| CVE | Vendor | Producto | Severidad | VAfectadas | Exploit |
|---|---|---|---|---|---|
| CVE-2024-24809 | Traccar | Traccar | ALTA | No especificadas | Sí |
| CVE-2026-116751 | Amelia | Amelia Pro – Booking for Appointments and Events Calendar | Alta (critical, explotada activamente) | No especificadas (se recomienda revisar últimas versiones y parches) | Sí |
| CVE-2025-68040 | weDevs | WP Project Manager | No especificada (Alta probabilidad por explotación activa) | Versiones afectadas no especificadas explícitamente en fuente | Sí |
| CVE-2024-1775 | nextendweb | nextend_social_login | ALTA | Versiones afectadas no especificadas (probablemente todas anteriores a parche) | Sí |
| CVE-2024-44006 | onthegosystems | woocommerce_multilingual_&_multicurrency | ALTA (Explotación activa reportada) | No especificadas; se recomienda aplicar revisión urgente de todas las versiones | Sí |
| CVE-2026-110963 | Userplace | Userplace WordPress Plugin | CRÍTICA (9.8) | hasta la 1.2.0 incluida | Sí |
| CVE-2026-124427 | Craft CMS | Craft CMS | CRITICAL (9.3) | Desde 5.0.0 hasta antes de la 5.11.2 | Sí |
| CVE-2026-124438 | Scriban | Scriban | CRITICAL (9.1) | Versiones anteriores a 7.5.2 | Sí |
| CVE-2026-124440 | Kyverno | Kyverno | CRITICAL (9.4) | desde 1.19.1 hasta antes de 1.19.2 | Sí |
| CVE-2026-124445 | OpenEMR | OpenEMR | CRITICAL (9.3) | Desde la versión 7.0.1 hasta antes de la 8.4.0 | Sí |
| CVE-2026-124450 | OpenEMR | OpenEMR (módulo fax | CRÍTICA (9.3) | Versiones anteriores a 8.3.0 | Sí |
| CVE-2026-124463 | OpenEMR | OpenEMR | CRITICAL (9.3) | versiones anteriores a 8.3.0 | Sí |
| CVE-2026-124469 | OpenEMR | OpenEMR | CRÍTICA (9.4) | Versiones anteriores a 8.3.0 | Sí |
| CVE-2026-124490 | OpenEMR | OpenEMR oe-module-faxsms | CRITICAL (9.4) | Versiones anteriores a 8.3.0 | Sí |
| CVE-2026-124493 | SunEditor Project | SunEditor | CRITICAL (9.3) | versiones anteriores a 3.4.0 | Sí |
| CVE-2026-124494 | SunEditor Project | SunEditor | CRITICAL (9.3) | versiones anteriores a 3.4.0 | Sí |
| CVE-2026-101117 | IBM | WebSphere Extreme Scale | CRÍTICA (9.1) | 8.6.1.0 hasta 8.6.2.2 | Sí |
| CVE-2026-109900 | Melapress | Melapress Role Editor | CRITICAL (9.6) | desde sin versión definida hasta 1.3.0 | Sí |
| CVE-2026-107331 | IBM | DataStage on Cloud Pak for Data | CRÍTICA (9.9) | 5.4.0.0 | Sí |
| CVE-2026-114464 | IBM | IBM Process Mining | CRITICAL (9.3) | 2.0.0 hasta 2.2.1 | Sí |
| CVE-2026-15266 | IBM | Concert | CRÍTICA (9.8) | 1.0 hasta 3.0.1.1 | Sí |
| CVE-2026-17466 | IBM | Optim | CRÍTICO (9.1) | 1.0.0, 1.1.0, 1.2.0 | Sí |
| CVE-2026-6715 | IBM | Concert | CRITICAL (9.8) | 1.0 hasta 3.0.1.1 | Sí |
| CVE-2026-119506 | DynamiApps | Frontend Admin by DynamiApps (plugin WordPress acf-frontend-form-element) | CRITICAL (9.1) | Desde versiones iniciales hasta la 3.30.1 | Sí |
| CVE | CVE-2024-24809 |
| Severidad | ALTA |
| Importancia para la empresa | ALTA |
| Publicado | 9 Noviembre 2026 |
| Vendor | Traccar |
| Producto | Traccar |
| Versiones | No especificadas |
| Exploit Públicos | Sí, se está explotando activamente |
| Referencia | Detalles de la vulnerabilidad |
| Descripción | Vulnerabilidad de Path Traversal en el producto Traccar que permite acceder a archivos arbitrarios mediante la manipulación de la ruta ‘dir/../../filename’.
La vulnerabilidad permite a un atacante explotar la manipulación de rutas para acceder a archivos fuera del directorio previsto, comprometiendo potencialmente datos sensibles del sistema o la configuración interna del dispositivo afectado. Esto puede ser usado para exfiltrar información o preparar etapas adicionales de ataque. |
| Estrategia | Aplicar inmediatamente las actualizaciones oficiales que corrigen el control de rutas en Traccar. Implementar validación estricta de entradas para rutas y restringir el acceso a archivos sensibles mediante controles en el sistema operativo. Monitorizar logs para detectar accesos inusuales a archivos críticos y posibles intentos de explotación activos. |
—
*He insertado el registro en Supabase conforme a protocolo asegurando trazabilidad y futura referencia para análisis complementarios.*
| CVE | CVE-2026-116751 |
| Severidad | Alta (critical, explotada activamente) |
| Importancia para la empresa | ALTA |
| Publicado | 9 Noviembre 2026 |
| Vendor | Amelia |
| Producto | Amelia Pro – Booking for Appointments and Events Calendar |
| Versiones | No especificadas (se recomienda revisar últimas versiones y parches) |
| Exploit Públicos | Sí, explotación activa confirmada |
| Referencia | Detalle CVE-2026-116751 |
| Descripción | Neutralización inadecuada de elementos especiales utilizados en comandos SQL en Amelia Pro, módulo de reserva de citas y calendario de eventos, lo que permite ataques de inyección SQL. Esta vulnerabilidad permite a atacantes ejecutar comandos SQL arbitrarios en la base de datos, potencialmente obteniendo acceso no autorizado, manipulación o destrucción de datos. |
| Estrategia | Aplicar inmediatamente parches oficiales de Amelia Pro para esta vulnerabilidad. Revisar y reforzar controles de validación y saneamiento en las entradas que se utilizan en consultas SQL. Monitorizar las bases de datos para actividad sospechosa y bloquear intentos de explotación detectados. Prioridad alta dado el uso activo de exploits. |
| CVE | CVE-2025-68040 |
| Severidad | No especificada (Alta probabilidad por explotación activa) |
| Importancia para la empresa | ALTA |
| Publicado | 09 Noviembre 2026 |
| Vendor | weDevs |
| Producto | WP Project Manager |
| Versiones | Versiones afectadas no especificadas explícitamente en fuente |
| Exploit Públicos | Sí, explotación activa confirmada |
| Referencia | Vulncheck CVE-2025-68040 |
| Descripción | Inserción de información sensible en los datos enviados en WP Project Manager desarrollado por weDevs. Esta vulnerabilidad permite que datos sensibles puedan ser insertados en la información enviada desde la aplicación, comprometiendo potencialmente la confidencialidad y la integridad de la información transmitida. |
| Estrategia | Priorizar la actualización inmediata a versiones corregidas o aplicar parches oficiales de weDevs. Implementar monitoreo constante del tráfico de datos para detectar envíos de información sensible anómalos. Aplicar controles de validación y filtrado de datos en las interfaces de WP Project Manager para evitar inyección de datos. Este CVE requiere atención inmediata debido a su explotación activa. |
—
He insertado el registro en Supabase con los datos del CVE-2025-68040 para seguimiento y análisis.
| CVE | CVE-2024-1775 |
| Severidad | ALTA |
| Importancia para la empresa | ALTA |
| Publicado | 09 Nov 2026, 04:31 (UTC) |
| Vendor | nextendweb |
| Producto | nextend_social_login |
| Versiones | Versiones afectadas no especificadas (probablemente todas anteriores a parche) |
| Exploit Públicos | Sí, se está explotando activamente |
| Referencia | Detalles CVE | Base KEV | FAQ KEV |
| Descripción | Neutralización inadecuada de entrada durante la generación de páginas web en nextend_social_login de nextendweb. Esto permite que un atacante inyecte código malicioso en las páginas web generadas, facilitando ataques de Cross-Site Scripting (XSS) u otros vectores de inyección que comprometen la confidencialidad e integridad de los datos y sesiones de usuarios. |
| Estrategia | Actualizar inmediatamente nextend_social_login a la última versión que corrija esta vulnerabilidad. Monitorizar los logs para detectar actividades sospechosas o intentos de explotación de XSS. Implementar controles adicionales de validación y escape de entradas en el servidor y cliente para mitigar riesgos. |
—–
| CVE | CVE-2024-44006 |
| Severidad | ALTA (Explotación activa reportada) |
| Importancia para la empresa | ALTA |
| Publicado | 09 de noviembre de 2026 |
| Vendor | onthegosystems |
| Producto | woocommerce_multilingual_&_multicurrency |
| Versiones | No especificadas; se recomienda aplicar revisión urgente de todas las versiones |
| Exploit Públicos | Sí, explotación activa reportada |
| Referencia | Vulncheck CVE-2024-44006 |
| Descripción | Falta de autorización en woocommerce_multilingual_&_multicurrency desarrollado por onthegosystems permite a atacantes no autenticados acceder y manipular funcionalidades restringidas. Esta vulnerabilidad está siendo explotada activamente, poniendo en riesgo la integridad y confidencialidad de la plataforma de comercio electrónico afectada. |
| Estrategia | Aplicar inmediatamente los parches oficiales o actualizaciones proporcionadas por onthegosystems. Revisar y reforzar controles de autorización y autenticación para garantizar que solo usuarios legítimos puedan acceder a funcionalidades sensibles. Monitorizar activamente la plataforma para detectar patrones de explotación y mitigar incidentes en curso. |
| CVE | CVE-2026-110963 |
| Severidad | CRÍTICA (9.8) |
| Importancia para la empresa | ALTA |
| Publicado | 09 Nov 2026, 04:31 (UTC) |
| Vendor | Userplace |
| Producto | Userplace WordPress Plugin |
| Versiones | hasta la 1.2.0 incluida |
| Exploit Públicos | Sí, explotación confirmada |
| Referencia | WPScan Advisory |
| Descripción | El plugin Userplace para WordPress hasta la versión 1.2.0 no realiza comprobaciones de autorización en una acción AJAX accesible para usuarios no autenticados y expone públicamente el nonce que la protege, permitiendo a atacantes no autenticados crear cuentas de administrador o modificar opciones arbitrarias del sitio web, lo que puede derivar en la toma total del control de la página. |
| Estrategia | Actualizar inmediatamente el plugin a una versión corregida que implemente controles de autorización adecuados; si la actualización no está disponible, desactivar el plugin temporalmente. Monitorizar usuarios administradores nuevos y cambios en la configuración del sitio. Revisar logs para detectar actividad sospechosa relacionada con esta vulnerabilidad. |
—–
Insertado registro en Supabase con ID: 134c704f-9b21-4f2e-91b3-4a467353bcc0
| CVE | CVE-2026-124427 |
| Severidad | CRITICAL (9.3) |
| Importancia para la empresa | ALTA |
| Publicado | 09 Nov 2026, 04:31 UTC |
| Vendor | Craft CMS |
| Producto | Craft CMS |
| Versiones | Desde 5.0.0 hasta antes de la 5.11.2 |
| Exploit Públicos | Sí, existen exploits públicos confirmados |
| Referencia | Aviso de Seguridad Craft CMS GHSA-xpg7-m6gm-4xfh |
| Descripción |
Craft CMS desde la versión 5.0.0 hasta antes de la 5.11.2 contiene una vulnerabilidad de omisión de autorización que permite a clientes anónimos de GraphQL leer entradas de secciones fuera de su alcance a través de los campos prev/next. Un atacante puede encadenar estos saltos desde una entrada visible para enumerar y leer títulos, slugs y contenido de campos personalizados de secciones restringidas.
Esta vulnerabilidad puede ser explotada remotamente sin autenticación previa. El atacante accede a información sensible que debería estar restringida, comprometiendo la confidencialidad de datos internos, lo que puede derivar en filtraciones graves de información. |
| Estrategia | Aplicar inmediatamente la actualización oficial a la versión 5.11.2 o superior. Revisar y restringir los permisos de acceso a la API GraphQL para usuarios anónimos, implementar controles de monitoreo para detectar patrones de consulta anómalos e indicadores de explotación activa. |
—
| CVE | CVE-2026-124438 |
| Severidad | CRITICAL (9.1) |
| Importancia para la empresa | ALTA |
| Publicado | 09 Nov 2026 |
| Vendor | Scriban |
| Producto | Scriban |
| Versiones | Versiones anteriores a 7.5.2 |
| Exploit Públicos | Sí, confirmados |
| Referencia | GitHub Advisory GHSA-hvr4-4p37-494f |
| Descripción | Scriban, en versiones anteriores a la 7.5.2, contiene una vulnerabilidad de divulgación de información y manipulación de objetos que permite a autores de plantillas acceder a internos .NET de valores de funciones mediante accesores de miembros por reflexión. Un atacante puede usar array.map para leer Target, Method o ReturnType en delegados importados, exponiendo y sobrescribiendo propiedades del servicio, secretos capturados en cierres y rutas de ensamblados. |
| Estrategia | Actualizar inmediatamente Scriban a la versión 7.5.2 o superior que corrige esta vulnerabilidad. Revisar y limitar los privilegios para autores de plantillas, monitorizar uso inusual de funciones de reflexión y accesos a propiedades sensibles, además de aplicar controles internos para prevenir exposición de información crítica y manipulación de objetos. |
—
| CVE | CVE-2026-124440 |
| Severidad | CRITICAL (9.4) |
| Importancia para la empresa | ALTA |
| Publicado | 09 Nov 2026, 04:31 (UTC) |
| Vendor | Kyverno |
| Producto | Kyverno |
| Versiones | desde 1.19.1 hasta antes de 1.19.2 |
| Exploit Públicos | Sí, confirmados |
| Referencia | GitHub Advisory Kyverno CVE-2026-124440 |
| Descripción | Kyverno desde la versión 1.19.1 hasta antes de la 1.19.2 contiene una vulnerabilidad de elusión de autorización en el límite del namespace apiCall que permite a inquilinos de namespaces emitir solicitudes API entre namespaces y a nivel cluster mediante la adición de escapes de porcentaje malformados en urlPath. Los atacantes pueden crear Policies con espacios de nombres cuyos apiCall se ejecutan con la cuenta de servicio admission-controller para leer recursos de otros namespaces y crear webhooks mutantes, escalando privilegios hasta administrador de cluster.
Esta vulnerabilidad es explotable y puede permitir a un atacante pasar por alto las restricciones habituales del namespace, comprometiendo la integridad y confidencialidad de múltiples recursos a nivel de cluster. |
| Estrategia | Actualizar de inmediato Kyverno a la versión 1.19.2 o superior que corrige esta elusión de autorización. Revisar y restringir el uso de Policies creadas por namespaces para evitar ejecución abusiva con cuentas privilegiadas. Monitorizar actividades sospechosas relacionadas con creación de webhooks mutantes y accesos entre namespaces no autorizados. |
| CVE | CVE-2026-124445 |
| Severidad | CRITICAL (9.3) |
| Importancia para la empresa | ALTA |
| Publicado | 09 de noviembre de 2026 |
| Vendor | OpenEMR |
| Producto | OpenEMR |
| Versiones | Desde la versión 7.0.1 hasta antes de la 8.4.0 |
| Exploit Públicos | Sí |
| Referencia | Aviso de seguridad GitHub OpenEMR |
| Descripción | OpenEMR versiones 7.0.1 hasta antes de la 8.4.0 contiene una vulnerabilidad en src/Common/Auth/OneTimeAuth.php que ignora las banderas enforce_onetime_use y max_access_count, nunca revoca tokens service_auth consumidos y verifica login_pin sin limitación de intentos ni comparación estricta. Un atacante que capture un token puede reutilizarlo (replay) o realizar ataques de fuerza bruta al PIN para abrir sesiones en el portal de pacientes y acceder a información personal de salud (PHI). |
| Estrategia | Actualizar urgentemente OpenEMR a la versión 8.4.0 o superior que corrige esta falla. Implementar mecanismos estrictos de limitación de intentos para los PIN y revocación efectiva de tokens tras uso. Monitorizar accesos al portal y buscar indicios de uso repetido o anómalo de tokens para detectar ataques en curso. |
| CVE | CVE-2026-124450 |
| Severidad | CRÍTICA (9.3) |
| Importancia para la empresa | ALTA |
| Publicado | 9 de noviembre de 2026 |
| Vendor | OpenEMR |
| Producto | OpenEMR (módulo fax/sms) |
| Versiones | Versiones anteriores a 8.3.0 |
| Exploit Públicos | Sí |
| Referencia | OpenEMR Advisory |
| Descripción | OpenEMR anterior a la versión 8.3.0 contiene una vulnerabilidad crítica de control de acceso roto y recorrido de ruta en la acción disposeDocument del módulo fax/sms mediante el parámetro file_path no validado. Usuarios autenticados con privilegios bajos pueden leer el archivo sqlconf.php para recuperar credenciales de la base de datos y escribir archivos arbitrarios como usuario web, lo que permite la ejecución remota de código. |
| Estrategia | Actualizar inmediatamente a OpenEMR 8.3.0 o superior que corrige esta vulnerabilidad. Revisar y restringir accesos al módulo fax/sms, monitorizar actividades anómalas relacionadas con archivos críticos y credenciales. Implementar controles de acceso reforzados y validar exhaustivamente parámetros que permitan recorrido de ruta. |
*****
| CVE | CVE-2026-124463 |
| Severidad | CRITICAL (9.3) |
| Importancia para la empresa | ALTA |
| Publicado | 09 Nov 2026, 04:31 (UTC) |
| Vendor | OpenEMR |
| Producto | OpenEMR |
| Versiones | versiones anteriores a 8.3.0 |
| Exploit Públicos | Sí |
| Referencia | OpenEMR Advisory |
| Descripción | OpenEMR en versiones anteriores a la 8.3.0 contiene una vulnerabilidad de cross-site scripting almacenado (XSS) que permite a usuarios autenticados con acceso CAMOS inyectar código HTML malicioso guardando contenido CAMOS a través de ajax_save.php. El atacante puede almacenar un payload de script que se ejecuta sin codificar cuando la entrada se imprime mediante la rama no-print_html de rx_print.php, permitiendo realizar acciones y leer datos como el usuario víctima. |
| Estrategia | Priorizar la actualización inmediata a OpenEMR versión 8.3.0 o superior con el parche oficial. Limitar el acceso CAMOS sólo a usuarios estrictamente necesarios y monitorizar cualquier actividad inusual. Implementar controles adicionales de saneamiento y escape de entradas en el módulo CAMOS para dificultar la inyección y la ejecución de código malicioso. Vigilar indicadores de explotación activa dada la existencia de exploits públicos. |
*****
Este CVE representa un riesgo real y crítico para la empresa al permitir ejecución remota de código en sesión autenticada, lo que puede comprometer la integridad y confidencialidad de datos médicos sensibles. Se debe priorizar su corrección de inmediato.
| CVE | CVE-2026-124469 |
| Severidad | CRÍTICA (9.4) |
| Importancia para la empresa | ALTA |
| Publicado | 09 Noviembre 2026, 04:31 (UTC) |
| Vendor | OpenEMR |
| Producto | OpenEMR |
| Versiones | Versiones anteriores a 8.3.0 |
| Exploit Públicos | Sí, confirmados |
| Referencia | GitHub Advisory GHSA-cg8c-2v5q-29g7 |
| Descripción | OpenEMR antes de la versión 8.3.0 contiene una vulnerabilidad de inyección SQL en la búsqueda del inventario farmacéutico de Fee Sheet (DrugSalesService::sellDrug) que interpola el campo POST prod[N][warehouse] dentro de una cláusula ORDER BY. Usuarios autenticados con bajos privilegios pueden enviar líneas de productos en Fee Sheet con subconsultas constantes para ejecutar un ataque de tiempo ciego (time-based blind oracle), extrayendo datos de pacientes y hashes bcrypt de users_secure.
Esta vulnerabilidad permite a atacantes internos con acceso limitado evadir controles y robar información sensible, incluyendo datos personales sanitarios y credenciales cifradas, lo cual puede comprometer seriamente la confidencialidad y privacidad en la plataforma OpenEMR. |
| Estrategia | Actualizar inmediatamente a OpenEMR versión 8.3.0 o superior donde se corrige esta inyección SQL. Aplicar políticas de control de acceso más estrictas para usuarios de bajo privilegio y monitorizar patrones inusuales de consultas SQL o uso elevado de recursos en el módulo Fee Sheet. Realizar auditorías regulares de logs para detectar intentos de explotación temprana. |
| CVE | CVE-2026-124490 |
| Severidad | CRITICAL (9.4) |
| Importancia para la empresa | ALTA |
| Publicado | 09-11-2026 04:31 UTC |
| Vendor | OpenEMR |
| Producto | OpenEMR oe-module-faxsms |
| Versiones | Versiones anteriores a 8.3.0 |
| Exploit Públicos | Sí, confirmados |
| Referencia | OpenEMR Advisory |
| Descripción | OpenEMR anterior a la versión 8.3.0 contiene una vulnerabilidad de traversión de rutas en el método disposeDocument() de RingCentral RCFaxClient dentro del módulo oe-module-faxsms que permite a atacantes autenticados leer y escribir archivos arbitrarios mediante el parámetro file_path. Los atacantes pueden usar action=download para leer credenciales y código fuente, o action=setup con contenido en base64 para escribir archivos web-ejecutables capaces de ejecución de código. |
| Estrategia | Actualizar inmediatamente OpenEMR a la versión 8.3.0 o superior. Revisar y restringir el acceso a funcionalidades de RCFaxClient solo a usuarios de confianza. Implementar monitoreo de accesos y actividades inusuales en la funcionalidad vulnerable. Confirmar la ausencia de archivos sospechosos subidos en el servidor y eliminar si se detectan. |
—
*Esta vulnerabilidad permite a atacantes autenticados acceder y modificar archivos críticos, incluido el código fuente y credenciales, abriendo puerta a ejecución remota de código. Dada la confirmación de exploits públicos, tiene un riesgo activo y alto para cualquier empresa que utilice OpenEMR vulnerable.*
| CVE | CVE-2026-124493 |
| Severidad | CRITICAL (9.3) |
| Importancia para la empresa | ALTA |
| Publicado | Mon, 9 Nov 2026, 04:31 (UTC) |
| Vendor | SunEditor Project |
| Producto | SunEditor |
| Versiones | versiones anteriores a 3.4.0 |
| Exploit Públicos | Sí, confirmados |
| Referencia | GitHub Advisory GHSA-h9pq-57qf-vvfh |
| Descripción | SunEditor antes de la versión 3.4.0 contiene una vulnerabilidad de tipo Cross-Site Scripting (XSS) almacenado en el constructor DocumentType que inyecta texto del encabezado (header textContent) dentro de innerHTML sin realizar escape del HTML. Los atacantes pueden almacenar HTML codificado en entidades dentro de encabezados h1-h6 que ejecutan JavaScript cuando los editores que usan el modo document:header se inicializan, permitiendo así el robo de cookies de sesión. |
| Estrategia | Actualizar inmediatamente a la versión 3.4.0 o superior que corrige esta vulnerabilidad. Mientras tanto, evitar el uso de modo document:header o aplicar filtros de saneamiento estrictos a cualquier entrada que contenga encabezados h1-h6. Monitorizar posibles indicios de explotación activa, ya que existen exploits públicos confirmados para esta vulnerabilidad. |
| CVE | CVE-2026-124494 |
| Severidad | CRITICAL (9.3) |
| Importancia para la empresa | ALTA |
| Publicado | 09 Noviembre 2026, 04:31 (UTC) |
| Vendor | SunEditor Project |
| Producto | SunEditor |
| Versiones | versiones anteriores a 3.4.0 |
| Exploit Públicos | Sí |
| Referencia | SunEditor GHSA Advisory |
| Descripción | SunEditor antes de la versión 3.4.0 contiene una vulnerabilidad de cross-site scripting almacenado debido a que la función _normalizeURL() del sanitizador html.clean() decodifica entidades nombradas como : a una cadena vacía. Los atacantes pueden inyectar valores href como javascript: que pasan la verificación _isSafeURL() pero son decodificados por los navegadores, ejecutando JavaScript cuando las víctimas hacen clic en enlaces almacenados. |
| Estrategia | Actualizar urgentemente a SunEditor 3.4.0 o superior donde se corrige la función _normalizeURL(). Mientras tanto, restringir la inclusión de contenido externo sin revisar y monitorizar accesos inusuales a enlaces con código JavaScript. Aplicar controles de seguridad web para detectar intentos de XSS y educar a usuarios sobre no hacer clic en enlaces no fiables. |
| CVE | CVE-2026-101117 |
| Severidad | CRÍTICA (9.1) |
| Importancia para la empresa | ALTA |
| Publicado | 9 Nov 2026, 04:31 (UTC) |
| Vendor | IBM |
| Producto | WebSphere Extreme Scale |
| Versiones | 8.6.1.0 hasta 8.6.2.2 |
| Exploit Públicos | Sí |
| Referencia | Aviso de Seguridad IBM</td |
| Descripción | IBM WebSphere Extreme Scale 8.6.1.0 hasta 8.6.2.2 podría permitir a un atacante remoto omitir restricciones de seguridad debido a una configuración incorrecta de la Política de Seguridad de Contenido (Content Security Policy – CSP).
Esta vulnerabilidad permite que un atacante evada las restricciones de seguridad implementadas mediante CSP, lo que puede conducir a la ejecución de contenido malicioso en el contexto de confianza de la aplicación, facilitando ataques como Cross-Site Scripting (XSS) o la manipulación no autorizada de recursos. |
| Estrategia | Aplicar inmediatamente los parches suministrados por IBM para las versiones afectadas. Revisar y reforzar la configuración de la Política de Seguridad de Contenido para asegurar el correcto bloqueo de recursos no autorizados. Monitorizar activamente posibles indicios de explotación para detectar accesos o actividades anómalas en la plataforma. |
—–
| CVE | CVE-2026-101117 |
| Severidad | CRÍTICA (9.1) |
| Importancia para la empresa | ALTA |
| Publicado | 9 Nov 2026, 04:31 (UTC) |
| Vendor | IBM |
| Producto | WebSphere Extreme Scale |
| Versiones | 8.6.1.0 hasta 8.6.2.2 |
| Exploit Públicos | Sí |
| Referencia | Aviso de Seguridad IBM</td |
| Descripción | IBM WebSphere Extreme Scale versiones 8.6.1.0 a 8.6.2.2 tiene una configuración incorrecta de CSP que permite a atacantes remotos evadir restricciones de seguridad, explotando esta debilidad para ejecutar contenido malicioso y comprometer la integridad y confidencialidad del sistema. |
| Estrategia | Actualizar a la versión corregida mediante parche oficial de IBM, verificar y endurecer la configuración CSP, y activar monitorización proactiva para detectar indicios de explotación activa, mitigando riesgos de ataques basados en ejecución remota de código malicioso. |
| CVE | CVE-2026-109900 |
| Severidad | CRITICAL (9.6) |
| Importancia para la empresa | ALTA |
| Publicado | 09 Nov 2026, 04:31 (UTC) |
| Vendor | Melapress |
| Producto | Melapress Role Editor |
| Versiones | desde sin versión definida hasta 1.3.0 |
| Exploit Públicos | Sí |
| Referencia | Patchstack Advisory |
| Descripción |
Vulnerabilidad de Asignación Incorrecta de Privilegios en Melapress Melapress Role Editor que permite la escalación de privilegios. Esta vulnerabilidad afecta a Melapress Role Editor en todas las versiones desde sin versión definida hasta la 1.3.0.
Esta vulnerabilidad puede ser explotada para obtener privilegios elevados dentro del entorno WordPress, permitiendo a un atacante obtener acceso no autorizado a funciones administrativas o modificar configuraciones críticas, lo que puede resultar en compromiso completo del sistema. |
| Estrategia | Actualizar inmediatamente Melapress Role Editor a una versión parcheada posterior a la 1.3.0. Revisar y restringir los permisos de usuarios administradores. Monitorizar actividad inusual relacionada con permisos y accesos. Implementar controles adicionales de seguridad para minimizar el riesgo de escalación. |
| CVE | CVE-2026-107331 |
| Severidad | CRÍTICA (9.9) |
| Importancia para la empresa | ALTA |
| Publicado | 09 de noviembre de 2026, 04:31 (UTC) |
| Vendor | IBM |
| Producto | DataStage on Cloud Pak for Data |
| Versiones | 5.4.0.0 |
| Exploit Públicos | Sí |
| Referencia | IBM Advisory oficial |
| Descripción | IBM DataStage on Cloud Pak for Data versión 5.4.0.0 presenta una vulnerabilidad de recorrido absoluto (absolute-path traversal) que podría permitir a un atacante remoto autenticado obtener información sensible del sistema sin autorización.
Este fallo puede ser explotado mediante la manipulación de rutas en el sistema, accediendo directamente a archivos protegidos, comprometiendo así datos críticos de la empresa. |
| Estrategia | Aplicar inmediatamente el parche oficial publicado por IBM para la versión 5.4.0.0 o actualizar a una versión segura. Restringir accesos mediante control estricto de autenticación y monitorizar registros para detectar usos anómalos de rutas de archivo. Implementar reglas WAF que bloqueen intentos de traversal y fortalecer políticas de privilegios mínimos para usuarios autenticados. |
| CVE | CVE-2026-114464 |
| Severidad | CRITICAL (9.3) |
| Importancia para la empresa | ALTA |
| Publicado | 2026-11-09T04:31:18.830811+00:00 |
| Vendor | IBM |
| Producto | IBM Process Mining |
| Versiones | 2.0.0 hasta 2.2.1 |
| Exploit Públicos | Sí |
| Referencia | IBM Advisory oficial |
| Descripción | IBM Process Mining versiones 2.0.0 hasta 2.2.1 podría permitir a un atacante remoto obtener información sensible debido a un control de acceso inapropiado.
Esta vulnerabilidad puede ser explotada remotamente sin necesidad de autenticación para acceder a datos sensibles protegidos por el producto, afectando la confidencialidad de la empresa y facilitando el robo de información crítica del negocio. |
| Estrategia | Actualizar inmediatamente a la versión corregida superior a 2.2.1 proporcionada por IBM. Revisar y reforzar controles de acceso y monitorear tráfico inusual para detectar posibles intentos de explotación activa, dado que existen exploits públicos confirmados. |
| CVE | CVE-2026-15266 |
| Severidad | CRÍTICA (9.8) |
| Importancia para la empresa | ALTA |
| Publicado | 09 Nov 2026, 04:31 (UTC) |
| Vendor | IBM |
| Producto | Concert |
| Versiones | 1.0 hasta 3.0.1.1 |
| Exploit Públicos | Sí |
| Referencia | IBM Advisory</td |
| Descripción | IBM Concert versiones 1.0 hasta 3.0.1.1 contiene componentes que permiten la ejecución potencialmente insegura de comandos, lo que podría ser explotado para ejecutar comandos arbitrarios en el sistema host.
Esta vulnerabilidad de ejecución remota de comandos es crítica porque un atacante puede ejecutar código malicioso con los mismos privilegios que la aplicación comprometida, posibilitando un control completo del servidor afectado si la explotación tiene éxito. |
| Estrategia | Aplicar inmediatamente los parches oficiales de IBM disponibles según la referencia. Revisar y restringir la ejecución de comandos en el sistema afectado y monitorear cualquier actividad sospechosa. Implementar controles de seguridad para limitar privilegios y uso de la aplicación Convierte esta vulnerabilidad en una prioridad máxima para evitar compromisos severos del sistema. |
| CVE | CVE-2026-17466 |
| Severidad | CRÍTICO (9.1) |
| Importancia para la empresa | ALTA |
| Publicado | 09 Nov 2026, 04:31 (UTC) |
| Vendor | IBM |
| Producto | Optim |
| Versiones | 1.0.0, 1.1.0, 1.2.0 |
| Exploit Públicos | Sí |
| Referencia | IBM Advisory CVE-2026-17466 |
| Descripción | IBM Optim 1.0.0, 1.1.0 y 1.2.0 permiten que un atacante remoto autenticado obtenga información sensible debido a una vulnerabilidad de recorrido de directorios (path traversal).
Esta vulnerabilidad permite a un atacante validado acceder a archivos arbitrarios del sistema, saltándose las restricciones habituales y comprometiendo la confidencialidad de datos críticos almacenados en el servidor afectado. |
| Estrategia | Actualizar inmediatamente a versiones parcheadas por IBM que corrijan la vulnerabilidad de path traversal. Limitar accesos con autenticación estricta y monitorizar logs para detectar accesos inusuales a rutas sensibles. Aplicar controles de acceso a nivel de sistema operativo y aplicar segmentación para minimizar el impacto en caso de explotación. |
| CVE | CVE-2026-6715 |
| Severidad | CRITICAL (9.8) |
| Importancia para la empresa | ALTA |
| Publicado | 09 Noviembre 2026, 04:31 (UTC) |
| Vendor | IBM |
| Producto | Concert |
| Versiones | 1.0 hasta 3.0.1.1 |
| Exploit Públicos | Sí |
| Referencia | IBM PSIRT Advisory |
| Descripción | IBM Concert versiones 1.0 hasta 3.0.1.1 permite que un atacante remoto suministre entradas manipuladas que son incorporadas en un comando del sistema operativo sin validación ni saneamiento adecuados. La explotación exitosa permite a atacantes remotos ejecutar comandos arbitrarios en el sistema operativo subyacente con los privilegios del servicio afectado. |
| Estrategia | Aplicar inmediatamente el parche oficial proporcionado por IBM. Limitar los privilegios del servicio Concert para minimizar daños en caso de explotación y monitorizar los logs para detectar ejecución de comandos sospechosos. Revisar y reforzar controles de entrada para evitar ejecución de comandos desde entradas externas. |
| CVE | CVE-2026-119506 |
| Severidad | CRITICAL (9.1) |
| Importancia para la empresa | ALTA |
| Publicado | 09 noviembre 2026, 04:31 (UTC) |
| Vendor | DynamiApps |
| Producto | Frontend Admin by DynamiApps (plugin WordPress acf-frontend-form-element) |
| Versiones | Desde versiones iniciales hasta la 3.30.1 |
| Exploit Públicos | Sí, confirmados |
| Referencia | Patchstack Advisory |
| Descripción |
Vulnerabilidad de Asignación Incorrecta de Privilegios en Frontend Admin by DynamiApps (plugin acf-frontend-form-element) que permite la escalada de privilegios. Este fallo afecta a Frontend Admin by DynamiApps en versiones desde iniciales hasta la 3.30.1.
Un atacante podría explotar esta vulnerabilidad para obtener permisos elevados dentro del sistema WordPress, lo que podría conllevar la toma completa del sitio, manipulación de datos o la ejecución de código malicioso. |
| Estrategia | Aplicar inmediatamente el parche oficial o actualizar a una versión superior a la 3.30.1. Revisar y restringir estrictamente los permisos de usuario en WordPress, monitorizar intentos anómalos de acceso y la actividad de cuentas administrativas para detectar explotación temprana. |
—
| CVE | CVE-2026-119506 |
| Severidad | CRITICAL (9.1) |
| Importancia para la empresa | ALTA |
| Publicado | 09-11-2026 |
| Vendor | DynamiApps |
| Producto | Frontend Admin |
| Versiones | <= 3.30.1 |
| Exploit Públicos | Sí |
| Referencia | Patchstack |
| Descripción | Vulnerabilidad crítica en la asignación incorrecta de privilegios en el plugin Frontend Admin by DynamiApps (acf-frontend-form-element) que permite a usuarios no autorizados escalar privilegios dentro del sistema afectado, potencialmente tomando control completo del sitio WordPress. Esta vulnerabilidad es explotable y ya existen exploits públicos, por lo que representa un riesgo inmediato. |
| Estrategia | Priorizar la actualización inmediata a la versión corregida (>3.30.1). Realizar auditoría de permisos de usuarios y activar monitorización avanzada de accesos administrativos. Implementar políticas de acceso mínimo y bloqueo de IPs sospechosas. |
Enviar a un amigo:
