| CVE | Vendor | Producto | Severidad | VAfectadas | Exploit |
|---|---|---|---|---|---|
| CVE-2026-107032 | Bulk Share | Location Sender v2.1.0 (versionCode 5) | CRITICAL (9.1) | versión 2.1.0 (versionCode 5) | Sí |
| CVE-2026-107327 | IBM | Langflow OSS | CRITICAL (9.9) | 1.0.0 a 1.12.4 | Sí |
| CVE-2026-107328 | IBM | Langflow OSS | CRITICAL (9.9) | versiones 1.0.0 hasta 1.12.4 | Sí |
| CVE-2026-107329 | IBM | Langflow OSS | CRITICAL (9.9) | 1.0.0 a 1.12.4 | Sí |
| CVE-2026-110186 | IBM | Langflow OSS | CRITICAL (9.8) | 1.0.0 a 1.12.8 | Sí |
| CVE-2026-111732 | RT-Labs | P-Net | CRITICAL (9.3) | versiones anteriores a 1.0.3 con PNET_OPTION_AR_VENDOR_BLOCKS habilitado | Sí |
| CVE-2026-112256 | OpenText | Advanced Authentication Server | CRITICAL (9.2) | 6.4.0.0 a 6.4.3.8, 6.5.0.0 a 6.5.0.10, 6.6.0.0 a 6.6.1.0 | Sí |
| CVE-2026-119128 | ZITADEL | ZITADEL Login V2 UI | CRÍTICA (9.1) | Versiones 4.0.0 anteriores a 4.19.5 | Sí |
| CVE-2026-119145 | Frappe | Frappe Framework | CRITICAL (9.4) | Antes de 15.121.0 y 16.x antes de 16.34.0 | Sí |
| CVE-2026-54856 | RexCoin | Tema WordPress RexCoin | CRÍTICA (9.8) | Versiones ≤ 1.2.6 | Sí |
| CVE-2026-54857 | Quirky | Tema para WordPress Quirky | CRÍTICA (9.8) | Versiones | Sí |
| CVE-2026-54858 | Printy | Tema WordPress Printy | CRÍTICA (9.8) | versiones | Sí |
| CVE-2026-54859 | Patchstack | Preservation (tema WordPress) | CRÍTICA (9.8) | versiones iguales o anteriores a 1.15 | Sí |
| CVE-2026-54860 | Ozisti | Theme Ozisti para WordPress | CRITICAL (9.8) | Exploit PúblicosSí | Sí |
| CVE-2026-61991 | AjaxLoadMore | AjaxLoadMore Cache | CRÍTICA (10) | versiones 3.1.1 y anteriores | Sí |
| CVE-2026-61992 | Geo My WP | GEO my WordPress | CRITICAL (9.8) | Versiones hasta 4.5.5.3 incluidas | Sí |
| CVE-2026-61997 | Legal Stone | Tema WordPress Legal Stone | CRÍTICA (9.8) | Versiones hasta la 1.2.11 incluidas | Sí |
| CVE-2026-61998 | Le Truffe | Tema WordPress Le Truffe | CRÍTICA (9.8) | Versiones 1.1.7 y anteriores | Sí |
| CVE-2026-62001 | Patchstack | Marcell (Tema de WordPress) | CRÍTICA (9.8) | versiones 1.2.14 y anteriores | Sí |
| CVE-2026-62002 | Meals & Wheels | Theme Meals & Wheels para WordPress | CRÍTICO (9.8) | Versiones | Sí |
| CVE-2026-62003 | Patchstack | Mission Theme para WordPress | CRÍTICA (9.8) | Versiones iguales o anteriores a 1.22 | Sí |
| CVE-2026-62004 | Motorix | Motorix Theme para WordPress | CRITICAL (9.8) | versiones | Sí |
| CVE-2026-62005 | Muzicon | Tema Muzicon para WordPress | CRITICAL (9.8) | Versiones iguales o anteriores a 1.15 | Sí |
| CVE-2026-62006 | Nuts Theme | Nuts (Tema WordPress) | CRITICAL (9.8) | Versiones | Sí |
| CVE-2026-62008 | Orpheus Theme Developers | Orpheus WordPress Theme | CRÍTICA (9.8) | versiones iguales o inferiores a 1.8 | Sí |
| CVE-2026-62009 | Filmax | Tema WordPress Filmax | CRITICAL (9.8) | versiones iguales o inferiores a 1.1.11 | Sí |
| CVE-2026-62010 | Avventure | Tema WordPress Avventure | CRITICAL (9.8) | versiones hasta la 1.1.12 inclusive | Sí |
| CVE-2026-62011 | Bonbon Theme | Bonbon Theme para WordPress | CRITICAL (9.8) | Versiones iguales o anteriores a 1.11 | Sí |
| CVE-2026-62012 | Coinpress | Tema para WordPress Coinpress | CRITICAL (9.8) | Versiones | Sí |
| CVE-2026-62013 | Edge Decor (theme developer) | Edge Decor WordPress Theme | CRÍTICO (9.8) | versiones 2.9 y anteriores | Sí |
| CVE-2026-62014 | EmojiNation | EmojiNation WordPress Theme | CRITICAL (9.8) | versiones | Sí |
| CVE-2026-62015 | Gamezone | Theme WordPress Gamezone | CRITICAL (9.8) | versiones hasta la 1.1.11 inclusive | Sí |
| CVE-2026-62016 | Gamic Theme | Gamic Theme para WordPress | CRÍTICA (9.8) | versiones 1.19 y anteriores | Sí |
| CVE-2026-62017 | Good Homes | Good Homes WordPress Theme | CRÍTICA (9.8) | versiones hasta 1.3.13 inclusive | Sí |
| CVE-2026-62018 | Gunslinger Theme Developers | Gunslinger Theme para WordPress | CRITICAL (9.8) | versiones 1.11 y anteriores | Sí |
| CVE-2026-62131 | Zoho Corporation | Zoho Flow | CRÍTICA (9.8) | versiones ≤ 2.14.5 | Sí |
| CVE-2026-84295 | Progress Software | WS_FTP Server en Windows | CRITICAL (10) | versiones anteriores a 2024.0.6 y 2025.0.3 | Sí |
| CVE-2026-90863 | Progress Software | WS_FTP Server | CRITICAL (9.1) | versiones anteriores a 2024.0.7 y 2025.0.4 en Windows | Sí |
| CVE-2026-90864 | Progress Software | WS_FTP Server para Windows | CRITICAL (9.1) | versiones anteriores a 2024.0.7 y 2025.0.4 | Sí |
| CVE-2026-90865 | Progress Software | WS_FTP Server para Windows | CRÍTICA (9.0) | Versiones anteriores a 2024.0.7 y 2025.0.4 | Sí |
| CVE-2026-90866 | Progress Software | WS_FTP Server | CRITICAL (9.1) | versiones anteriores a 2024.0.7 y 2025.0.4 en Windows | Sí |
| CVE-2026-90868 | Progress Software | WS_FTP Server para Windows | CRITICAL (9.9) | versiones anteriores a 2024.0.7 y 2025.0.4 | Sí |
| CVE-2026-93680 | IBM | Langflow OSS | CRITICAL (9.8) | de la 1.0.0 a la 1.12.8 | Sí |
| CVE-2026-107058 | net.typeblog | Shelter | CRITICAL (9.8) | versionCode 445 | Sí |
| CVE-2026-118762 | Monkeytype | Monkeytype CI workflow (.github | CRITICAL (9.3) | Anterior a 26.43.0 | Sí |
| CVE-2026-118769 | Botan Project | Botan (biblioteca criptográfica en C++) | CRITICAL (9.2) | Desde 2.1.0 hasta 3.13.0 | Sí |
| CVE-2026-103093 | ServiceNow | ServiceNow AI Platform | CRÍTICA (9.4) | Versiones anteriores al parche más reciente desplegado en instancias alojadas y distribuidas a socios y clientes auto-hospedados | Sí |
| CVE-2026-61645 | Docat | Docat (herramienta para alojamiento de documentación estática versionada) | CRÍTICA (9.1) | Versiones anteriores a 1.6.0 | Sí |
| CVE-2026-61707 | SOCFortress | SOCFortress CoPilot | CRITICAL (9.0) | Versiones anteriores a 0.1.76 | Sí |
| CVE-2023-22793 | Veeam | Veeam Management Pack para Microsoft System Center (Veeam Virtualization Extensions) | CRITICAL (9.3) | No especificadas (afecta a versiones ejecutando el servicio vulnerable) | Sí |
| CVE | CVE-2026-107032 |
| Severidad | CRITICAL (9.1) |
| Importancia para la empresa | ALTA |
| Publicado | 30 octubre 2026, 04:31 (UTC) |
| Vendor | Bulk Share |
| Producto | Location Sender v2.1.0 (versionCode 5) |
| Versiones | versión 2.1.0 (versionCode 5) |
| Exploit Públicos | Sí |
| Referencia | Bulk Share Advisory |
| Descripción | Permisos inseguros en Bulk Share: Location Sender v2.1.0 (versionCode 5) permiten que atacantes no autorizados invoquen un componente exportado, lo que conduce a acceso arbitrario a datos y control del flujo de datos.
Esta vulnerabilidad permite a un atacante externo acceder y manipular datos sensibles a través de la invocación directa de componentes del producto sin restricciones adecuadas, con posible impacto en la confidencialidad e integridad de la información manejada. |
| Estrategia | Aplicar inmediatamente la actualización o parche oficial que restringe correctamente los permisos de componentes exportados. Revisar las configuraciones de permisos para evitar la exposición innecesaria y monitorizar posibles intentos de explotación dado que existe exploit público confirmado. |
***
| Vendor | Bulk Share |
| Producto | Location Sender v2.1.0 (versionCode 5) |
| Versiones Afectadas | 2.1.0 (versionCode 5) |
| Exploit Públicos | Sí |
| CVE | CVE-2026-107327 |
| Severidad | CRITICAL (9.9) |
| Importancia para la empresa | ALTA |
| Publicado | 30 Octubre 2026, 04:31 (UTC) |
| Vendor | IBM |
| Producto | Langflow OSS |
| Versiones | 1.0.0 a 1.12.4 |
| Exploit Públicos | Sí |
| Referencia | IBM Advisory]</td |
| Descripción | IBM Langflow OSS versiones 1.0.0 hasta 1.12.4 tienen una vulnerabilidad crítica que permite a un atacante remoto autenticado ejecutar código arbitrario debido a la falta de autorización adecuada.
Esta vulnerabilidad puede ser explotada por un atacante que tenga acceso con autenticación, pero sin los permisos correctos, pudiendo ejecutar comandos o código malicioso en el sistema afectado, comprometiendo la integridad, confidencialidad y disponibilidad. |
| Estrategia | Actualizar de inmediato a la versión superior a 1.12.4 que corrige la vulnerabilidad. Revisar y fortalecer los mecanismos de autorización en la aplicación. Monitorizar accesos remotos autenticados para detectar actividades anómalas o signos de explotación activa de esta vulnerabilidad. |
| CVE | CVE-2026-107328 |
| Severidad | CRITICAL (9.9) |
| Importancia para la empresa | ALTA |
| Publicado | 30 oct 2026, 04:31 (UTC) |
| Vendor | IBM |
| Producto | Langflow OSS |
| Versiones | versiones 1.0.0 hasta 1.12.4 |
| Exploit Públicos | Sí |
| Referencia | Soporte IBM PSIRT</td |
| Descripción | IBM Langflow OSS 1.0.0 hasta 1.12.4 permite a un atacante remoto autenticado ejecutar código arbitrario debido a una neutralización inadecuada de código en funciones eval/exec.
Esta vulnerabilidad permite que un atacante con acceso autenticado inyecte y ejecute código malicioso en el servidor afectado a través de la mala gestión de evaluaciones de código, comprometiendo control completo del sistema y afectando la confidencialidad, integridad y disponibilidad. |
| Estrategia | Actualizar a la última versión disponible que corrige esta vulnerabilidad. Se recomienda aplicar inmediatamente el parche oficial proporcionado por IBM. Además, limitar el acceso autenticado solo a usuarios estrictamente necesarios y monitorizar activamente comportamientos inusuales en el sistema para detectar posibles intentos de explotación. |
—
Haré la inserción en Supabase con los datos relevantes siguiendo la herramienta indicada.
| CVE | CVE-2026-107329 |
| Severidad | CRITICAL (9.9) |
| Importancia para la empresa | ALTA |
| Publicado | 30-oct-2026 04:31 (UTC) |
| Vendor | IBM |
| Producto | Langflow OSS |
| Versiones | 1.0.0 a 1.12.4 |
| Exploit Públicos | Sí |
| Referencia | IBM Advisory |
| Descripción | IBM Langflow OSS versiones 1.0.0 hasta 1.12.4 permiten que un atacante remoto autenticado ejecute código arbitrario debido a un control inadecuado en la generación de código. Esta vulnerabilidad crítica (9.9) permite aprovechar la ejecución remota de código por parte de un usuario con credenciales, exponiendo el sistema a compromisos totales.
Esta falla posibilita a un atacante con acceso autenticado generar y ejecutar código malicioso arbitrario en el entorno afectado, lo que puede derivar en pérdida de confidencialidad, integridad y disponibilidad de los sistemas afectados. |
| Estrategia | Actualizar de inmediato a la versión más reciente que corrige esta vulnerabilidad proporcionada por IBM. Restringir y monitorizar el acceso remoto autenticado a Langflow OSS, implementar reglas estrictas de control de acceso y realizar auditorías continuas para detectar actividad anómala o indicadores de explotación. En caso de detección, aislar el sistema y realizar análisis forense. |
| CVE | CVE-2026-110186 |
| Severidad | CRITICAL (9.8) |
| Importancia para la empresa | ALTA |
| Publicado | 2026-10-30T04:31:51.577514+00:00 |
| Vendor | IBM |
| Producto | Langflow OSS |
| Versiones | 1.0.0 a 1.12.8 |
| Exploit Públicos | Sí |
| Referencia | IBM Security Advisory |
| Descripción | IBM Langflow OSS versiones 1.0.0 hasta 1.12.8 permiten que un atacante remoto ejecute código arbitrario debido a un control inadecuado en la generación de código.
Esta vulnerabilidad puede ser explotada por un atacante remoto que envíe entradas manipuladas, logrando que el sistema genere y ejecute código malicioso. Esto supone un riesgo crítico al permitir control total remoto sobre el sistema afectado. |
| Estrategia | Actualizar inmediatamente a la versión corregida que IBM publique para Langflow OSS. Además, restringir ejecución de código no confiable y monitorizar logs para detectar comportamientos anómalos o intentos de explotación activos. Priorizar esta vulnerabilidad ya que existen exploits públicos disponibles y puede comprometer severamente la seguridad de la empresa. |
| CVE | CVE-2026-111732 |
| Severidad | CRITICAL (9.3) |
| Importancia para la empresa | ALTA |
| Publicado | 30 de octubre de 2026 |
| Vendor | RT-Labs |
| Producto | P-Net |
| Versiones | versiones anteriores a 1.0.3 con PNET_OPTION_AR_VENDOR_BLOCKS habilitado |
| Exploit Públicos | Sí |
| Referencia | Informe oficial RT-Labs |
| Descripción | P-Net anterior a 1.0.3, cuando se compila con la opción PNET_OPTION_AR_VENDOR_BLOCKS habilitada, interpreta la longitud de datos desde un campo de la petición ARVendorBlock que no forma parte de la definición del bloque y lo usa como número de bytes para copiar en un búfer de tamaño fijo, sin comparar con el tamaño del búfer ni la longitud del bloque. Una petición Connect especialmente diseñada provoca una escritura fuera de los límites del búfer, que puede causar un fallo (denegación de servicio) o potencialmente la ejecución arbitraria de código. Esta opción está deshabilitada por defecto. |
| Estrategia | Actualizar inmediatamente a la versión 1.0.3 o superior, que corrige este error. Verificar configuración para deshabilitar PNET_OPTION_AR_VENDOR_BLOCKS si no es imprescindible. Monitorizar sistemas para detección de intentos de explotación y preparar alertas para actividades inusuales o crashes del software. |
| CVE | CVE-2026-112256 |
| Severidad | CRITICAL (9.2) |
| Importancia para la empresa | ALTA |
| Publicado | 30 de octubre de 2026, 04:31 UTC |
| Vendor | OpenText |
| Producto | Advanced Authentication Server |
| Versiones | 6.4.0.0 a 6.4.3.8, 6.5.0.0 a 6.5.0.10, 6.6.0.0 a 6.6.1.0 |
| Exploit Públicos | Sí |
| Referencia | Documentación oficial de mejoras de seguridad |
| Descripción | Vulnerabilidad en OpenText Advanced Authentication Server que permite la aceptación de datos no confiables junto con datos confiables, lo que resulta en acceso a funcionalidades no restringidas correctamente por las Listas de Control de Acceso (ACL). Afecta a versiones desde la 6.4.0.0 hasta la 6.4.3.8, desde la 6.5.0.0 hasta la 6.5.0.10, y desde la 6.6.0.0 hasta la 6.6.1.0.
Este fallo permite a un atacante eludir las restricciones de permisos y acceder a funcionalidades protegidas sin autorización adecuada, lo que podría comprometer sistemas críticos o información sensible asegurada por el servidor de autenticación. |
| Estrategia | Aplicar inmediatamente las actualizaciones oficiales que corrigen esta vulnerabilidad. Revisar y reforzar las configuraciones de control de acceso para asegurar que las ACLs sean efectivas. Monitorizar actividad anómala en el servidor de autenticación para detectar posibles intentos de explotación. Priorizar esta tarea por la alta severidad y existencia de exploits públicos activos. |
| CVE | CVE-2026-119128 |
| Severidad | CRÍTICA (9.1) |
| Importancia para la empresa | ALTA |
| Publicado | 30 de octubre de 2026, 04:31 (UTC) |
| Vendor | ZITADEL |
| Producto | ZITADEL Login V2 UI |
| Versiones | Versiones 4.0.0 anteriores a 4.19.5 |
| Exploit Públicos | Sí |
| Referencia | GHSA-84fg-x5h4-w8xv |
| Descripción | ZITADEL 4.0.0 antes de la versión 4.19.5 contiene una vulnerabilidad de omisión de autenticación en la interfaz Login V2 que permite a atacantes no autenticados establecer la primera credencial de usuarios sin ningún método de autenticación. Los atacantes pueden calcular una cookie verificationCheck válida a partir del ID de usuario y huella del navegador para establecer una contraseña, registrar una llave de acceso o vincular un proveedor de identidad, tomando control total de la cuenta. |
| Estrategia | Actualizar urgentemente a la versión 4.19.5 o superior donde se ha corregido la vulnerabilidad. En paralelo, monitorizar accesos inusuales y modificar credenciales críticas. Se recomienda restringir la exposición pública del Login V2 UI y aplicar controles de detección de abuso de cuentas sin autenticación previa. |
—
| CVE | CVE-2026-119145 |
| Severidad | CRITICAL (9.4) |
| Importancia para la empresa | ALTA |
| Publicado | 30 octubre 2026, 04:31 (UTC) |
| Vendor | Frappe |
| Producto | Frappe Framework |
| Versiones | Antes de 15.121.0 y 16.x antes de 16.34.0 |
| Exploit Públicos | Sí |
| Referencia | Aviso de seguridad oficial de Frappe |
| Descripción | Frappe en versiones anteriores a 15.121.0 y 16.x anteriores a 16.34.0 contiene una vulnerabilidad de recorrido de directorios debido a que el manejo de archivos subidos no valida la ruta destino antes de escribir en disco. Los atacantes autenticados pueden subir archivos manipulados en ubicaciones fuera del directorio destinado, logrando la ejecución remota de código en el servidor. |
| Estrategia | Actualizar urgentemente a la versión 15.121.0 o superior, o 16.34.0 o superior según corresponda. Revisar y restringir permisos de usuario para carga de archivos. Monitorizar accesos y actividad anómala para detectar intentos de explotación y bloquear tráfico no autorizado. Aplicar medidas complementarias como aislamiento de servicios para minimizar impacto ante compromiso. |
| CVE | CVE-2026-54856 |
| Severidad | CRÍTICA (9.8) |
| Importancia para la empresa | ALTA |
| Publicado | 30 de octubre de 2026 |
| Vendor | RexCoin |
| Producto | Tema WordPress RexCoin |
| Versiones | Versiones ≤ 1.2.6 |
| Exploit Públicos | Sí, confirmados |
| Referencia | Patchstack Advisory |
| Descripción | Vulnerabilidad de Inyección de Objetos PHP sin autenticación en el tema RexCoin para WordPress versiones 1.2.6 o inferiores. Esta falla permite a un atacante remoto e no autenticado inyectar objetos PHP arbitrarios, lo que puede conducir a ejecución remota de código (RCE) en el servidor afectado.
La vulnerabilidad puede ser explotada enviando solicitudes maliciosas que inyectan datos PHP manipulados en la aplicación, facilitando el control total del sistema o la escalada de privilegios sin necesidad de credenciales previas. |
| Estrategia | Aplicar el parche de seguridad disponible actualizando el tema RexCoin a una versión superior a la 1.2.6 inmediatamente. Monitorizar logs para detectar intentos de explotación y bloquear IPs sospechosas. Implementar controles adicionales de validación y saneamiento de entradas y mantener actualizado todo el entorno WordPress. |
—
| CVE | CVE-2026-54857 |
| Severidad | CRÍTICA (9.8) |
| Importancia para la empresa | ALTA |
| Publicado | Thu, 30 Oct 2026, 04:31 (UTC) |
| Vendor | Quirky |
| Producto | Tema para WordPress Quirky |
| Versiones | Versiones <= 1.23 |
| Exploit Públicos | Sí |
| Referencia | Patchstack Advisory |
| Descripción | Inyección de objeto PHP sin autenticación en Quirky versiones 1.23 o anteriores. Esta vulnerabilidad crítica permite a un atacante remoto enviar objetos PHP manipulados que el sistema procesa sin validación previa, lo que facilita la ejecución remota de código arbitrario sin necesidad de credenciales. |
| Estrategia | Actualizar inmediatamente el tema Quirky a una versión parcheada superior a la 1.23. Hasta entonces, bloquear accesos no autenticados a las funcionalidades afectadas y monitorizar activamente el tráfico con firmas de explotación conocidas. Esta vulnerabilidad debe considerarse de prioridad máxima dada su facilidad de explotación y posible impacto total. |
| CVE | CVE-2026-54858 |
| Severidad | CRÍTICA (9.8) |
| Importancia para la empresa | ALTA |
| Publicado | 30 de octubre de 2026 |
| Vendor | Printy |
| Producto | Tema WordPress Printy |
| Versiones | versiones <= 1.13.0 |
| Exploit Públicos | Sí, confirmado |
| Referencia | Patchstack Advisory |
| Descripción | Una vulnerabilidad de inyección de objetos PHP no autenticada en el tema WordPress Printy versiones iguales o anteriores a la 1.13.0 permite a un atacante remoto inyectar objetos maliciosos PHP. Esta vulnerabilidad se puede explotar sin necesidad de autenticación y abre la puerta a la ejecución remota de código o a comprometer la integridad de la aplicación y del servidor donde está alojado el sitio WordPress. |
| Estrategia | Aplicar de inmediato el parche oficial o actualizar el tema Printy a la versión superior a 1.13.0. Se recomienda revisar los logs por posible actividad maliciosa y restringir la ejecución de código PHP en directorios de temas. Además, reforzar el monitoreo y respuesta ante incidentes para detectar explotación activa. |
| CVE | CVE-2026-54859 |
| Severidad | CRÍTICA (9.8) |
| Importancia para la empresa | ALTA |
| Publicado | 30 de octubre de 2026 |
| Vendor | Patchstack |
| Producto | Preservation (tema WordPress) |
| Versiones | versiones iguales o anteriores a 1.15 |
| Exploit Públicos | Sí, confirmados |
| Referencia | Patchstack Advisory |
| Descripción | Inyección de objeto PHP no autenticada en Preservation versiones 1.15 o anteriores. Esta vulnerabilidad permite a un atacante remoto sin necesidad de autenticación ejecutar código PHP malicioso mediante la inyección de objetos, explotando la deserialización insegura dentro del tema Preservation para WordPress. |
| Estrategia | Actualizar inmediatamente a una versión que corrija esta vulnerabilidad o aplicar parches oficiales. En entornos donde la actualización no sea inmediata, restringir el acceso a los componentes vulnerables y activar mecanismos de detección de comportamiento anómalo. Monitorizar logins y actividad inusual para detectar posibles ataques en curso. |
—
He insertado el registro en Supabase con los datos proporcionados y estructurados para seguimiento. Esta vulnerabilidad supone un riesgo real y de alta criticidad para cualquier empresa que utilice el tema Preservation en WordPress, especialmente porque se puede explotar sin necesidad de autenticación y existen exploits públicos confirmados. Se recomienda priorizar la mitigación urgente.
| CVE | CVE-2026-54860 |
| Severidad | CRITICAL (9.8) |
| Importancia para la empresa | ALTA |
| Publicado | 2026-10-30T04:31:54.137352+00:00 |
| Vendor | Ozisti |
| Producto | Theme Ozisti para WordPress |
| Versiones | <= 1.1.10 |
| Exploit Públicos | Sí |
| Referencia | Patchstack Advisory |
| Descripción | Inyección de objeto PHP sin autenticación en Ozisti versiones iguales o inferiores a 1.1.10. Esta vulnerabilidad permite a un atacante remoto sin necesidad de autenticarse inyectar objetos PHP arbitrarios, lo que puede conducir a la ejecución remota de código (RCE) en el servidor que hospeda el tema WordPress afectado.
Esta vulnerabilidad es altamente crítica por su facilidad de explotación y el impacto directo, pudiendo comprometer totalmente la infraestructura web al permitir control total sobre el servidor vulnerable. |
| Estrategia | Aplicar inmediatamente el parche o actualizar a la versión más reciente del theme Ozisti (superior a 1.1.10). Revisar sistemas para detectar posibles compromisos previos. Además, implementar filtros de entrada estrictos y limitar privilegios del entorno de ejecución PHP para mitigar daños. Monitorizar la actividad de la red para detectar intentos de explotación activos. |
| CVE | CVE-2026-61991 |
| Severidad | CRÍTICA (10) |
| Importancia para la empresa | ALTA |
| Publicado | 30 Octubre 2026, 04:31 (UTC) |
| Vendor | AjaxLoadMore |
| Producto | AjaxLoadMore Cache |
| Versiones | versiones 3.1.1 y anteriores |
| Exploit Públicos | Sí |
| Referencia | Patchstack Advisory |
| Descripción | Ejecución remota de código no autenticada (RCE) en AjaxLoadMore Cache, versiones 3.1.1 y anteriores. Esta vulnerabilidad permite que un atacante remoto sin necesidad de autenticación pueda ejecutar código arbitrario en el servidor afectado a través del plugin, poniendo en grave riesgo la integridad y disponibilidad de la plataforma WordPress. |
| Estrategia | Aplicar inmediatamente el parche o actualizar a la versión más reciente del plugin AjaxLoadMore Cache que corrige esta vulnerabilidad. Revisar y restringir accesos web innecesarios a endpoints asociados al plugin y monitorizar cualquier actividad sospechosa para detectar intentos de explotación activa. |
—
### Inserción en Supabase
Insertar registro con campos:
– cve: «CVE-2026-61991»
– severidad: «CRÍTICA (10)»
– importancia: «ALTA»
– publicado: «2026-10-30T04:31:54.408405+00:00»
– vendor: «AjaxLoadMore»
– producto: «AjaxLoadMore Cache»
– versiones_afectadas: «versiones 3.1.1 y anteriores»
– exploit_publicos: true
– referencia: «https://patchstack.com/database/wordpress/plugin/ajax-load-more-cache/vulnerability/wordpress-ajaxloadmore-cache-plugin-3-1-1-remote-code-execution-rce-vulnerability?_s_id=cve»
– descripcion: «Ejecución remota de código no autenticada (RCE) en AjaxLoadMore Cache, versiones 3.1.1 y anteriores. Esta vulnerabilidad permite que un atacante remoto sin necesidad de autenticación pueda ejecutar código arbitrario en el servidor afectado a través del plugin, poniendo en grave riesgo la integridad y disponibilidad de la plataforma WordPress.»
**Prioridad y Riesgo:** Esta vulnerabilidad es crítica y debe asignarse máxima prioridad inmediata para mitigar, ya que la ejecución remota de código sin autenticación supone un riesgo directo de compromiso total del sistema afectado. Ya existen exploits públicos, por lo que la probabilidad de explotación activa es alta.
| CVE | CVE-2026-61992 |
| Severidad | CRITICAL (9.8) |
| Importancia para la empresa | ALTA |
| Publicado | 30 de octubre de 2026 |
| Vendor | Geo My WP |
| Producto | GEO my WordPress |
| Versiones | Versiones hasta 4.5.5.3 incluidas |
| Exploit Públicos | Sí, explotables |
| Referencia | Patchstack Advisory |
| Descripción | Vulnerabilidad crítica de Inyección de Objetos PHP sin autenticación en GEO my WordPress, versiones iguales o anteriores a la 4.5.5.3. Permite a un atacante remoto inyectar objetos PHP maliciosos sin necesidad de autenticarse, lo que puede derivar en ejecución remota de código y control total del servidor afectado. |
| Estrategia | Actualizar inmediatamente el plugin a la versión 4.5.5.4 o superior que corrige esta vulnerabilidad. Revisar los sistemas WordPress que utilicen este plugin. En paralelo, auditar los logs para detectar actividad sospechosa, y aplicar controles de seguridad adicionales como WAF específicos para WordPress. |
—
He registrado este análisis con Supabase para seguimiento interno y priorización urgente.
Esta vulnerabilidad representa un riesgo real y crítico para la empresa si utilizamos el plugin afectado. Hay exploits públicos disponibles y la posibilidad real de ejecución remota de código sin autenticación legitima que pone en peligro la infraestructura web. Se recomienda actuar con máxima prioridad para parchear y monitorizar posibles ataques activos.
| CVE | CVE-2026-61997 |
| Severidad | CRÍTICA (9.8) |
| Importancia para la empresa | ALTA |
| Publicado | 30 Octubre 2026, 04:31 (UTC) |
| Vendor | Legal Stone |
| Producto | Tema WordPress Legal Stone |
| Versiones | Versiones hasta la 1.2.11 incluidas |
| Exploit Públicos | Sí, existen exploits públicos confirmados |
| Referencia | Patchstack Advisory Legal Stone |
| Descripción | Inyección de objeto PHP no autenticado en versiones del tema WordPress Legal Stone hasta la 1.2.11. Esta vulnerabilidad permite a un atacante remoto sin necesidad de autenticación manipular objetos PHP, lo que podría derivar en ejecución remota de código, acceso no autorizado o corrupción de datos críticos en sistemas vulnerables. |
| Estrategia | Actualizar urgentemente el tema Legal Stone a la versión más reciente que corrija esta vulnerabilidad. Complementar con monitoreo activo de acceso y comportamiento anómalo en servidores WordPress, además de limitar permisos y uso de principios de privilegio mínimo. Debe tratarse como prioridad por la facilidad de explotación y alto impacto potencial. |
| CVE | CVE-2026-61998 |
| Severidad | CRÍTICA (9.8) |
| Importancia para la empresa | ALTA |
| Publicado | 30 Oct 2026, 04:31 (UTC) |
| Vendor | Le Truffe |
| Producto | Tema WordPress Le Truffe |
| Versiones | Versiones 1.1.7 y anteriores |
| Exploit Públicos | Sí |
| Referencia | Patchstack Advisory |
| Descripción | Vulnerabilidad de inyección de objetos PHP no autenticada en el tema Le Truffe para WordPress, versiones 1.1.7 y anteriores. Esta falla permite a un atacante remoto inyectar datos maliciosos en el flujo de objetos PHP sin necesidad de autenticación, lo que puede llevar a la ejecución remota de código en el servidor afectado.
Esta vulnerabilidad puede ser explotada simplemente accediendo o enviando solicitudes manipuladas al servidor que utiliza el tema vulnerable, poniendo en grave riesgo la integridad del sistema y confidencialidad de la información. |
| Estrategia | Actualizar inmediatamente el tema Le Truffe a la versión corregida superior a 1.1.7 donde se ha parcheado esta inyección de objetos PHP. Además, revisar los logs para detectar posibles intentos de explotación previos y reforzar los controles de acceso a la gestión del sitio WordPress para limitar el impacto. La explotación pública confirmada requiere darle máxima prioridad para proteger la infraestructura. |
| CVE | CVE-2026-62001 |
| Severidad | CRÍTICA (9.8) |
| Importancia para la empresa | ALTA |
| Publicado | 30-Oct-2026, 04:31 (UTC) |
| Vendor | Patchstack / Marcell Theme |
| Producto | Marcell (Tema de WordPress) |
| Versiones | versiones 1.2.14 y anteriores |
| Exploit Públicos | Sí |
| Referencia | Patchstack Advisory |
| Descripción | Vulnerabilidad de PHP Object Injection sin autenticación en Marcell, un tema de WordPress, versiones 1.2.14 y anteriores.
Esta vulnerabilidad permite a un atacante remoto insertar objetos PHP maliciosos sin necesidad de autenticarse, lo que puede derivar en ejecución remota de código, elevación de privilegios o compromiso total del sitio web. |
| Estrategia | Actualizar inmediatamente el tema Marcell a la última versión corregida. Revisar y limitar el uso de funcionalidades PHP que aceptan entradas no validadas. Implementar controles de seguridad adicionales como web application firewall (WAF) con reglas específicas para detectar intentos de inyección PHP. Monitorizar actividad sospechosa y exploits públicos asociados. |
—
| CVE | CVE-2026-62002 |
| Severidad | CRÍTICO (9.8) |
| Importancia para la empresa | ALTA |
| Publicado | 30 Octubre 2026, 04:31 (UTC) |
| Vendor | Meals & Wheels |
| Producto | Theme Meals & Wheels para WordPress |
| Versiones | Versiones <= 1.1.13 |
| Exploit Públicos | Sí |
| Referencia | Patchstack Advisory</td |
| Descripción | Una vulnerabilidad de Inyección de Objetos PHP sin autenticación en el theme Meals & Wheels para WordPress versión 1.1.13 o inferiores. Esta falla permite a un atacante remoto y sin necesidad de autenticación inyectar objetos PHP maliciosos, que pueden resultar en ejecución remota de código, comprometiendo la confidencialidad, integridad y disponibilidad del sistema afectado. |
| Estrategia | Actualizar inmediatamente el theme Meals & Wheels a la versión más reciente que corrige esta vulnerabilidad. Implementar reglas WAF para detectar y bloquear patrones sospechosos de inyección de objetos PHP. Monitorizar logs para detectar intentos de explotación, dado que existen exploits públicos confirmados y la vulnerabilidad es crítica. |
| CVE | CVE-2026-62003 |
| Severidad | CRÍTICA (9.8) |
| Importancia para la empresa | ALTA |
| Publicado | 30 de octubre de 2026, 04:31 (UTC) |
| Vendor | Patchstack |
| Producto | Mission Theme para WordPress |
| Versiones | Versiones iguales o anteriores a 1.22 |
| Exploit Públicos | Sí |
| Referencia | Patchstack Advisory |
| Descripción | Inyección de objeto PHP sin autenticación en Mission Theme para WordPress versiones 1.22 o anteriores. Esta vulnerabilidad permite que un atacante remoto no autenticado inyecte objetos PHP maliciosos, lo que puede resultar en ejecución remota de código y control total del servidor afectado. |
| Estrategia | Actualizar urgentemente Mission Theme a la versión corregida superior a 1.22. Implementar restricciones de acceso y monitorización de actividad en el servidor, además de validar cualquier entrada no confiable para prevenir inyección de objetos PHP. Revisar logs y sistemas para detectar explotación activa. |
—
(Se inserta registro en Supabase con campos: CVE= «CVE-2026-62003″, Severidad=9.8, Importancia=ALTA, Publicado=»2026-10-30T04:31:55.864497+00:00″, Vendor=»Patchstack», Producto=»Mission Theme para WordPress», Versiones=»<=1.22", ExploitPublicos=true, Referencia="https://patchstack.com/database/wordpress/theme/mission/vulnerability/wordpress-mission-theme-1-22-php-object-injection-vulnerability?_s_id=cve", Descripción="Inyección de objeto PHP sin autenticación en Mission Theme para WordPress versiones 1.22 o anteriores...")
| CVE | CVE-2026-62004 |
| Severidad | CRITICAL (9.8) |
| Importancia para la empresa | ALTA |
| Publicado | 30 Oct 2026, 04:31 (UTC) |
| Vendor | Motorix |
| Producto | Motorix Theme para WordPress |
| Versiones | versiones <= 1.11 |
| Exploit Públicos | Sí |
| Referencia | Patchstack advisory Motorix Theme PHP Object Injection |
| Descripción | Inyección no autenticada de objeto PHP en Motorix versión 1.11 o inferiores. Esta vulnerabilidad permite que un atacante remoto sin necesidad de autenticación inyecte objetos PHP maliciosos que pueden ser ejecutados en el servidor. Esto puede derivar en la ejecución remota de código, comprometiendo totalmente el servidor y la información alojada.
La explotación puede realizarse enviando datos maliciosos al plugin sin necesidad de validarse, facilitando el control sobre el sistema afectado. |
| Estrategia | Actualizar a la última versión disponible del Motorix Theme que corrige esta vulnerabilidad. En caso de imposibilidad inmediata, aplicar reglas de firewall de aplicaciones web (WAF) para bloquear payloads de inyección PHP. Monitorizar logs para detectar intentos de explotación y asegurar backups de la plataforma WordPress. |
| CVE | CVE-2026-62005 |
| Severidad | CRITICAL (9.8) |
| Importancia para la empresa | ALTA |
| Publicado | 30 de octubre de 2026 |
| Vendor | Muzicon |
| Producto | Tema Muzicon para WordPress |
| Versiones | Versiones iguales o anteriores a 1.15 |
| Exploit Públicos | Sí, existen |
| Referencia | Patchstack Advisory |
| Descripción | Inyección de objeto PHP no autenticada en Muzicon en versiones iguales o anteriores a la 1.15. Esta vulnerabilidad permite que un atacante remoto sin necesidad de autenticación inyecte objetos PHP maliciosos a través del tema Muzicon, lo que puede resultar en ejecución remota de código y compromiso completo del servidor web. |
| Estrategia | Actualizar inmediatamente el tema Muzicon a una versión parcheada superior a la 1.15. En caso de no poder actualizar, implementar reglas de firewall para bloquear payloads PHP sospechosos y monitorizar logs para detectar posibles intentos de explotación activa. |
—
Estoy insertando el registro en Supabase con los datos del CVE-2026-62005.
| CVE | CVE-2026-62006 |
| Severidad | CRITICAL (9.8) |
| Importancia para la empresa | ALTA |
| Publicado | 30 Oct 2026, 04:31 (UTC) |
| Vendor | Nuts Theme |
| Producto | Nuts (Tema WordPress) |
| Versiones | Versiones <= 1.12 |
| Exploit Públicos | Sí |
| Referencia | Patchstack Advisory |
| Descripción | Vulnerabilidad crítica de Inyección de objetos PHP sin autenticación en el tema Nuts para WordPress, versiones 1.12 y anteriores. Esta vulnerabilidad permite que un atacante remoto sin necesidad de autenticación inyecte objetos PHP maliciosos, potencialmente ejecutando código arbitrario en el servidor afectado.
Esto puede ser explotado enviando solicitudes malintencionadas que construyan objetos PHP específicos, comprometiendo la integridad, confidencialidad y disponibilidad del sistema afectado. La existencia de exploits públicos aumenta el riesgo de ataques dirigidos y automatizados. |
| Estrategia | Aplicar de inmediato el parche oficial actualizado o actualizar el tema Nuts a la versión superior a 1.12 que corrige esta vulnerabilidad. Además, revisar y restringir el acceso a funciones PHP peligrosas, fortalecer los controles de entrada y monitorizar activamente logs para detectar posibles intentos de explotación. |
| CVE | CVE-2026-62008 |
| Severidad | CRÍTICA (9.8) |
| Importancia para la empresa | ALTA |
| Publicado | 30 de octubre de 2026 |
| Vendor | Orpheus Theme Developers |
| Producto | Orpheus WordPress Theme |
| Versiones | versiones iguales o inferiores a 1.8 |
| Exploit Públicos | Sí |
| Referencia | Patchstack Advisory |
| Descripción | Vulnerabilidad de inyección de objetos PHP sin autenticación en el tema Orpheus para WordPress, versiones 1.8 y anteriores. Esto permite a un atacante remoto no autenticado manipular la aplicación para ejecutar código malicioso mediante la inyección de objetos PHP mal formados. |
| Estrategia | Actualizar inmediatamente a la versión más reciente del tema Orpheus que corrige esta vulnerabilidad. Mientras tanto, restringir el acceso a los archivos y endpoints del tema, monitorizar intentos inusuales de acceso para detección temprana y aplicar WAF con reglas específicas para ataques de inyección PHP. |
| CVE | CVE-2026-62009 |
| Severidad | CRITICAL (9.8) |
| Importancia para la empresa | ALTA |
| Publicado | 30/10/2026 04:31 UTC |
| Vendor | Filmax |
| Producto | Tema WordPress Filmax |
| Versiones | versiones iguales o inferiores a 1.1.11 |
| Exploit Públicos | Sí, confirmados |
| Referencia | Patchstack Advisory |
| Descripción | Vulnerabilidad crítica de Inyección de Objetos PHP sin autenticar en el tema WordPress Filmax versiones 1.1.11 y anteriores. Esta falla permite que un atacante remoto ejecute código arbitrario enviando datos maliciosos que manipulan objetos PHP directamente sin necesidad de autenticación previa.
Esta vulnerabilidad puede ser explotada de forma remota sin credenciales, lo que supone un riesgo grave para la integridad y disponibilidad de la plataforma WordPress afectada, posibilitando la ejecución remota de código y el compromiso total del sistema. |
| Estrategia | Aplicar inmediatamente el parche o actualizar a la versión superior a 1.1.11 del tema Filmax. Además, monitorear activamente indicios de explotación debido a la existencia de exploits públicos. Limitar el acceso a la administración de WordPress y reforzar controles de seguridad para prevenir inyecciones de objetos PHP. |
—
**Inserción en Supabase:**
await supabase.from(‘vulnerabilidades’).insert([
{
cve: «CVE-2026-62009»,
severidad: «CRITICAL (9.8)»,
importancia: «ALTA»,
publicado: «2026-10-30T04:31:57.099075+00:00»,
vendor: «Filmax»,
producto: «Tema WordPress Filmax»,
versiones: «<= 1.1.11",
exploit_publicos: true,
referencia: "https://patchstack.com/database/wordpress/theme/filmax/vulnerability/wordpress-filmax-theme-1-1-11-php-object-injection-vulnerability?_s_id=cve",
descripcion: "Vulnerabilidad crítica de Inyección de Objetos PHP sin autenticar en el tema WordPress Filmax versiones 1.1.11 y anteriores. Permite ejecución remota de código sin autenticación.",
estrategia: "Actualizar a versión > 1.1.11 y parchear. Monitorear explotación activa.»
}
])
Este CVE debe priorizarse con urgencia debido a la alta severidad, explotación pública confirmada y potencial impacto total en el sistema.
| CVE | CVE-2026-62010 |
| Severidad | CRITICAL (9.8) |
| Importancia para la empresa | ALTA |
| Publicado | 30 de octubre de 2026, 04:31 UTC |
| Vendor | Avventure |
| Producto | Tema WordPress Avventure |
| Versiones | versiones hasta la 1.1.12 inclusive |
| Exploit Públicos | Sí |
| Referencia | PatchStack Advisory |
| Descripción | Inyección de objeto PHP no autenticada en Avventure versiones 1.1.12 y anteriores. Esta vulnerabilidad permite a un atacante remoto sin necesidad de autenticación ejecutar código PHP arbitrario en el servidor afectado mediante la inyección de objetos manipulados en las solicitudes, comprometiendo la integridad y disponibilidad del sistema afectado. |
| Estrategia | Actualizar inmediatamente el tema Avventure a una versión corregida superior a la 1.1.12. En ausencia de parche, deshabilitar temporalmente el tema o aplicar reglas de firewall para bloquear solicitudes maliciosas. Además, monitorizar logs de acceso para detectar intentos de explotación y asegurar copias de seguridad recientes. |
—
| CVE | CVE-2026-62011 |
| Severidad | CRITICAL (9.8) |
| Importancia para la empresa | ALTA |
| Publicado | 30 de Octubre 2026 |
| Vendor | Bonbon Theme |
| Producto | Bonbon Theme para WordPress |
| Versiones | Versiones iguales o anteriores a 1.11 |
| Exploit Públicos | Sí, confirmados |
| Referencia | Patchstack Advisory |
| Descripción | Inyección de Objetos PHP sin autenticación en Bonbon Theme para WordPress versiones 1.11 o anteriores.
Esta vulnerabilidad permite a un atacante remoto no autenticado inyectar objetos PHP arbitrarios en el sistema. La explotación puede resultar en ejecución remota de código, comprometiendo completamente el servidor afectado y poniendo en riesgo la integridad y confidencialidad de toda la plataforma WordPress. Dado que es explotable sin necesidad de credenciales, supone un riesgo crítico para cualquier instalación que utilice Bonbon Theme vulnerable. |
| Estrategia | Actualizar urgentemente el Bonbon Theme a la versión superior a 1.11 que corrige la vulnerabilidad. Además, revisar los logs para detección de actividad sospechosa y aplicar medidas restrictivas de acceso a la administración de WordPress. Monitorizar posibles explotaciones activas dado que existen exploits públicos confirmados. Aplicar WAF con reglas específicas para filtros de código malicioso en PHP. |
—
***** Inserción en Supabase realizada para registro CVE-2026-62011 *****
| CVE | CVE-2026-62012 |
| Severidad | CRITICAL (9.8) |
| Importancia para la empresa | ALTA |
| Publicado | 30 Octubre 2026 |
| Vendor | Coinpress |
| Producto | Tema para WordPress Coinpress |
| Versiones | Versiones <= 1.0.15 |
| Exploit Públicos | Sí |
| Referencia | Patchstack Advisory |
| Descripción | Vulnerabilidad de Inyección de Objetos PHP sin autenticación en el tema para WordPress Coinpress versiones 1.0.15 y anteriores. Esta falla permite a un atacante remoto ejecutar código PHP arbitrario inyectando objetos PHP maliciosos sin necesidad de autenticación previa. |
| Estrategia | Actualizar inmediatamente a la versión corregida superior a 1.0.15. Revisar y restringir permisos en el servidor WordPress, deshabilitar funciones de importación no necesarias, y monitorizar actividades anómalas para detectar posibles exploits en curso. |
—
He registrado el incidente en Supabase conforme al procedimiento establecido.
| CVE | CVE-2026-62013 |
| Severidad | CRÍTICO (9.8) |
| Importancia para la empresa | ALTA |
| Publicado | 30 Octubre 2026 |
| Vendor | Edge Decor (theme developer) |
| Producto | Edge Decor WordPress Theme |
| Versiones | versiones 2.9 y anteriores |
| Exploit Públicos | Sí, confirmados |
| Referencia | Patchstack Advisory |
| Descripción | Vulnerabilidad crítica de Inyección de Objetos PHP no autenticada en Edge Decor WordPress Theme versiones 2.9 y anteriores. Esta vulnerabilidad permite a un atacante remoto sin necesidad de autenticación inyectar y manipular objetos PHP, lo que puede conducir a ejecución remota de código arbitrario en el servidor afectado.
Este fallo es grave porque el atacante no necesita credenciales y puede comprometer completamente el sitio web y el servidor subyacente mediante la explotación directa del tema vulnerable. |
| Estrategia | Actualizar inmediatamente a la última versión del tema Edge Decor que corrige la vulnerabilidad. Aplicar reglas WAF específicas para bloquear intentos de inyección de objetos PHP. Monitorizar logs para detección temprana de explotación y restringir acceso a recursos PHP sensibles en el servidor. |
—
Se recomienda urgente priorizar esta vulnerabilidad debido a su alta severidad, explotación pública confirmada y facilidad de ataque sin autenticación, representando un riesgo real para nuestra infraestructura web basada en WordPress.
| CVE | CVE-2026-62014 |
| Severidad | CRITICAL (9.8) |
| Importancia para la empresa | ALTA |
| Publicado | 30 de octubre de 2026 |
| Vendor | EmojiNation |
| Producto | EmojiNation WordPress Theme |
| Versiones | versiones <= 1.0.12 |
| Exploit Públicos | Sí, confirmados |
| Referencia | Patchstack Advisory |
| Descripción | Inyección de objeto PHP no autenticada en EmojiNation versiones 1.0.12 y anteriores. Esta vulnerabilidad permite a un atacante remoto ejecutar código arbitrario en el servidor debido a la deserialización insegura de datos PHP, sin necesidad de autenticación previa. |
| Estrategia | Actualizar inmediatamente a la versión más reciente del tema EmojiNation que corrige esta vulnerabilidad. Si no es posible, restringir el acceso a las funciones vulnerables y monitorizar activamente logs para detectar actividad anómala relacionada con inyección de objetos PHP. Implementar controles de validación y saneamiento estrictos en las entradas de usuarios. |
| CVE | CVE-2026-62015 |
| Severidad | CRITICAL (9.8) |
| Importancia para la empresa | ALTA |
| Publicado | 30 de octubre de 2026 |
| Vendor | Gamezone |
| Producto | Theme WordPress Gamezone |
| Versiones | versiones hasta la 1.1.11 inclusive |
| Exploit Públicos | Sí, existen exploits públicos |
| Referencia | Patchstack Advisory |
| Descripción | Una vulnerabilidad de inyección de objetos PHP sin autenticación en el theme WordPress Gamezone versión 1.1.11 y anteriores permite a un atacante remoto ejecutar código arbitrario mediante la inyección de objetos en PHP sin necesidad de autenticarse.
Esta vulnerabilidad es extremadamente crítica porque explota directamente la ejecución remota de código, permitiendo el control total del sistema afectado. Existen exploits públicos, por lo que la probabilidad de ataques activos es alta. |
| Estrategia | Actualizar de inmediato el theme Gamezone a una versión corregida posterior a la 1.1.11. Si no es posible, desactivar el theme temporalmente para evitar explotación remota. Implementar monitorización de patrones anómalos en la web e ingresar listas de bloqueo para intentos de inyección. Aplicar reglas WAF que bloqueen inyección de objetos PHP. |
—
Supabase registro insertado para CVE-2026-62015.
| CVE | CVE-2026-62016 |
| Severidad | CRÍTICA (9.8) |
| Importancia para la empresa | ALTA |
| Publicado | 30 de octubre de 2026 |
| Vendor | Gamic Theme |
| Producto | Gamic Theme para WordPress |
| Versiones | versiones 1.19 y anteriores |
| Exploit Públicos | Sí |
| Referencia | Patchstack Advisory |
| Descripción | Se ha identificado una vulnerabilidad de Inyección de Objetos PHP sin autenticar en Gamic Theme para WordPress versiones 1.19 y anteriores. Esta vulnerabilidad permite a un atacante remoto y no autenticado inyectar objetos PHP que podrían conducir a la ejecución remota de código en el servidor afectado.
La explotación se realiza al enviar datos manipulados que son deserializados de forma insegura, permitiendo la ejecución arbitraria de código en el entorno del servidor web sin necesidad de credenciales. |
| Estrategia | Actualizar inmediatamente a la versión más reciente de Gamic Theme donde el problema ha sido corregido. Si no es posible actualizar, deshabilitar o restringir el acceso al componente vulnerable y monitorizar cualquier comportamiento inusual. Implementar un WAF (Firewall de Aplicación Web) con reglas específicas para mitigar ataques de deserialización y revisar logs para detectar intentos de explotación. |
| CVE | CVE-2026-62017 |
| Severidad | CRÍTICA (9.8) |
| Importancia para la empresa | ALTA |
| Publicado | 30/10/2026 04:31 (UTC) |
| Vendor | Good Homes |
| Producto | Good Homes WordPress Theme |
| Versiones | versiones hasta 1.3.13 inclusive |
| Exploit Públicos | Sí, confirmados |
| Referencia | Patchstack Advisory |
| Descripción | Inyección de objetos PHP no autenticada en Good Homes (tema de WordPress) versiones hasta la 1.3.13. Esta vulnerabilidad permite a atacantes remotos no autenticados inyectar objetos PHP maliciosos, explotando el manejo inseguro de variables en el tema.
Esta falla puede ser utilizada para ejecución remota de código, logrando control total del sistema afectado. |
| Estrategia | Actualizar inmediatamente el tema Good Homes a la versión superior a 1.3.13 donde se ha corregido la vulnerabilidad. Monitorizar la red para detectar actividades anómalas y restringir el acceso no autorizado a la administración de WordPress. Implementar reglas en el firewall para bloquear intentos conocidos de explotación. |
| CVE | CVE-2026-62018 |
| Severidad | CRITICAL (9.8) |
| Importancia para la empresa | ALTA |
| Publicado | 30 de octubre de 2026, 04:31 (UTC) |
| Vendor | Gunslinger Theme Developers |
| Producto | Gunslinger Theme para WordPress |
| Versiones | versiones 1.11 y anteriores |
| Exploit Públicos | Sí, confirmados |
| Referencia | Patchstack Advisory |
| Descripción | Inyección de objetos PHP sin autenticación en Gunslinger versiones 1.11 y anteriores. Esta vulnerabilidad permite a atacantes remotos ejecutar código arbitrario en el servidor debido al manejo inseguro de objetos PHP en la plantilla WordPress afectada. |
| Estrategia | Actualizar inmediatamente a la versión más reciente del tema Gunslinger que corrige esta vulnerabilidad. Implementar controles estrictos de validación de entrada y restringir el acceso a funciones PHP sensibles. Monitorizar activamente el entorno para detectar intentos de explotación, dada la existencia de exploits públicos. |
| CVE | CVE-2026-62131 |
| Severidad | CRÍTICA (9.8) |
| Importancia para la empresa | ALTA |
| Publicado | 30 de octubre de 2026, 04:31 (UTC) |
| Vendor | Zoho Corporation |
| Producto | Zoho Flow |
| Versiones | versiones ≤ 2.14.5 |
| Exploit Públicos | Sí |
| Referencia | Patchstack Advisory |
| Descripción | Inyección de objeto PHP sin autenticación en Zoho Flow versiones ≤ 2.14.5 que permite a un atacante remoto ejecutar código arbitrario sin necesidad de autenticación previa.
Esta vulnerabilidad crítica (9.8) posibilita que un atacante lance código malicioso directamente sobre el entorno afectado explotando una inyección de objeto PHP, lo que puede comprometer completamente la integridad, confidencialidad y disponibilidad del sistema con acceso completo remoto sin restricciones previas. |
| Estrategia | Actualizar inmediatamente a la versión 2.14.6 o superior que corrige esta vulnerabilidad. Mientras se aplica el parche, restringir el acceso a la instalación afectada, implementar monitoreo activo de comportamientos anómalos y revisar logs para detectar intentos de explotación. Es imprescindible priorizar esta actualización ya que existen exploits públicos que facilitan ataques directos sin autenticación. |
—
He insertado el registro en Supabase con los datos:
CVE: CVE-2026-62131
Severity: CRÍTICA (9.8)
Importance: ALTA
Published: 2026-10-30T04:31:59.373179+00:00
Vendor: Zoho Corporation
Product: Zoho Flow
Versions: ≤ 2.14.5
ExploitsPublic: Sí
Reference: https://patchstack.com/database/wordpress/plugin/zoho-flow/vulnerability/wordpress-zoho-flow-plugin-2-14-5-php-object-injection-vulnerability?_s_id=cve
| CVE | CVE-2026-84295 |
| Severidad | CRITICAL (10) |
| Importancia para la empresa | ALTA |
| Publicado | 30 de octubre de 2026 |
| Vendor | Progress Software |
| Producto | WS_FTP Server en Windows |
| Versiones | versiones anteriores a 2024.0.6 y 2025.0.3 |
| Exploit Públicos | Sí |
| Referencia | Advisory oficial de Progress Software |
| Descripción | Una autenticación incorrecta en Progress Software WS_FTP Server versiones anteriores a 2024.0.6 y 2025.0.3 en Windows podría permitir a un atacante remoto no autenticado acceder a información sensible, incluyendo credenciales administrativas.
Esta vulnerabilidad se puede explotar remotamente sin necesidad de autenticación, lo que representa un riesgo crítico al ofrecer acceso directo a credenciales de alto privilegio. |
| Estrategia | Actualizar inmediatamente WS_FTP Server a la versión 2024.0.6 o superior, o a la 2025.0.3 en adelante. Recomendar restringir el acceso externo al servicio hasta la aplicación del parche y monitorizar activamente intentos de acceso no autorizados. Implementar alertas para detectar actividades anómalas que podrían indicar explotación activa. |
—
He procedido a registrar esta información en Supabase para seguimiento y reportes operativos. Si requiere análisis sobre otras vulnerabilidades o alertas, estoy a su disposición.
| CVE | CVE-2026-90863 |
| Severidad | CRITICAL (9.1) |
| Importancia para la empresa | ALTA |
| Publicado | 30 de Octubre de 2026, 04:31 (UTC) |
| Vendor | Progress Software |
| Producto | WS_FTP Server |
| Versiones | versiones anteriores a 2024.0.7 y 2025.0.4 en Windows |
| Exploit Públicos | Sí, existe explotación pública confirmada |
| Referencia | Aviso oficial de Progress Software |
| Descripción | Falta de autorización en la interfaz administrativa de Progress Software WS_FTP Server versiones anteriores a 2024.0.7 y 2025.0.4 en Windows podría permitir que un Host Administrator delegado exceda su alcance autorizado, habilitando potencialmente la ejecución arbitraria de comandos con privilegios elevados y el compromiso total del servidor subyacente. |
| Estrategia | Aplicar inmediatamente los parches oficiales actualizando a la versión 2024.0.7 o 2025.0.4 o superior. Restringir acceso administrativo solo a personal plenamente autorizado y monitorizar los logs para detectar actividades sospechosas relacionadas con escalada de privilegios o ejecuciones de comandos inusuales. Implementar controles de segmentación y supervisión continua en el servidor afectado. |
| CVE | CVE-2026-90864 |
| Severidad | CRITICAL (9.1) |
| Importancia para la empresa | ALTA |
| Publicado | 30 de octubre de 2026, 04:32 (UTC) |
| Vendor | Progress Software |
| Producto | WS_FTP Server para Windows |
| Versiones | versiones anteriores a 2024.0.7 y 2025.0.4 |
| Exploit Públicos | Sí |
| Referencia | Progress Advisory CVE-2026-90864 |
| Descripción | Una vulnerabilidad de path traversal en Progress Software WS_FTP Server versiones anteriores a 2024.0.7 y 2025.0.4 en Windows podría permitir a un Administrador Delegado del Host acceder o modificar archivos fuera de su ámbito autorizado.
Este fallo permite que un usuario con permisos administrativos delegados supere las restricciones de acceso, afectando la integridad y confidencialidad de archivos críticos del sistema. |
| Estrategia | Actualizar inmediatamente WS_FTP Server a las versiones 2024.0.7 o 2025.0.4 o superiores. Revisar y restringir derechos administrativos delegados para minimizar el riesgo. Monitorizar actividad inusual en archivos sensibles para detectar explotación. |
| CVE | CVE-2026-90865 |
| Severidad | CRÍTICA (9.0) |
| Importancia para la empresa | ALTA |
| Publicado | 30 Octubre 2026, 04:32 (UTC) |
| Vendor | Progress Software |
| Producto | WS_FTP Server para Windows |
| Versiones | Versiones anteriores a 2024.0.7 y 2025.0.4 |
| Exploit Públicos | Sí |
| Referencia | Progress Knowledge Base</td |
| Descripción | Vulnerabilidad de inyección de comandos del sistema operativo en Progress Software WS_FTP Server versiones previas a 2024.0.7 y 2025.0.4 en Windows que permite la ejecución arbitraria de comandos con privilegios elevados bajo ciertas configuraciones. |
| Estrategia | Actualizar inmediatamente a las versiones 2024.0.7 o 2025.0.4 o superiores. Revisar configuraciones para limitar permisos y acceso, monitorizar actividad sospechosa y aplicar controles estrictos de ejecución de comandos en el servidor WS_FTP. |
—
| CVE | CVE-2026-90866 |
| Severidad | CRITICAL (9.1) |
| Importancia para la empresa | ALTA |
| Publicado | 30 de octubre de 2026 |
| Vendor | Progress Software |
| Producto | WS_FTP Server |
| Versiones | versiones anteriores a 2024.0.7 y 2025.0.4 en Windows |
| Exploit Públicos | Sí |
| Referencia | Progress Advisory |
| Descripción |
Vulnerabilidad de path traversal en Progress Software WS_FTP Server versiones anteriores a 2024.0.7 y 2025.0.4 en Windows que podría permitir a un administrador delegado de host acceder a rutas fuera de su ámbito autorizado, potencialmente habilitando la ejecución remota de código.
Esta vulnerabilidad puede ser explotada por un administrador delegado con permisos restringidos para sortear esas limitaciones y obtener acceso no autorizado a archivos del sistema, abriendo la puerta a ejecución remota de código, lo que supone un riesgo crítico para la integridad y seguridad del servidor. |
| Estrategia | Aplicar inmediatamente los parches oficiales para las versiones 2024.0.7 o 2025.0.4 o superiores. Limitación estricta de privilegios administrativos delegados y monitorización de accesos inusuales a archivos del sistema para detectar intentos de explotación en tiempo real. |
—
**Inserción en Supabase:**
const { data, error } = await supabase
.from(‘vulnerabilities’)
.insert([
{
cve: ‘CVE-2026-90866’,
severity: ‘CRITICAL (9.1)’,
importance: ‘ALTA’,
published: ‘2026-10-30T04:32:00.832338+00:00’,
vendor: ‘Progress Software’,
product: ‘WS_FTP Server’,
affected_versions: ‘versiones anteriores a 2024.0.7 y 2025.0.4 en Windows’,
public_exploit: true,
reference: ‘https://progress.lightning.force.com/lightning/r/Knowledge__kav/ka7Pb000001vl86IAA/view’,
description: ‘Vulnerabilidad de path traversal en Progress Software WS_FTP Server versiones anteriores a 2024.0.7 y 2025.0.4 en Windows que podría permitir a un administrador delegado de host acceder a rutas fuera de su ámbito autorizado, potencialmente habilitando la ejecución remota de código.’
}
]);
if (error) console.error(error);
| CVE | CVE-2026-90868 |
| Severidad | CRITICAL (9.9) |
| Importancia para la empresa | ALTA |
| Publicado | 30 de octubre de 2026 |
| Vendor | Progress Software |
| Producto | WS_FTP Server para Windows |
| Versiones | versiones anteriores a 2024.0.7 y 2025.0.4 |
| Exploit Públicos | Sí, existen exploits públicos conocidos |
| Referencia | Informe oficial Progress Software |
| Descripción | Vulnerabilidad de Inyección de Comandos OS en Progress Software WS_FTP Server versiones anteriores a 2024.0.7 y 2025.0.4 en sistemas Windows. Bajo ciertas configuraciones, esta falla permite la ejecución arbitraria de comandos en el sistema vulnerable.
Esta vulnerabilidad permite a un atacante remoto ejecutar comandos del sistema operativo con el nivel de privilegios del servicio afectado, lo que puede derivar en la toma completa del servidor, escalada de privilegios, o interrupción de servicios esenciales. Actualmente existen exploits públicos que facilitan su explotación. |
| Estrategia | Actualizar de inmediato WS_FTP Server a la versión 2024.0.7 o 2025.0.4 según corresponda. Revisar la configuración para limitar el acceso y permisos del servicio. Implementar monitoreo de actividad sospechosa y habilitar controles de ejecución que bloqueen comandos no autorizados. Priorizar esta corrección debido a la alta severidad y existencia de exploits públicos. |
| CVE | CVE-2026-93680 |
| Severidad | CRITICAL (9.8) |
| Importancia para la empresa | ALTA |
| Publicado | 30 de octubre de 2026 |
| Vendor | IBM |
| Producto | Langflow OSS |
| Versiones | de la 1.0.0 a la 1.12.8 |
| Exploit Públicos | Sí |
| Referencia | IBM Advisory Oficial |
| Descripción | IBM Langflow OSS versiones 1.0.0 a 1.12.8 permite que un atacante remoto evite las restricciones de seguridad debido a una autenticación incorrecta. Esto significa que un atacante sin credenciales válidas podría acceder a funciones o datos protegidos, poniendo en riesgo la integridad y confidencialidad del sistema. |
| Estrategia | Aplicar de inmediato el parche oficial suministrado por IBM que corrige la autenticación incorrecta. Limitar accesos remotos al sistema vulnerable mientras se realiza la actualización. Implementar monitoreo y alertas para detectar accesos no autorizados que puedan aprovechar esta vulnerabilidad. |
| CVE | CVE-2026-107058 |
| Severidad | CRITICAL (9.8) |
| Importancia para la empresa | ALTA |
| Publicado | 30 Octubre 2026, 04:32 (UTC) |
| Vendor | net.typeblog |
| Producto | Shelter |
| Versiones | versionCode 445 |
| Exploit Públicos | Sí |
| Referencia | Shelter package en F-Droid |
| Descripción | Un problema en Shelter versión code 445 permite a atacantes registrar su propio auth_key y ejecutar la toma de control del API del servicio binder de otro usuario y del estado de preferencias.
Esta vulnerabilidad puede ser explotada por un atacante que registre un auth_key malicioso y tome el control de la sesión de otro usuario a través del servicio binder, comprometiendo la integridad y confidencialidad del estado de preferencias y posiblemente elevando privilegios. |
| Estrategia | Actualizar Shelter inmediatamente a la versión corregida que solucione esta vulnerabilidad. Mientras tanto, restringir registros de auth_key no autorizados y monitorizar intentos de acceso anómalos al servicio binder para detectar explotación activa. |
—
**Evaluación**: Es una vulnerabilidad crítica con exploits públicos confirmados. Se recomienda máxima prioridad por su capacidad para tomar control de sesiones y afectar la integridad de datos sensibles. Existe un riesgo real para la empresa si se está usando Shelter en entornos corporativos. La mitigación rápida es indispensable.
| CVE | CVE-2026-118762 |
| Severidad | CRITICAL (9.3) |
| Importancia para la empresa | ALTA |
| Publicado | 2026-10-30T04:32:01.673429+00:00 |
| Vendor | Monkeytype |
| Producto | Monkeytype CI workflow (.github/workflows/fix-formatting.yml) |
| Versiones | Anterior a 26.43.0 |
| Exploit Públicos | Sí |
| Referencia | GitHub Security Advisory |
| Descripción | Monkeytype es una prueba de mecanografía minimalista y personalizable. Antes de la versión 26.43.0, el flujo de trabajo .github/workflows/fix-formatting.yml se ejecuta en pull_request_target con permisos de escritura en el repositorio, revisa un pull request de un fork, instala dependencias desde el package.json del fork e invoca un binario oxfmt controlado por el fork. Debido a que actions/checkout persiste el token GITHUB_TOKEN elevado en la configuración de Git hasta después de ejecutar código no confiable, un contribuyente externo cuyo PR recibe la etiqueta de formato puede ejecutar código arbitrario, leer o exfiltrar el token y empujar contenido al repositorio o modificar pull requests e issues. El problema afecta al flujo CI del repositorio, no a la aplicación Monkeytype ni a datos de usuarios. Se corrige en la versión 26.43.0. |
| Estrategia | Actualizar inmediatamente a la versión 26.43.0 o superior para parchear esta vulnerabilidad en el flujo CI. Revisar permisos en workflows de GitHub Actions, evitar ejecutar código no confiable con tokens con permisos elevados, y monitorizar actividad anómala en el repositorio para detectar posibles explotaciones activas. |
—
Esto representa un riesgo real para la empresa si usa workflows similares, ya que puede permitir la ejecución remota de código y control del repositorio vía pull requests maliciosos. Exploits públicos existen y un atacante puede modificar código y estados en el repositorio. Se recomienda priorizar la mitigación y monitoreo inmediato.
| CVE | CVE-2026-118769 |
| Severidad | CRITICAL (9.2) |
| Importancia para la empresa | ALTA |
| Publicado | 30 octubre 2026, 04:32 (UTC) |
| Vendor | Botan Project |
| Producto | Botan (biblioteca criptográfica en C++) |
| Versiones | Desde 2.1.0 hasta 3.13.0 |
| Exploit Públicos | Sí |
| Referencia | Commit oficial de corrección Botan |
| Descripción | La función botan_block_cipher_block_size de la API C de la biblioteca Botan, en versiones desde la 2.1.0 hasta la 3.13.0, convierte sin verificación un tamaño de bloque size_t a int. Un atacante podría explotar esta vulnerabilidad al seleccionar el cifrado Lion con tamaño variable de bloque mediante cadenas de parámetros externas y modo ECB nativo FFI, causando truncamiento del tamaño reportado, asignación insuficiente de memoria y corrupción de memoria durante el procesamiento del bloque. Los modos C++ y API C estándar como CBC y CTR no se ven afectados. |
| Estrategia | Actualizar inmediatamente a la versión 3.13.0 o superior donde está corregida esta vulnerabilidad. Verificar rigorosamente la validación y control de parámetros externos que configuren cifrados variables, restringiendo el uso del modo ECB y el cifrado Lion. Monitorizar posibles incidentes de corrupción de memoria que podrían indicar explotación activa. |
—
Por su crítica severidad (9.2) y existencia de exploits públicos confirmados, esta vulnerabilidad supone un riesgo real para cualquier empresa que utilice Botan en configuraciones FFI con parámetros externos, particularmente si emplea el modo ECB y cifrados variables. Se recomienda máxima prioridad a la actualización y mitigación para evitar explotación que podría provocar daño de memoria y posiblemente ejecución de código no autorizado.
| CVE | CVE-2026-103093 |
| Severidad | CRÍTICA (9.4) |
| Importancia para la empresa | ALTA |
| Publicado | 30 de octubre de 2026 |
| Vendor | ServiceNow |
| Producto | ServiceNow AI Platform |
| Versiones | Versiones anteriores al parche más reciente desplegado en instancias alojadas y distribuidas a socios y clientes auto-hospedados |
| Exploit Públicos | Sí |
| Referencia | KB3228994 ServiceNow Advisory |
| Descripción | ServiceNow ha corregido una vulnerabilidad crítica de escape del sandbox en su plataforma AI. Esta falla permite a un usuario autenticado con rol de administrador omitir restricciones del sandbox Rhino y ejecutar código arbitrario en el sistema operativo del host subyacente, lo que podría facilitar accesos no autorizados adicionales.
Actualmente no se reportan explotaciones maliciosas activas, pero el riesgo es alto dada la capacidad de ejecución remota y privilegios requeridos. |
| Estrategia | Aplicar inmediatamente el parche oficial proporcionado por ServiceNow para todas las instancias alojadas y auto-hospedadas. Revisar y limitar el uso del rol admin a los mínimos necesarios, monitorizar activamente logs y comportamiento anómalo con enfoque en actividad del sandbox para detectar intentos de explotación. |
| CVE | CVE-2026-61645 |
| Severidad | CRÍTICA (9.1) |
| Importancia para la empresa | ALTA |
| Publicado | 30 de octubre de 2026 |
| Vendor | Docat |
| Producto | Docat (herramienta para alojamiento de documentación estática versionada) |
| Versiones | Versiones anteriores a 1.6.0 |
| Exploit Públicos | Sí |
| Referencia | Docat Commit de Corrección</td |
| Descripción | Vulnerabilidad de subida arbitraria de archivos en la API de carga (Upload API) de Docat debido a que no valida la ruta ni el tipo del archivo subido. Esto permite a un atacante sobrescribir archivos de configuración sensibles o colocar archivos maliciosos en el servidor web de Docat. Según el contexto de despliegue, esto puede facilitar la ejecución remota de código o ataques cross-site scripting (XSS) que roban cookies o redirigen a sitios maliciosos. La versión 1.6.0 corrige el salto de ruta basado en el nombre del archivo, pero no mitiga la aceptación de tipos de archivos no restringidos ni los efectos de contenido malicioso dependientes del despliegue. |
| Estrategia | Actualizar inmediatamente a la versión 1.6.0 o superior. Revisar y restringir estrictamente los tipos de archivos permitidos para subida y validar las rutas de archivo. Monitorizar el servidor para detectar cambios no autorizados en archivos de configuración o archivos nuevos sospechosos. Considerar segregación de permisos y entornos de ejecución para mitigar la explotación en caso de incumplimiento. Dada la gravedad y explotación pública, priorizar la remediación sin demora. |
—
| Vendor | Docat |
| Producto | Docat |
| Versiones Afectadas | Versiones anteriores a 1.6.0 |
| Exploit Públicos | Sí |
| CVE | CVE-2026-61707 |
| Severidad | CRITICAL (9.0) |
| Importancia para la empresa | ALTA |
| Publicado | 2026-10-30T04:32:02 (UTC) |
| Vendor | SOCFortress |
| Producto | SOCFortress CoPilot |
| Versiones | Versiones anteriores a 0.1.76 |
| Exploit Públicos | Sí |
| Referencia | SOCFortress Advisory |
| Descripción | SOCFortress CoPilot, antes de la versión 0.1.76, permite que usuarios con bajo privilegio (customer_user) suban plantillas de informes que luego son ejecutadas sin sandbox por motores Jinja2 cuando un administrador o analista genera un reporte. El endpoint de subida valida sólo el MIME tipo derivado del nombre del archivo, no el contenido real. Las plantillas se almacenan globalmente sin segmentación por cliente, permitiendo a un atacante reemplazar plantillas legítimas. La ejecución de las plantillas sin sandbox permite evaluación de expresiones Jinja maliciosas como código Python en el backend, ejecutado con privilegios root. Esto expone datos sensibles de todos los clientes, credenciales almacenadas y posibilita lectura de archivos locales y peticiones a servicios internos. Esta vulnerabilidad está corregida en la versión 0.1.76. |
| Estrategia | Actualizar urgentemente a la versión 0.1.76 de SOCFortress CoPilot para aplicar la corrección oficial. Además, restringir la ejecución de plantillas con sandboxing estricto, validar exhaustivamente los contenidos subidos y limitar privilegios de ejecución. Monitorizar accesos anómalos a plantillas y actividad en la generación de informes para detectar intentos de explotación activos. |
—
**Evaluación rápida:** Esta vulnerabilidad crítica ya tiene exploits públicos y permite ejecución remota de código con privilegios root, exponiendo toda la información sensible y credenciales almacenadas de la compañía. Debe tener la máxima prioridad para mitigación inmediata y monitoreo activo ante posibles ataques.
| CVE | CVE-2023-22793 |
| Severidad | CRITICAL (9.3) |
| Importancia para la empresa | ALTA |
| Publicado | 2026-10-30T04:32:03 (UTC) |
| Vendor | Veeam |
| Producto | Veeam Management Pack para Microsoft System Center (Veeam Virtualization Extensions) |
| Versiones | No especificadas (afecta a versiones ejecutando el servicio vulnerable) |
| Exploit Públicos | Sí |
| Referencia | Veeam KB4961</td |
| Descripción | Vulnerabilidad que permite a un atacante no autenticado ejecutar código remotamente en servidores que ejecutan el servicio Veeam Virtualization Extensions del Veeam Management Pack para Microsoft System Center.
Esta falla crítica permite la ejecución remota de código sin necesidad de autenticación, facilitando que un atacante tome control completo del sistema objetivo. |
| Estrategia | Aplicar inmediatamente el parche oficial disponible. Monitorizar servidores afectados para detectar actividad anómala y restringir el acceso externo al servicio vulnerable hasta su actualización. |
Enviar a un amigo:
