir accesos externos no autorizados. Como medida adicional, revisar y limitar el uso de tokens Plex expuestos y validar configuraciones OAuth para asegurar integridad completa. |
—
He registrado el ítem en la base de datos Supabase con los datos correspondientes para seguimiento y análisis adicional. Este CVE representa un riesgo concreto para nuestra infraestructura que use Bazarr, debido a la posibilidad real de manipulación externa no autenticada y explotación activa confirmada. Recomiendo máxima prioridad de parcheo e investigación.
| CVE | CVE-2026-118697 |
| Severidad | CRÍTICA (9) |
| Importancia para la empresa | ALTA |
| Publicado | 31/10/2026 04:31 (UTC) |
| Vendor | JetBrains |
| Producto | JetBrains Toolbox App, IntelliJ IDEA |
| Versiones | Toolbox App antes de 3.9.1 y 3.8.2; IntelliJ IDEA antes de 2026.3 y 2026.2.4 |
| Exploit Públicos | Sí |
| Referencia | JetBrains Security Advisory |
| Descripción | JetBrains Toolbox App versiones anteriores a 3.9.1 y 3.8.2, y IntelliJ IDEA versiones anteriores a 2026.3 y 2026.2.4, reconocen certificados intermedios comprometidos de emudhra como fiables en el daemon jetbrainsd. Esta vulnerabilidad crítica permite que un atacante con un certificado comprometido pueda presentar firmas digitales falsas que el sistema acepta como legítimas. |
| Estrategia | Actualizar inmediatamente JetBrains Toolbox App a la versión 3.9.1 o superior, e IntelliJ IDEA a la 2026.3 o superior. Además, auditar la infraestructura para detectar certificados comprometidos y monitorear actividad anómala en componentes que usan el daemon jetbrainsd. Implementar alertas tempranas para posibles explotaciones activas ya que existen exploits públicos. |
—
(Se ha insertado registro en Supabase)
| CVE | CVE-2026-119978 |
| Severidad | CRÍTICA (9.0) |
| Importancia para la empresa | ALTA |
| Publicado | 31 Oct 2026, 04:31 (UTC) |
| Vendor | FlowiseAI |
| Producto | Flowise |
| Versiones | hasta la 3.1.4 incluida |
| Exploit Públicos | Sí |
| Referencia | Flowise GitHub |
| Descripción | Flowise hasta la versión 3.1.4 contiene una vulnerabilidad de escape de sandbox que permite a usuarios autenticados ejecutar comandos del sistema operativo abusando de los módulos allowlisted langchain y mammoth cuando ALLOW_BUILTIN_DEP está en true. Un atacante puede enviar JavaScript a /api/v1/node-custom-function que escribe un archivo en el paquete mammoth mediante LocalFileStore y lo requiera, escapando de vm2 como el usuario del proceso Flowise. |
| Estrategia | Aplicar inmediatamente la actualización de Flowise a una versión posterior a la 3.1.4 en la que se corrija esta vulnerabilidad. Además, deshabilitar ALLOW_BUILTIN_DEP si no es estrictamente necesario y limitar accesos a la API sólo a usuarios de confianza. Monitorizar logs para detectar uso anómalo del endpoint /api/v1/node-custom-function que podría indicar explotación activa. |
—
He realizado la inserción del registro en Supabase con los detalles indicados para seguimiento y priorización continua.
| CVE | CVE-2026-116386 |
| Severidad | CRITICAL (9.8) |
| Importancia para la empresa | ALTA |
| Publicado | 31 de octubre de 2026, 04:32 (UTC) |
| Vendor | SMS Alert |
| Producto | SMS Alert Order Notifications (WordPress Plugin) |
| Versiones | Versiones <= 4.0.2 |
| Exploit Públicos | Sí, confirmados |
| Referencia | Patchstack Advisory |
| Descripción | Una vulnerabilidad de escalada de privilegios sin autenticación afecta al plugin SMS Alert Order Notifications para WordPress, versiones iguales o inferiores a 4.0.2. Esta falla permite a un atacante no autenticado elevar sus privilegios dentro del sistema, lo que potencialmente compromete la integridad y control del sitio afectado. La explotación es sencilla dado que no requiere credenciales previas, aumentando el riesgo de intrusión y manipulación. |
| Estrategia | Actualizar urgentemente a la última versión disponible del plugin. Si la actualización inmediata no es posible, desactivar temporalmente el plugin para evitar explotación. Además, monitorizar registros de actividad para detectar posibles intentos de escalada y reforzar políticas de acceso administrativo. |
| CVE | CVE-2026-116852 |
| Severidad | CRITICAL (9.1) |
| Importancia para la empresa | ALTA |
| Publicado | 31 octubre 2026 |
| Vendor | WordPress.org |
| Producto | Widget Options (Plugin WordPress) |
| Versiones | versiones 4.2.5 y anteriores |
| Exploit Públicos | Sí, reportados |
| Referencia | Patchstack Advisory |
| Descripción | Ejecución remota de código (RCE) en versiones 4.2.5 y anteriores del plugin Widget Options de WordPress. Esta vulnerabilidad permite a un atacante remoto ejecutar código arbitrario en el servidor afectado, comprometiendo toda la integridad y confidencialidad del sistema.
Un atacante puede explotar esta vulnerabilidad enviando solicitudes especialmente diseñadas que aprovechan fallos en la validación y manejo de entradas del plugin, con la capacidad de tomar control total del entorno WordPress sin autenticación avanzada. |
| Estrategia | Actualizar inmediatamente el plugin Widget Options a la versión más reciente disponible que corrige esta vulnerabilidad. Además, implementar controles de acceso estrictos al panel de administración de WordPress, revisar y fortalecer las reglas de firewall para bloquear tráfico sospechoso, y monitorizar logs en busca de intentos de explotación activos. |
| CVE | CVE-2026-119526 |
| Severidad | CRÍTICA (9.8) |
| Importancia para la empresa | ALTA |
| Publicado | 31 de Octubre de 2026 |
| Vendor | ThemeREX |
| Producto | Royal Event (Tema WordPress) |
| Versiones | hasta la versión 2.0 (incluida) |
| Exploit Públicos | Sí, confirmados |
| Referencia | Patchstack Advisory Royal Event</td |
| Descripción | Vulnerabilidad de Deserialización de Datos no Confiables en ThemeREX Royal Event que permite Inyección de Objetos. Esta vulnerabilidad afecta a Royal Event en versiones hasta la 2.0 incluida.
Esto permite que un atacante remoto envíe datos maliciosos especialmente diseñados que, al ser deserializados por el sistema, pueden causar la ejecución de código arbitrario. La explotación es directa y crítica, pudiendo comprometer totalmente la seguridad de la aplicación y sistema donde esté desplegado el plugin vulnerable. |
| Estrategia | Actualizar inmediatamente a una versión corregida una vez disponible o deshabilitar el tema vulnerable. Implementar controles de validación estricta para entradas externas y monitorear activamente logs para detectar patrones de explotación. Aplicar reglas de firewall para limitar acceso a endpoints vulnerables y mantener los sistemas parcheados para reducir vectores de ataque. |
| CVE | CVE-2026-39732 |
| Severidad | CRÍTICA (9.3) |
| Importancia para la empresa | ALTA |
| Publicado | 31 de octubre de 2026 |
| Vendor | Patchstack (WordPress plugin author) |
| Producto | Transliterator (WordPress plugin) |
| Versiones | Versiones <= 2.5.13 |
| Exploit Públicos | Sí |
| Referencia | Patchstack Advisory |
| Descripción | Una vulnerabilidad de inyección SQL sin autenticación en el plugin Transliterator para WordPress en versiones iguales o anteriores a la 2.5.13 permite a atacantes remotos realizar consultas arbitrarias a la base de datos sin necesidad de estar autenticados. Esto se traduce en un compromiso grave de integridad y confidencialidad de datos, ya que se pueden manipular o extraer datos sensibles directamente desde la base de datos. |
| Estrategia | Actualizar de inmediato el plugin Transliterator a una versión superior a la 2.5.13 que contenga el parche oficial. Adicionalmente, monitorizar los logs de base de datos y accesos web para detectar posibles intentos de inyección. Implementar firewalls de aplicaciones web (WAF) para bloquear patrones típicos de inyección SQL, y restringir los permisos del usuario de base de datos del servidor web para limitar daños en caso de explotación activa. |
—–
| CVE | CVE-2026-39738 |
| Severidad | CRITICAL (9.8) |
| Importancia para la empresa | ALTA |
| Publicado | 31 de octubre de 2026 |
| Vendor | FunnelKit |
| Producto | FunnelKit Automations (plugin WordPress) |
| Versiones | versiones hasta 3.8.6.1 incluidas |
| Exploit Públicos | Sí, existen |
| Referencia | Patchstack Advisory |
| Descripción | Vulnerabilidad de Inyección de Objetos PHP no autenticada en FunnelKit Automations, versiones hasta la 3.8.6.1 incluidas. Esta falla permite a un atacante remoto sin necesidad de autenticarse inyectar objetos PHP maliciosos, que pueden llevar a ejecución remota de código o manipulación del sistema afectado, poniendo en riesgo serio la integridad y confidencialidad de la plataforma WordPress vulnerable. |
| Estrategia | Actualizar inmediatamente el plugin a la versión superior a 3.8.6.1 que corrige esta vulnerabilidad. Además, restringir el acceso al panel de administración y aplicar monitoreo activo para detección de intentos de explotación dado que ya existen exploits públicos que facilitan ataques remotos sin autenticación. |
| CVE | CVE-2026-90888 |
| Severidad | CRITICAL (9.8) |
| Importancia para la empresa | ALTA |
| Publicado | 31 octubre 2026 |
| Vendor | LeadSnap |
| Producto | LeadSnap Plugin para WordPress |
| Versiones | versiones iguales o inferiores a 1.25 |
| Exploit Públicos | Sí, confirmados |
| Referencia | PatchStack Advisory |
| Descripción | Una vulnerabilidad crítica de inyección de objetos PHP sin autenticación en LeadSnap versión 1.25 o anteriores que permite a un atacante remoto inyectar objetos PHP maliciosos en la aplicación sin necesidad de credenciales. |
| Estrategia | Actualizar inmediatamente a la versión más reciente de LeadSnap, superior a la 1.25. Implementar controles de validación estricta de entrada para datos PHP en el entorno WordPress. Monitorizar actividad inusual para detectar posibles intentos de explotación en producción y restringir el acceso a funcionalidades críticas a usuarios autenticados. |
—–
| CVE | CVE-2026-116238 |
| Severidad | CRÍTICA (9.2) |
| Importancia para la empresa | ALTA |
| Publicado | 31 de octubre de 2026, 04:32 (UTC) |
| Vendor | pgAdmin.org |
| Producto | pgAdmin 4 |
| Versiones | Versiones anteriores a la 9.19 |
| Exploit Públicos | Sí, existe código público que facilita el ataques |
| Referencia | pgAdmin4 Commit patch oficial |
| Descripción | En modo servidor, pgAdmin 4 bloquea una cuenta interna después de un número máximo de intentos fallidos de inicio de sesión (3 por defecto). Sin embargo, un atacante no autenticado puede eludir este límite, permitiendo un número ilimitado de intentos de contraseña contra cualquier cuenta interna, incluida la del administrador, debido a problemas en la gestión de vistas de Flask-Security, casos insensibles en el nombre de usuario y configuraciones combinadas con LDAP, Kerberos o autenticación webserver. Además, existe un fallo que permite el restablecimiento de contraseñas entre cuentas de diferentes fuentes y la exposición de la configuración del servidor a usuarios no autorizados.
Este fallo afecta únicamente al modo servidor en versiones anteriores a la 9.19. |
| Estrategia | Actualizar urgentemente pgAdmin 4 a la versión 9.19 o superior que corrige estos fallos críticos. Revisar configuraciones de autenticación para evitar combinaciones que permitan eludir controles, restringir el acceso a las vistas internas de Flask-Security y monitorizar intentos de inicio de sesión para detectar posibles ataques de fuerza bruta ilimitada. |
—
*Este CVE representa un riesgo real y crítico para la empresa dado que permite ataques de fuerza bruta sin límite, poniendo en peligro cuentas con privilegios elevados. Actualmente existen exploits públicos, aumentando la probabilidad de ataques activos. Se debe priorizar su mitigación inmediata.*
| CVE | CVE-2026-116241 |
| Severidad | CRITICAL (9.4) |
| Importancia para la empresa | ALTA |
| Publicado | 31 de octubre de 2026 |
| Vendor | pgAdmin |
| Producto | pgAdmin 4 – herramienta Import/Export Data |
| Versiones | Antes de la versión 9.19 |
| Exploit Públicos | Sí |
| Referencia | Fuente oficial pgAdmin</td |
| Descripción |
La herramienta Import/Export Data de pgAdmin 4 envuelve la exportación de consultas del usuario en un comando psql \copy (…) TO y verifica que los paréntesis estén balanceados para evitar escaparse del wrapper. El chequeo rechaza las barras invertidas en cadenas entre comillas simples, pero no dentro de identificadores entre comillas dobles. Esto provoca una divergencia en la interpretación entre pgAdmin y psql, permitiendo que se oculte un paréntesis de cierre y que un comando TO PROGRAM se ejecute en el host local como el usuario del sistema operativo que corre pgAdmin, antes de que el servidor rechace la consulta. Un rol ordinario en la base de datos puede desactivar standard_conforming_strings y tiene permisos de Import/Export Data por defecto aunque no sea administrador. Esta vulnerabilidad bypassea la corrección previa del CVE-2026-17566, permitiendo ejecución remota de comandos en el host de pgAdmin. |
| Estrategia | Aplicar urgentemente el parche lanzado que corrige esta vulnerabilidad actualizando pgAdmin 4 a la versión 9.19 o superior. Revisar y limitar permisos de Import/Export Data a usuarios estrictamente necesarios. Monitorizar la actividad en pgAdmin para detectar ejecuciones de comandos anómalas y reforzar la configuración de seguridad del entorno del sistema operativo. |
| CVE | CVE-2026-55598 |
| Severidad | CRÍTICA (9.1) |
| Importancia para la empresa | ALTA |
| Publicado | 31 de octubre de 2026 |
| Vendor | PinePods Project |
| Producto | PinePods (Sistema de gestión de podcasts autoalojado) |
| Versiones | Versiones anteriores a 0.9.0 |
| Exploit Públicos | Sí, confirmados |
| Referencia | PinePods Security Advisory |
| Descripción | PinePods es un sistema completo autoalojado para gestión de podcasts escrito en Rust. En versiones anteriores a la 0.9.0, un usuario autenticado puede suscribirse a un feed RSS controlado por un atacante a través de `POST /api/data/add_podcast`. El sistema procesa el feed y almacena la URL del archivo de audio (` |
| Estrategia | Actualizar inmediatamente a la versión 0.9.0 o superior donde esta vulnerabilidad está corregida. Deshabilitar la función de descarga desde el servidor si no es estrictamente necesaria. Implementar validaciones estrictas de las URLs de feeds y en particular controlar y bloquear accesos hacia direcciones IP internas o de la nube para evitar peticiones SSRF. Monitorizar logs de peticiones salientes para detectar posibles ataques activos de SSRF. |
—
| CVE | CVE-2026-61620 |
| Severidad | CRITICAL (9.8) |
| Importancia para la empresa | ALTA |
| Publicado | 31 octubre 2026, 04:32 (UTC) |
| Vendor | HoneySQL project |
| Producto | HoneySQL |
| Versiones | Desde 2.0.0 hasta 2.7.1392 inclusive |
| Exploit Públicos | Sí, confirmados |
| Referencia | Commit fix HoneySQL CVE-2026-61620 |
| Descripción | HoneySQL convierte estructuras de datos de Clojure en SQL. Desde la versión 2.0.0 hasta la 2.7.1392, las aplicaciones que pasan datos de usuario o arbitrarios a HoneySQL mediante `keyword` o `symbol` pueden generar cadenas SQL que facilitan la inyección SQL cuando son ejecutadas sin cambios por un controlador JDBC. Algunos formateadores no aplican la comprobación de caracteres sospechosos a los nombres resultantes. El impacto depende de los privilegios de la conexión a la base de datos que ejecuta la consulta generada. Validar entradas antes de construir entidades `keyword` o `symbol` es una solución temporal. La versión corregida designada por el mantenedor es la 2.7.1392. |
| Evaluación | Esta vulnerabilidad permite a un atacante inyectar código SQL malicioso que puede llevar a la manipulación o robo de datos, especialmente si la base de datos se ejecuta con altos privilegios. Dado que existen exploits públicos, es probable que se esté aprovechando activamente. La importancia para la empresa es alta, especialmente si se usan versiones vulnerables integradas en aplicaciones internas o externas. |
| Estrategia | Actualizar a la versión 2.7.1392 o superior de HoneySQL inmediatamente. Implementar validación estricta y saneamiento de todos los datos que se usan para generar keywords o símbolos en consultas. Revisar los logs de base de datos para detectar posibles inyecciones y limitar los privilegios de usuarios en la base de datos para reducir impacto en caso de explotación. |
| CVE | CVE-2026-61850 |
| Severidad | CRITICAL (9.3) |
| Importancia para la empresa | ALTA |
| Publicado | 31 Octubre 2026 |
| Vendor | Kargo |
| Producto | Kargo (gestión y automatización de promoción de artefactos de software) |
| Versiones | Desde 0.6.0 hasta 1.8.14, 1.9.9 y 1.10.8 |
| Exploit Públicos | Sí |
| Referencia | Commit de parche en GitHub |
| Descripción | Existencia de dos fallos de autorización en la API RBAC con ámbito de proyecto en Kargo, que permiten a un usuario autenticado con permisos delegados sobre Roles o ServiceAccounts de un proyecto otorgarse permisos que exceden los propios. Un usuario autorizado a modificar Roles puede crear o sustituir reglas que concedan permisos más allá de los que tiene; uno autorizado a editar ServiceAccounts puede vincular una identidad a un rol más poderoso. Estas operaciones usan credenciales con amplios privilegios en el servidor API y realizan un control insuficiente de las reglas otorgadas. Esto permite escalada a acceso de administrador del proyecto, exposición de secretos y credenciales, y manipulación o borrado de recursos. Puede comprometer también sistemas externos vinculados (Git, registros de contenedor o Helm). La escalada está limitada a proyectos donde ya tiene ciertos permisos delegados y no afecta accesos interproyecto o al conjunto del cluster. La explotación requiere la existencia previa de un rol personalizado creado por administrador con permisos de gestión RBAC y control del usuario con ese rol. Vulnerabilidad corregida en las versiones 1.8.14, 1.9.9 y 1.10.8. |
| Estrategia | Actualizar urgentemente Kargo a la última versión corregida (≥1.8.14 / 1.9.9 / 1.10.8). Revisar y limitar los roles personalizados con permisos de gestión RBAC, evitando conceder permisos excesivos o delegados sin control. Implementar monitorización y alertas para cambios sospechosos en roles o ServiceAccounts y auditar accesos a secretos de proyecto y recursos críticos. |
| CVE | CVE-2026-78403 |
| Severidad | CRÍTICA (9.3) |
| Importancia para la empresa | ALTA |
| Publicado | 31/10/2026 04:32 (UTC) |
| Vendor | Thales Group |
| Producto | Sentinel Keys Server |
| Versiones | versiones anteriores a 1.3.8.0 |
| Exploit Públicos | Sí, explotaciones confirmadas |
| Referencia | KB0031216 Thales Sentinel Advisory |
| Descripción | Desbordamiento de búfer en la pila y vulnerabilidad de autorización ausente en Thales Sentinel Keys Server sobre Windows. El servidor no verifica la longitud del primer campo en la petición HTTP, permitiendo que un atacante remoto envíe una petición maliciosa que puede provocar ejecución remota de código bajo la cuenta NT AUTHORITY\SYSTEM. |
| Estrategia | Actualizar inmediatamente Sentinel Keys Server a la versión 1.3.8.0 o superior que corrige esta vulnerabilidad. Implementar monitoreo de tráfico HTTP sospechoso y controlar accesos remotos a este servicio para mitigar posibles intentos de explotación activa. |
| CVE | CVE-2026-117666 |
| Severidad | CRITICAL (9.1) |
| Importancia para la empresa | ALTA |
| Publicado | 31/10/2026 04:32 UTC |
| Vendor | Erlang/OTP |
| Producto | ssl_verify_fun |
| Versiones | Desde 1.0.1 hasta antes de 1.1.8 |
| Exploit Públicos | Sí |
| Referencia | CNA Advisory Erlang]</td |
| Descripción | Vulnerabilidad de validación incorrecta del certificado con error de Host en la función ssl_verify_fun de deadtrickster que permite a un atacante intermediario (MITM) suplantar un par TLS mediante un certificado con un comodín de etiqueta parcial. La función try_match_wildcard/4 ancla solo el texto antes y después del ‘*’ de un identificador como f*.example.net, aceptando certificados para hosts maliciosos como f.evil.example.net, violando RFC 6125 que limita el comodín a la etiqueta más a la izquierda. Afecta a versiones de ssl_verify_fun desde la 1.0.1 antes de la 1.1.8. Los clientes con SNI activado están protegidos, pero clientes que lo deshabiliten, servidores que verifiquen certificados de cliente con esta librería y llamadas directas a verify_cert_hostname/2 son vulnerables. |
| Estrategia | Actualizar urgentemente a la versión 1.1.8 o superior donde se corrige esta validación; asegurarse de mantener SNI activado en clientes para evitar hosts falsos; auditar configuraciones de servidores y aplicaciones que usen ssl_verify_fun para validar certificados; monitorizar tráfico para detectar ataques MITM. Evitar deshabilitar SNI y revisar llamadas manuales a verify_cert_hostname/2. |
| CVE | CVE-2026-62849 |
| Severidad | CRÍTICA (9.1) |
| Importancia para la empresa | ALTA |
| Publicado | 31/10/2026 04:32 UTC |
| Vendor | ThingLinks |
| Producto | ThingLinks Enterprise IoT Platform |
| Versiones | Versiones anteriores a 1.4.0 |
| Exploit Públicos | Sí, confirmado |
| Referencia | Commit oficial de parche |
| Descripción | ThingLinks es una plataforma empresarial para IoT. En versiones anteriores a la 1.4.0, existe una vulnerabilidad de inyección SQL sin autenticación en las APIs TDengine TDS, donde valores JSON controlados por el atacante pueden inyectarse en la construcción SQL insegura del mapper TDS. Un atacante remoto no autenticado puede manipular datos de series temporales TDengine, como insertar filas no deseadas o sobrescribir lecturas existentes, afectando directamente la integridad de los datos del sistema. |
| Estrategia | Actualizar inmediatamente a la versión 1.4.0 o superior que parchea esta vulnerabilidad. Aplicar controles estrictos de validación y saneamiento en entradas JSON. Monitorizar accesos y modificaciones inusuales a los datos de TDengine para detectar posibles explotaciones activas. Implementar medidas de control de acceso para limitar llamadas a APIs críticas. |
| CVE | CVE-2026-62853 |
| Severidad | CRITICAL (9.9) |
| Importancia para la empresa | ALTA |
| Publicado | 31 Octubre 2026, 04:32 (UTC) |
| Vendor | ThingLinks |
| Producto | ThingLinks Enterprise IoT Platform |
| Versiones | anteriores a 1.4.0 |
| Exploit Públicos | Sí, confirmados |
| Referencia | Commit solución oficial |
| Descripción | ThingLinks es una plataforma empresarial IoT. Antes de la versión 1.4.0, el endpoint `/groovyScriptTest/registerScript` acepta contenido de scripts Groovy proporcionados por el usuario y los pasa a un flujo de compilación y carga Groovy sin sandbox. Un atacante autenticado puede enviar código que se compila e instancia en el servidor, resultando en ejecución arbitraria de código del lado servidor. Este problema afecta al motor de reglas en el flujo de prueba/registro de scripts Groovy. La vulnerabilidad ha sido corregida en la versión 1.4.0. |
| Estrategia | Priorizar el parche a la versión 1.4.0 o superior inmediatamente. Implementar controles adicionales para validar y restringir la ejecución de scripts enviados por usuarios, especialmente en entornos IoT críticos. Monitorizar tráfico y logs para detectar posibles explotaciones activas dado que existen exploits públicos y la vulnerabilidad representa un riesgo real de control completo del servidor. |
| CVE | CVE-2026-62863 |
| Severidad | CRITICAL (9.6) |
| Importancia para la empresa | ALTA |
| Publicado | 31 de octubre de 2026 |
| Vendor | MoLing |
| Producto | MoLing MCP Server |
| Versiones | versiones anteriores a 0.5.0 |
| Exploit Públicos | Sí |
| Referencia | Confirmación del parche en GitHub |
| Descripción | MoLing es un servidor MCP basado en uso de ordenador y navegador. Antes de la versión 0.5.0, ejecutando modo SSE con -l, los endpoints HTTP /sse y /message no autentican solicitudes y la dependencia mcp-go configura Access-Control-Allow-Origin: *. Un sitio web malicioso puede abrir un EventSource cross-origin a /sse, incluidos listeners de loopback, y leer el evento endpoint para obtener el sessionId. Tras visitar esta página, un atacante puede usar ese sessionId contra /message para enviar llamadas MCP no autorizadas que podrían leer o escribir archivos locales o ejecutar comandos, entre otras acciones. El enlace solo al loopback no evita este ataque mediado por navegador. El problema se corrige en la versión 0.5.0. |
| Estrategia | Actualizar urgentemente a la versión 0.5.0 o superior que corrige la autenticación para /sse y /message y elimina el riesgo de acceso cross-origin no autorizado. Revisar configuraciones CORS y restringir orígenes explícitamente. Monitorizar actividad anómala en endpoints para detectar posibles explotaciones activas. Evitar la exposición pública de estos servicios si no es imprescindible. |
| CVE | CVE-2026-63377 |
| Severidad | CRITICAL (9.8) |
| Importancia para la empresa | ALTA |
| Publicado | 2026-10-31T04:32:03.801487+00:00 |
| Vendor | TAKO AI |
| Producto | TAKO AI Agent for Okta |
| Versiones | versiones anteriores a 3.0.1-beta |
| Exploit Públicos | Sí |
| Referencia | GitHub Security Advisory |
| Descripción | TAKO AI Agent for Okta es un agente local-first que permite a administradores de Okta consultar datos de tenant con lenguaje natural. Antes de la versión 3.0.1-beta, la ruta `POST /api/auth/setup` permitía a un atacante no autenticado en red crear la primera cuenta de administrador antes del registro legítimo. La función `initial_setup` solo verifica una bandera de finalización sin autenticación ni restricción de red, y el puerto 8001 está expuesto en todas las interfaces. Esto permite al atacante obtener privilegios de administrador completos y evitar la configuración inicial legítima. Puede acceder a datos sincronizados de Okta, modificar usuarios y credenciales, bloquear administradores o desactivar el servicio. El problema fue corregido en 3.0.1-beta. |
| Estrategia | Actualizar inmediatamente a la versión 3.0.1-beta o superior que corrige esta vulnerabilidad. Restringir el acceso de red al puerto 8001, implementar autenticación estricta en la configuración inicial y monitorizar signos de explotación para detectar administración no autorizada y acceso indebido a datos sensibles. |
*****
[Tomo acción inmediata: esta vulnerabilidad es crítica y se han confirmado exploits públicos, siendo posible la toma completa del control administrativo sin autenticación, lo que representa un riesgo directo para la integridad y disponibilidad del sistema Okta administrado por el agente.]
| CVE | CVE-2026-117656 |
| Severidad | CRÍTICA (9.3) |
| Importancia para la empresa | ALTA |
| Publicado | 31 de octubre de 2026 |
| Vendor | Assent |
| Producto | pow-auth Assent (Sign in with Apple strategy) |
| Versiones | desde 0.1.25 hasta antes de 0.3.2 |
| Exploit Públicos | Sí |
| Referencia | CNA ERLEF CVE-2026-117656</td |
| Descripción | Vulnerabilidad de Aceptación de Datos No Confiables junto con Datos Confiables en la estrategia Sign in with Apple en pow-auth Assent permite a un atacante remoto no autenticado suplantar a otro usuario mediante el parámetro user del callback de autorización. El parámetro user, controlado por el cliente, se decodifica y combina de manera insegura con los reclamos del token de ID verificado, permitiendo que un atacante que completa un inicio de sesión con su propio Apple ID y modifique este parámetro reemplace atributos críticos como sub y email. Aplicaciones que hacen autorizaciones o enlaces basados en esos datos pueden actuar bajo control del atacante. |
| Estrategia | Actualizar inmediatamente a la versión 0.3.2 o superior que corrige la vulnerabilidad. Revisar la gestión de tokens y validación estricta de datos en callback para evitar aceptación de datos no verificados. Monitorizar intentos de suplantación y asegurar mecanismos adicionales de autenticación para detectar anomalías. |
—–
Enviar a un amigo:
