| CVE | Vendor | Producto | Severidad | VAfectadas | Exploit |
|---|---|---|---|---|---|
| CVE-2017-7615 | MantisBT | Mantis Bug Tracker (mantisbt) | ALTA (explotación activa confirmada) | versiones afectadas no especificadas en detalle; se recomienda revisar versión usada | Sí |
| CVE-2026-116548 | e4jconnect | vikrentcar | ALTA | No especificadas | Sí |
| CVE-2026-28160 | No especificado | No especificado | Alta (estimada) | No especificado | Sí |
| CVE-2024-2544 | Sygnoos | Popup_Builder | ALTA (sin puntuación específica disponible) | No especificadas explícitamente | Sí |
| CVE-2026-109936 | ThemeIsle | Otter Blocks | ALTA | No especificadas (todas las versiones afectadas) | Sí |
| CVE-2026-19842 | No especificado (bajo análisis) | No especificado (bajo análisis) | CRÍTICA (no numérica, explotación activa confirmada) | No especificado | Sí |
| CVE-2026-81799 | Producto y proveedor bajo análisis | y proveedor bajo análisis | Alta (riesgo de acceso no autorizado) | No especificado | Sí |
| CVE-2026-86596 | Desconocido | Desconocido | Pendiente de asignación (vulnerabilidad bajo análisis) | No especificado | Sí |
| CVE-2024-10441 | Synology | beestation_os | No especificada | No especificadas | Confirmados (Se está explotando) |
| CVE-2026-120344 | WAVLINK | WN551X3-A M51X3_V251020-WO-182e965 (Router) | CRITICAL (9.3) | WN551X3-A M51X3_V251020-WO-182e965 | Sí |
| CVE-2025-11969 | WSO2 | WSO2 System REST APIs | CRITICAL (9.4) | No especificadas (afecta API REST del sistema, excepto API Gateway) | Sí |
| CVE-2026-120345 | WAVLINK | WN551X3-A M51X3_V251020-WO-182e965 | CRITICAL (9.3) | Firmware M51X3_V251020-WO-182e965 | Sí |
| CVE-2026-120213 | Fastify | @fastify | CRÍTICA (9.1) | Desde la 9.0.0 hasta la 11.6.5 | Sí |
| CVE-2026-116606 | Barracuda Networks | Barracuda Email Security Gateway | CRITICAL (9.3) | versiones anteriores a 9.4.0.030 | Sí |
| CVE-2026-120442 | ape-volo-admin | ape-volo-admin | CRITICAL (9.3) | versiones anteriores a 3.6.1 | Sí |
| CVE-2026-120447 | HotGo | HotGo | CRÍTICA (9.2) | 2.8.4 a 2.15.1 | Sí |
| CVE-2026-120459 | python-jose | python-jose | CRITICAL (9.1) | hasta la versión 3.5.0 incluida | Sí |
| CVE-2026-73696 | Control Web Panel | Control Web Panel (CWP) | CRÍTICA (9.3) | versiones anteriores a webpanel_version 1.12 | Sí |
| CVE-2026-77876 | Control Web Panel | Control Web Panel (CWP) | CRÍTICA (9.3) | versiones anteriores a webpanel_version 1.16 | Sí |
| CVE-2026-94290 | SUSE | Rancher Fleet | CRÍTICA (9.1) | 0.13.0 a 0.13.17, 0.14.0 a 0.14.12, 0.15.0 a 0.15.8, 0.16.0 a 0.16.3 y posiblemente versiones más antiguas | Sí |
| CVE-2026-105769 | Google (Kaniko Project) | Kaniko | CRITICAL (9.3) | Versiones anteriores a 1.25.20 | Sí |
| CVE-2026-88811 | SUSE | Rancher Manager | CRITICAL (9.1) | 2.13.0 – 2.13.11, 2.14.0 – 2.14.7, 2.15.0 – 2.15.3 | Sí |
| CVE-2026-119085 | Amazon | Amazon Virtual Engineering Workbench (VEW) | CRITICAL (9.4) | Versiones anteriores a la última actualización disponible de awslabs | Sí |
| CVE-2026-105603 | dj-extensions.com | Joomla Extension DJ-Classifieds | CRITICAL (9.4) | versiones anteriores a 3.11.3 | Sí |
| CVE-2026-105604 | dj-extensions.com | DJ-Classifieds para Joomla | CRITICAL (9.3) | versiones anteriores a 3.11.3 | Sí |
| CVE-2026-105606 | joomlaboat.com | Joomla Extension – Custom Tables | CRITICAL (9.5) | versiones anteriores a 3.7.8 | Sí |
| CVE-2026-102435 | Ultimate Addons | Ultra Addons for Contact Form 7 para WordPress | CRÍTICA (9.8) | Todas las versiones hasta la 3.5.54 inclusive | Sí |
| CVE-2026-116769 | Absolute Software Corporation | Secure Access servers | CRITICAL (9.3) | 13.0 hasta antes de 14.61 | Sí |
| CVE-2026-97718 | Absolute Software | Secure Access server | CRITICAL (9.4) | 14.60 | Sí |
| CVE | CVE-2017-7615 |
| Severidad | ALTA (explotación activa confirmada) |
| Importancia para la empresa | ALTA |
| Publicado | 03 Nov 2026, 04:31 (UTC) |
| Vendor | MantisBT |
| Producto | Mantis Bug Tracker (mantisbt) |
| Versiones | versiones afectadas no especificadas en detalle; se recomienda revisar versión usada |
| Exploit Públicos | Sí, explotación activa confirmada |
| Referencia | Vulnerabilidad CVE-2017-7615 |
| Descripción | Mecanismo débil para la recuperación de contraseña olvidada en mantisbt que podría permitir a atacantes eludir la autenticación o restablecer contraseñas de forma incorrecta. |
| Estrategia | Actualizar inmediatamente mantisbt a la última versión oficial que corrija este fallo. Revisar y reforzar políticas y mecanismos de recuperación de contraseñas para evitar bypass de autenticación. Monitorizar accesos sospechosos y posibles indicadores de explotación activa. |
| CVE | CVE-2026-116548 |
| Severidad | ALTA |
| Importancia para la empresa | ALTA |
| Publicado | 3 de noviembre de 2026 |
| Vendor | e4jconnect |
| Producto | vikrentcar |
| Versiones | No especificadas |
| Exploit Públicos | Sí, está siendo explotada activamente |
| Referencia | Vulncheck CVE-2026-116548 |
| Descripción | Neutralización incorrecta de entradas durante la generación de páginas web en e4jconnect vikrentcar, que permite ataques de inyección o vulnerabilidades de Cross-Site Scripting (XSS). |
| Estrategia | Priorizar el parche inmediato de la aplicación e4jconnect vikrentcar. Implementar sanitización estricta y validación de entrada en todas las interfaces web. Monitorizar logs para detectar indicios de explotación de XSS y ataques de inyección. |
—
*Esta vulnerabilidad permite la inyección directa de código malicioso o scripts que pueden comprometer las sesiones de usuarios y la integridad del sistema web. Es crítica porque ya está siendo explotada activamente, lo que representa un riesgo inmediato y real para la empresa.*
*Prioridad alta en aplicar mitigaciones y parches urgentes para evitar compromisos potenciales graves de datos o acceso no autorizado.*
| CVE | CVE-2026-28160 |
| Severidad | Alta (estimada) |
| Importancia para la empresa | ALTA |
| Publicado | 3 de noviembre de 2026, 04:31 UTC |
| Vendor | No especificado |
| Producto | No especificado |
| Versiones | No especificado |
| Exploit Públicos | Sí, se está explotando activamente |
| Referencia | Vulncheck CVE-2026-28160 |
| Descripción | La vulnerabilidad CVE-2026-28160 se refiere a una neutralización inadecuada de la entrada durante la generación de páginas web en un producto y proveedor no especificados, lo que puede derivar en una posible vulnerabilidad de inyección o Cross-Site Scripting (XSS). Esta falla permite que un atacante inyecte código malicioso que luego se ejecuta en el navegador de otros usuarios, comprometiendo la integridad y confidencialidad de los datos.
Esta vulnerabilidad está siendo explotada activamente, lo que incrementa significativamente el riesgo para cualquier empresa que utilice los productos afectados, incluso sin identificación exacta del proveedor o versiones específicas. |
| Estrategia | Priorizar la identificación rápida del producto afectado dentro del inventario interno que pueda estar usando esta tecnología. Aplicar inmediatamente los parches oficiales en caso de disponibilidad. Implementar mecanismos de saneamiento y validación robusta de entradas en todas las aplicaciones web para prevenir la inyección. Monitorizar activamente los logs de acceso y posibles indicadores de explotación para detectar y mitigar ataques en curso. |
| CVE | CVE-2024-2544 |
| Severidad | ALTA (sin puntuación específica disponible) |
| Importancia para la empresa | ALTA |
| Publicado | 03 Noviembre 2026 |
| Vendor | Sygnoos |
| Producto | Popup_Builder |
| Versiones | No especificadas explícitamente |
| Exploit Públicos | Sí, se está explotando activamente |
| Referencia | VulnCheck CVE-2024-2544 |
| Descripción | Vulnerabilidad de ausencia de autorización en Sygnoos Popup_Builder que permite el acceso no autorizado a funcionalidades o datos sensibles. Esta falla posibilita que un atacante, sin credenciales válidas, realice acciones restringidas o acceda a información confidencial, comprometiendo la integridad y confidencialidad del sistema afectado. |
| Estrategia | Aplicar inmediatamente los parches oficiales proporcionados por Sygnoos para Popup_Builder. Adicionalmente, revisar y reforzar las políticas de control de acceso y autenticación en el sistema, monitorear logs para detectar accesos anómalos y evaluar la implementación de mecanismos de logging y alertas para intentos de acceso no autorizado. |
| CVE | CVE-2026-109936 |
| Severidad | ALTA |
| Importancia para la empresa | ALTA |
| Publicado | 3 Nov 2026, 04:31 (UTC) |
| Vendor | ThemeIsle |
| Producto | Otter Blocks |
| Versiones | No especificadas (todas las versiones afectadas) |
| Exploit Públicos | Sí, explotación confirmada activa |
| Referencia | Detalle CVE |
| Descripción | Vulnerabilidad de neutralización incorrecta de entrada durante la generación de páginas web en ThemeIsle Otter Blocks. Esta falla permite la inyección o ejecución de código malicioso, afectando la integridad y seguridad del sitio web. La vulnerabilidad está siendo explotada activamente, aumentando el riesgo de compromiso de sistemas afectados. |
| Estrategia | Aplicar inmediatamente los parches oficiales proporcionados por ThemeIsle o actualizar a la última versión corregida. Revisar y reforzar las políticas de validación y saneamiento de todas las entradas de usuario para evitar inyecciones de código. Monitorizar activamente logs y tráfico para detectar intentos de explotación y responder rápidamente. |
| CVE | CVE-2026-19842 |
| Severidad | CRÍTICA (no numérica, explotación activa confirmada) |
| Importancia para la empresa | ALTA |
| Publicado | 03 de noviembre de 2026 |
| Vendor | No especificado (bajo análisis) |
| Producto | No especificado (bajo análisis) |
| Versiones | No especificado |
| Exploit Públicos | Sí, explotación activa confirmada |
| Referencia | Detalles CVE KEV Vulnerabilidades Críticas FAQ KEV |
| Descripción | Vulnerabilidad de Autenticación Inadecuada en producto y proveedor bajo análisis, que permite acceso no autorizado potencial. |
| Estrategia | Priorizar la identificación inmediata del producto afectado y las versiones vulnerables para aplicar parches o mitigaciones certificadas con el fabricante. En paralelo, endurecer controles de acceso, monitorizar intentos de autenticación sospechosos y desplegar sistemas de detección de intrusiones para detectar actividad maliciosa activa. |
| CVE | CVE-2026-81799 |
| Severidad | Alta (riesgo de acceso no autorizado) |
| Importancia para la empresa | ALTA |
| Publicado | 3 de noviembre de 2026 |
| Vendor | Producto y proveedor bajo análisis |
| Producto | No especificado |
| Versiones | No especificado |
| Exploit Públicos | Sí, se está explotando activamente |
| Referencia | Vulncheck CVE 2026-81799 |
| Descripción | Vulnerabilidad de falta de autorización (Missing Authorization) en producto y proveedor no especificados, lo que permite a un atacante el acceso no autorizado a recursos o funcionalidades restringidas. Esta vulnerabilidad implica que personas no autenticadas o sin permisos adecuados pueden ejecutar acciones o acceder a datos sensibles que deberían estar protegidos. |
| Estrategia | Priorizar la identificación del producto afectado en el entorno y realizar un análisis inmediato del control de autorizaciones. Implementar parches oficiales si están disponibles o reforzar las políticas de control de acceso. Monitorizar activamente para detectar indicadores de explotación, ya que se está explotando actualmente, y limitar accesos no autorizados con sistemas de detección y bloqueos en aplicación. |
—–
| CVE | CVE-2026-86596 |
| Severidad | Pendiente de asignación (vulnerabilidad bajo análisis) |
| Importancia para la empresa | ALTA |
| Publicado | 03 Nov 2026, 04:31 (UTC) |
| Vendor | Desconocido |
| Producto | Desconocido |
| Versiones | No especificado |
| Exploit Públicos | Sí, se está explotando activamente |
| Referencia | Vulncheck CVE-2026-86596 |
| Descripción | Actualmente no existe una descripción detallada disponible para esta vulnerabilidad que se encuentra bajo análisis. Sin embargo, se confirma que está siendo explotada activamente en entornos reales. |
| Estrategia | Priorizar monitorización y detección de anomalías en los sistemas hasta disponer de información concreta. Aplicar parches y actualizaciones inmediatas en cuanto se publiquen. Reforzar las defensas perimetrales, políticas de acceso y sistemas de detección de intrusiones para mitigar posibles ataques activos. |
—
*Importante:* Aunque falta información técnica detallada, el hecho de que exista explotación activa obliga a considerarla una amenaza prioritaria para la empresa. Se recomienda extrema vigilancia y rápida aplicación de mitigaciones o parches oficiales en cuanto estén disponibles.
| CVE | CVE-2024-10441 |
| Severidad | No especificada |
| Importancia para la empresa | ALTA |
| Publicado | 03 Noviembre 2026, 04:31 (UTC) |
| Vendor | Synology |
| Producto | beestation_os |
| Versiones | No especificadas |
| Exploit Públicos | Confirmados (Se está explotando) |
| Referencia | Vulncheck CVE-2024-10441 |
| Descripción | Vulnerabilidad por codificación o escape inadecuado de salida en synology beestation_os que puede conducir a problemas de seguridad como inyección o filtración de datos.
Esta vulnerabilidad permite que un atacante aproveche la falta de un correcto escape en la salida de datos para inyectar código malicioso o acceder a información sensible, poniendo en grave riesgo la integridad y confidencialidad de los sistemas afectados. |
| Estrategia | Aplicar inmediatamente los parches oficiales proporcionados por Synology para beestation_os. Implementar controles estrictos de validación y escape de datos en todas las salidas del sistema. Monitorizar activamente la red en búsqueda de signos de explotación y ajustar reglas de detección frente a ataques de inyección y fugas de información. |
| CVE | CVE-2026-120344 |
| Severidad | CRITICAL (9.3) |
| Importancia para la empresa | ALTA |
| Publicado | 03 Nov 2026, 04:31 UTC |
| Vendor | WAVLINK |
| Producto | WN551X3-A M51X3_V251020-WO-182e965 (Router) |
| Versiones | WN551X3-A M51X3_V251020-WO-182e965 |
| Exploit Públicos | Sí, confirmados y divulgados públicamente |
| Referencia | Detalle de la vulnerabilidad y exploit público |
| Descripción | Se ha detectado una vulnerabilidad en WAVLINK WN551X3-A M51X3_V251020-WO-182e965, afectando la función system del archivo /bin/ioos en el componente WireGuard CLI Group Handler. La manipulación del argumento group_name conduce a una inyección de comandos del sistema operativo. Este ataque puede realizarse de forma remota. El exploit ha sido divulgado públicamente y puede ser utilizado. El fabricante fue contactado anticipadamente sobre esta vulnerabilidad. |
| Estrategia | Priorizar el parcheo inmediato del firmware afectado. Mientras se aplica el parche, restringir el acceso remoto al componente vulnerable y monitorizar los logs para detectar intentos de explotación. Actualizar las políticas de firewall para bloquear comandos maliciosos y mantener alerta de posibles ataques activos. |
| CVE | CVE-2025-11969 |
| Severidad | CRITICAL (9.4) |
| Importancia para la empresa | ALTA |
| Publicado | 03 Nov 2026, 04:31 (UTC) |
| Vendor | WSO2 |
| Producto | WSO2 System REST APIs |
| Versiones | No especificadas (afecta API REST del sistema, excepto API Gateway) |
| Exploit Públicos | Sí |
| Referencia | Aviso de seguridad WSO2 |
| Descripción | Las APIs REST del sistema no aplican correctamente mecanismos de control de acceso, permitiendo a usuarios con roles de menor privilegio ejecutar acciones administrativas que deberían estar restringidas. Esto posibilita operaciones no autorizadas incluyendo funciones administrativas. Las APIs expuestas a través del API Gateway de WSO2 API Manager no se ven afectadas por esta vulnerabilidad. |
| Estrategia | Aplicar de inmediato las actualizaciones o parches proporcionados por WSO2 para corregir la gestión de control de acceso en las APIs REST afectadas. Revisar y reforzar los controles de acceso basados en roles para evitar privilegios indebidos. Monitorizar logs de actividad administrativa para detectar posibles explotaciones tempranas. |
—
| CVE | CVE-2026-120345 |
| Severidad | CRITICAL (9.3) |
| Importancia para la empresa | ALTA |
| Publicado | 2026-11-03T04:31:46 (UTC) |
| Vendor | WAVLINK |
| Producto | WN551X3-A M51X3_V251020-WO-182e965 |
| Versiones | Firmware M51X3_V251020-WO-182e965 |
| Exploit Públicos | Sí |
| Referencia | GitHub Exploit Público |
| Descripción | Se ha encontrado una vulnerabilidad en WAVLINK WN551X3-A M51X3_V251020-WO-182e965 que afecta a la función sub_41a430 del archivo /bin/ioos en el componente DNS Resolution Handler. La manipulación de los argumentos de entrada permite una inyección de comandos OS, lo que posibilita la ejecución remota no autorizada de comandos en el dispositivo. Esta vulnerabilidad puede ser explotada remotamente y ya cuenta con exploit público.
Esta vulnerabilidad supone un riesgo crítico, ya que un atacante remoto puede ejecutar comandos arbitrarios en el router afectado, comprometiendo la integridad y disponibilidad de la red corporativa. |
| Estrategia | Actualizar inmediatamente el firmware a una versión segura facilitada por WAVLINK. Si el parche no está disponible, aislar los dispositivos afectados de redes críticas y restringir accesos remotos. Monitorizar tráfico y logs para detección de actividad sospechosa relacionada con intentos de inyección de comandos. |
| CVE | CVE-2026-120213 |
| Severidad | CRÍTICA (9.1) |
| Importancia para la empresa | ALTA |
| Publicado | 03 Noviembre 2026 |
| Vendor | Fastify |
| Producto | @fastify/http-proxy |
| Versiones | Desde la 9.0.0 hasta la 11.6.5 |
| Exploit Públicos | Sí, confirmados |
| Referencia | OpenJSF Advisory |
| Descripción | El plugin @fastify/http-proxy, usado para proxy de solicitudes HTTP, presenta una vulnerabilidad en el manejo de los parámetros en las opciones prefix y rewritePrefix en versiones 9.0.0 a 11.6.5. Esta permite que un atacante remoto no autenticado inyecte separadores de ruta y delimitadores en la URL reescrita, saltándose restricciones de ruta establecidas y accediendo a ubicaciones upstream fuera del prefijo previsto. Esto puede derivar en falsificación de solicitudes del lado servidor o bypass de autorización en el servicio proxy. |
| Estrategia | Actualizar urgentemente a la versión 11.6.6 o superior para corregir esta falla. No existen soluciones temporales confiables. Además, implementar monitoreo activo de accesos inusuales y revisar configuraciones de proxies para detectar posibles abusos. La explotación ya es pública, por tanto priorizar la acción inmediata. |
| CVE | CVE-2026-116606 |
| Severidad | CRITICAL (9.3) |
| Importancia para la empresa | ALTA |
| Publicado | 2026-11-03T04:31:46.848863+00:00 |
| Vendor | Barracuda Networks |
| Producto | Barracuda Email Security Gateway |
| Versiones | versiones anteriores a 9.4.0.030 |
| Exploit Públicos | Sí |
| Referencia | Informe de Mandiant sobre CVE-2026-116606 |
| Descripción | Una vulnerabilidad de omisión de autenticación en Barracuda Email Security Gateway en versiones anteriores a la 9.4.0.030 permite a un atacante remoto no autenticado invocar una función de importación de configuración y restaurar un archivo de respaldo compatible y manipulado, resultando en la modificación no autorizada de la configuración global del equipo.
Esta vulnerabilidad puede ser explotada remotamente sin necesidad de credenciales, facilitando que un atacante cambie configuraciones críticas del dispositivo afectando la seguridad y operación del servicio de correo electrónico corporativo. |
| Estrategia | Actualizar inmediatamente a la versión 9.4.0.030 o superior proporcionada por Barracuda. Implementar controles de monitoreo para detectar cambios no autorizados en configuraciones. Restringir accesos remotos al equipo y aplicar segmentación de red para limitar la exposición del dispositivo. Analizar logs para identificar intentos de explotación. |
*****
| CVE | CVE-2026-120442 |
| Severidad | CRITICAL (9.3) |
| Importancia para la empresa | ALTA |
| Publicado | 03 Nov 2026, 04:31 (UTC) |
| Vendor | ape-volo-admin |
| Producto | ape-volo-admin |
| Versiones | versiones anteriores a 3.6.1 |
| Exploit Públicos | Sí, clave JWT codificada en appsettings.json |
| Referencia | Repositorio oficial de GitHub |
| Descripción | ape-volo-admin versiones anteriores a 3.6.1 contiene una vulnerabilidad de omisión de autenticación que permite a atacantes no autenticados falsificar tokens de administrador utilizando una clave de firma JWT codificada en appsettings.json. Los atacantes pueden firmar tokens offline con el claim jti configurado al ID de administrador preestablecido, obteniendo control total de la API sobre usuarios, roles, permisos y datos. |
| Estrategia | Actualizar urgentemente a la versión 3.6.1 o superior que elimina la clave dura. Revisar el manejo seguro de claves JWT y restringir acceso a appsettings.json. Monitorizar logs para detectar tokens JWT anómalos. Implementar autenticación reforzada y rotación de claves. |
| CVE | CVE-2026-120447 |
| Severidad | CRÍTICA (9.2) |
| Importancia para la empresa | ALTA |
| Publicado | 3 de noviembre de 2026, 04:31 UTC |
| Vendor | HotGo |
| Producto | HotGo |
| Versiones | 2.8.4 a 2.15.1 |
| Exploit Públicos | Sí |
| Referencia | Código fuente vulnerable en GitHub |
| Descripción | HotGo versiones 2.8.4 a 2.15.1 contienen una vulnerabilidad de omisión de autenticación que permite a atacantes no autenticados elegir el código de verificación de inicio de sesión por SMS suministrando el campo «Code» a /admin/sms/send. Un atacante que conozca el número de móvil de un usuario puede establecer un código conocido y acceder mediante /admin/site/mobileLogin, tomando control de cuentas, incluso de administradores. |
| Estrategia | Aplicar inmediatamente el parche oficial o actualizar a versión superior a 2.15.1. Restringir el acceso a las rutas SMS y login móvil, implementar controles adicionales de validación y monitorizar intentos anómalos de inicio de sesión mediante códigos SMS para detectar explotaciones activas. |
—
*He insertado el registro en Supabase con la información correspondiente para seguimiento y gestión operativa.*
| CVE | CVE-2026-120459 |
| Severidad | CRITICAL (9.1) |
| Importancia para la empresa | ALTA |
| Publicado | 03 Nov 2026, 04:31 (UTC) |
| Vendor | python-jose |
| Producto | python-jose |
| Versiones | hasta la versión 3.5.0 incluida |
| Exploit Públicos | Sí |
| Referencia | Repositorio python-jose |
| Descripción | python-jose hasta la versión 3.5.0 contiene una vulnerabilidad de omisión de autenticación que permite a atacantes no autenticados falsificar JWTs porque HMACKey y CryptographyHMACKey aceptan secretos HMAC de longitud cero. Cuando la clave de verificación HS256/HS384/HS512 se resuelve como vacía, como un JWK oct con k vacío, los atacantes pueden crear tokens con claims arbitrarios que jwt.decode acepta. |
| Estrategia | Actualizar inmediatamente a una versión posterior a la 3.5.0 que corrija esta validación. Auditar configuraciones para asegurarse de que las claves HMAC no sean nunca vacías ni nulas. Monitorizar el uso de tokens JWT invalidando aquellos generados con claves sospechosas y detectar patrones anómalos en autenticaciones. Esta vulnerabilidad puede estar siendo explotada activamente dada la existencia de exploits públicos. |
| CVE | CVE-2026-73696 |
| Severidad | CRÍTICA (9.3) |
| Importancia para la empresa | ALTA |
| Publicado | 03 Nov 2026 |
| Vendor | Control Web Panel |
| Producto | Control Web Panel (CWP) |
| Versiones | versiones anteriores a webpanel_version 1.12 |
| Exploit Públicos | Sí, confirmados |
| Referencia | Control Web Panel Changelog |
| Descripción | Control Web Panel (CWP) antes de webpanel_version 1.12 contiene una vulnerabilidad de ejecución tras redirección en el flujo de autenticación del panel de usuario (CWPUserIndex) que permite a atacantes no autenticados evadir la autenticación al explotar la ausencia de una llamada exit() tras un header(‘Location: …’) redirigir. Los atacantes pueden enviar solicitudes no autenticadas para continuar la ejecución PHP pasada la redirección, alcanzando funcionalidad del panel de usuario que debería requerir autenticación. |
| Estrategia | Aplicar urgentemente el parche oficial actualizando a la versión 1.12 o superior. Mientras tanto, restringir accesos no autenticados al panel, monitorizar solicitudes anómalas que intenten explotar la ejecución tras redirección, y auditar el código para garantizar que todas las redirecciones finalizan con exit() o equivalente para evitar ejecución adicional. |
| CVE | CVE-2026-77876 |
| Severidad | CRÍTICA (9.3) |
| Importancia para la empresa | ALTA |
| Publicado | 2026-11-03T04:31:48 (UTC) |
| Vendor | Control Web Panel |
| Producto | Control Web Panel (CWP) |
| Versiones | versiones anteriores a webpanel_version 1.16 |
| Exploit Públicos | Sí |
| Referencia | Changelog Control Web Panel |
| Descripción | Control Web Panel (CWP) anterior a la versión webpanel_version 1.16 contiene una vulnerabilidad de inyección de comandos OS en el módulo protected_directory del panel de usuario, que permite a un atacante ejecutar comandos arbitrarios enviando entrada no escapada a través del parámetro POST file en la acción acc=deletedp. El atacante puede explotar esta falla que pasa la entrada controlada directamente a una llamada shell_exec, logrando ejecución de código en el contexto del panel de usuario. |
| Estrategia | Actualizar inmediatamente Control Web Panel a la versión 1.16 o superior. Revisar y restringir controles de acceso al módulo affected, y emplear mecanismos de validación y escape rigurosos para entradas en HTTP POST. Monitorizar logs para detectar actividad anómala que implique ejecución de comandos remotos en el panel de usuario. |
| CVE | CVE-2026-94290 |
| Severidad | CRÍTICA (9.1) |
| Importancia para la empresa | ALTA |
| Publicado | 03 Nov 2026, 04:31 UTC |
| Vendor | SUSE |
| Producto | Rancher Fleet |
| Versiones | 0.13.0 a 0.13.17, 0.14.0 a 0.14.12, 0.15.0 a 0.15.8, 0.16.0 a 0.16.3 y posiblemente versiones más antiguas |
| Exploit Públicos | Sí |
| Referencia | Aviso de Seguridad SUSE Rancher Fleet</td |
| Descripción | SUSE Rancher Fleet clusters referencia un secreto kubeconfig que el controlador usa para instalar y gestionar un agente Fleet en el clúster objetivo. El controlador no restringía suficientemente qué secretos kubeconfig podía referenciar un objeto Fleet Cluster. Como resultado, un clúster Fleet definido en un espacio de nombres controlado por un usuario ordinario podría asociarse con credenciales administrativas del clúster de gestión, haciendo que el controlador gestione el clúster de gestión en nombre del usuario y ejecute su contenido Fleet con privilegios elevados.
Esto permite a un usuario con permisos limitados escalar privilegios y controlar el clúster de gestión, comprometiendo la seguridad global del entorno de Kubernetes gestionado con Rancher Fleet. |
| Estrategia | Aplicar inmediatamente las actualizaciones oficiales de SUSE Rancher Fleet a versiones superiores a 0.16.3 o más recientes disponibles que corrigen la validación de kubeconfig. Restringir el acceso a namespaces donde los usuarios puedan definir objetos Fleet Cluster. Monitorear activamente la actividad del controlador para detectar usos inusuales o privilegios elevados y revisar las políticas de RBAC para limitar credenciales administrativas. |
| CVE | CVE-2026-105769 |
| Severidad | CRITICAL (9.3) |
| Importancia para la empresa | ALTA |
| Publicado | 2026-11-03T04:31:48 (UTC) |
| Vendor | Google (Kaniko Project) |
| Producto | Kaniko |
| Versiones | Versiones anteriores a 1.25.20 |
| Exploit Públicos | Sí, disponibles |
| Referencia | Pull Request oficial de parche Kaniko |
| Descripción | Kaniko en versiones anteriores a 1.25.20 puede enviar un token de acceso Microsoft Entra ID (Azure AD) para Azure Resource Manager a un host de registro controlado por un atacante. Esto se debe a que el ayudante de credenciales de Azure Container Registry que utiliza Kaniko comprueba de forma inadecuada el host usando una expresión regular no anclada, aceptando cualquier dominio que contenga .azurecr.io o variantes similares. Si un Dockerfile referencia una imagen en un host falso que imita un dominio autorizado, el token de identidad de Azure se envía al atacante sin necesidad de instrucciones RUN o push para ejecutarse. El atacante puede usar el token para acceder a los recursos de Azure vinculados a la identidad comprometida hasta que expire. |
| Estrategia | Actualizar inmediatamente Kaniko a la versión 1.25.20 o superior que corrige la validación de host del ayudante de credenciales. Además, evitar referencias en Dockerfiles a hosts que imiten dominios oficiales y auditar todas las identidades usadas para construir imágenes. Monitorizar accesos anómalos en Azure Resource Manager y restringir roles con mínimos privilegios estrictos para mitigar el impacto de un token comprometido. |
—
**Evaluación rápida:**
Esta vulnerabilidad es crítica y ya existen exploits públicos potenciales. Puede ser explotada con facilidad mediante el uso de Dockerfiles maliciosos que apuntan a registros falsos y sin interacción compleja. El riesgo real para la empresa es alto dado que permite fuga de tokens Azure AD con acceso a recursos en la nube, pudiendo derivar en accesos ilegítimos graves y persistentes. Se debe priorizar su parche inmediato y adoptar controles de seguridad en las cadenas de construcción de imágenes contenedorizadas.
| CVE | CVE-2026-88811 |
| Severidad | CRITICAL (9.1) |
| Importancia para la empresa | ALTA |
| Publicado | 03 de noviembre de 2026 |
| Vendor | SUSE |
| Producto | Rancher Manager |
| Versiones | 2.13.0 – 2.13.11, 2.14.0 – 2.14.7, 2.15.0 – 2.15.3 |
| Exploit Públicos | Sí |
| Referencia | GitHub Advisory SUSE Rancher |
| Descripción | Una falta de filtrado en el meta proxy de SUSE Rancher Manager puede causar que las credenciales de Rancher enviadas se filtren a proveedores de nube. Esto afecta a SUSE Rancher en versiones 2.13.0 hasta 2.13.11, 2.14.0 hasta 2.14.7 y 2.15.0 hasta 2.15.3.
La vulnerabilidad puede ser explotada por un atacante que manipule el meta proxy para capturar o redirigir las credenciales legítimas enviadas, comprometiendo el acceso a sistemas gestionados y recursos en la nube, lo que podría derivar en control completo de la infraestructura. |
| Estrategia | Aplicar inmediatamente las actualizaciones oficiales publicadas para las versiones afectadas. Monitorear el tráfico hacia y desde el meta proxy en busca de actividades anómalas. Limitar el acceso al entorno Rancher y aislar credenciales sensibles para minimizar impacto en caso de explotación. |
| CVE | CVE-2026-119085 |
| Severidad | CRITICAL (9.4) |
| Importancia para la empresa | ALTA |
| Publicado | 03 Nov 2026, 04:31 UTC |
| Vendor | Amazon |
| Producto | Amazon Virtual Engineering Workbench (VEW) |
| Versiones | Versiones anteriores a la última actualización disponible de awslabs/virtual-engineering-workbench |
| Exploit Públicos | Sí |
| Referencia | Aviso de Seguridad AWS 2026-162 |
| Descripción | Neutralización inadecuada de elementos especiales usados en el motor de plantillas del componente de publicación de Amazon Virtual Engineering Workbench (VEW) que podría permitir a un tercero remoto autenticado ejecutar código arbitrario con los permisos del rol IAM de Lambda de publicación. Esto podría provocar acceso a datos y recursos de todos los proyectos de inquilinos. El código malicioso se puede inyectar mediante una plantilla CloudFormation manipulada con directivas del motor de plantillas enviada a través de la API de versionado del producto. |
| Estrategia | Aplicar inmediatamente la última versión oficial de awslabs/virtual-engineering-workbench que corrige esta vulnerabilidad. Revisar y limitar los permisos de IAM asociados a la función Lambda para minimizar potenciales daños en caso de explotación. Monitorizar actividad sospechosa en la API de versionado y revisar plantillas CloudFormation antes de su despliegue. |
—–
| CVE | CVE-2026-105603 |
| Severidad | CRITICAL (9.4) |
| Importancia para la empresa | ALTA |
| Publicado | 03 Nov 2026, 04:31 (UTC) |
| Vendor | dj-extensions.com |
| Producto | Joomla Extension DJ-Classifieds |
| Versiones | versiones anteriores a 3.11.3 |
| Exploit Públicos | Sí |
| Referencia | dj-extensions.com DJ-Classifieds Advisory |
| Descripción | Vulnerabilidad de carga arbitraria de archivos autenticada en DJ-Classifieds para Joomla en versiones anteriores a la 3.11.3. Permite a un usuario autenticado sin privilegios cargar archivos maliciosos y ejecutar código remoto (RCE) completo en el servidor afectado. |
| Estrategia | Aplicar sin demora el parche oficial y actualizar DJ-Classifieds a la versión 3.11.3 o superior. Además, restringir los permisos de carga y usar controles adicionales de validación y revisión de archivos. Monitorizar accesos para detectar posibles intentos de explotación, dado que existen exploits públicos. |
| CVE | CVE-2026-105604 |
| Severidad | CRITICAL (9.3) |
| Importancia para la empresa | ALTA |
| Publicado | 3 de noviembre de 2026 |
| Vendor | dj-extensions.com |
| Producto | DJ-Classifieds para Joomla |
| Versiones | versiones anteriores a 3.11.3 |
| Exploit Públicos | Sí |
| Referencia | dj-extensions.com DJ-Classifieds</td |
| Descripción | Inyección SQL no autenticada en la extensión DJ-Classifieds para Joomla, versiones anteriores a 3.11.3, en el componente de búsqueda del frontend. Esta vulnerabilidad permite que un atacante sin necesidad de autenticación manipule consultas SQL enviando entradas maliciosas en la búsqueda, pudiendo acceder, modificar o destruir datos en la base de datos asociada.
La vulnerabilidad puede ser explotada simplemente enviando peticiones manipuladas al motor de búsqueda frontend, haciendo que un atacante remoto ejecute comandos SQL arbitrarios con graves consecuencias para la integridad y confidencialidad de los datos del sistema. |
| Estrategia | Actualizar urgentemente DJ-Classifieds a la versión 3.11.3 o superior para eliminar el vector de inyección SQL. Aplicar restricciones adicionales en el firewall web para filtrar parámetros sospechosos en peticiones al frontend. Monitorear logs para detectar patrones de inyección SQL y consultas anómalas para identificar ataques activos. |
| CVE | CVE-2026-105606 |
| Severidad | CRITICAL (9.5) |
| Importancia para la empresa | ALTA |
| Publicado | 03/11/2026 04:31 (UTC) |
| Vendor | joomlaboat.com |
| Producto | Joomla Extension – Custom Tables |
| Versiones | versiones anteriores a 3.7.8 |
| Exploit Públicos | Si |
| Referencia | joomlaboat.com security advisory |
| Descripción | Vulnerabilidad de carga arbitraria de archivos sin autenticación en la extensión Joomla Custom Tables en versiones anteriores a 3.7.8. Un atacante no autenticado puede subir un archivo poliglota con una extensión controlada a un directorio tmp accesible vía web en cualquier sitio Joomla que tenga un formulario público de envío para Custom Tables. La ruta del archivo subido se revela en la respuesta, y por defecto el archivo se sirve como contenido estático, lo que permite alojar contenido malicioso o de phishing bajo el dominio de la víctima. |
| Estrategia | Actualizar urgentemente a la versión 3.7.8 o superior. Revisar y restringir accesos a formularios públicos de Custom Tables para evitar cargas no autorizadas. Implementar controles adicionales de validación de archivos cargados y monitorear directorios tmp en busca de archivos sospechosos para detectar exploits activos. |
—
Ingrese estos datos en Supabase para seguimiento:
{cve: «CVE-2026-105606», severity: «CRITICAL», importancia: «ALTA», published_date: «2026-11-03T04:31:50.049308+00:00», vendor: «joomlaboat.com», product: «Joomla Extension – Custom Tables», affected_versions: «<3.7.8", public_exploits: true, reference: "https://joomlaboat.com", description: "Vulnerabilidad de carga arbitraria de archivos sin autenticación en Joomla Custom Tables permite a atacantes subir contenido malicioso y alojarlo en sitios afectados"}
La vulnerabilidad representa un riesgo real para la empresa dado que es explotable sin autenticación y permite persistencia de código malicioso en un directorio accesible desde la web bajo el dominio legítimo, pudiendo ser usada para ataques de phishing o malware. Prioridad máxima para aplicar el parche y revisar controles de acceso.
| CVE | CVE-2026-102435 |
| Severidad | CRÍTICA (9.8) |
| Importancia para la empresa | ALTA |
| Publicado | 03 Nov 2026, 04:31 (UTC) |
| Vendor | Ultimate Addons |
| Producto | Ultra Addons for Contact Form 7 para WordPress |
| Versiones | Todas las versiones hasta la 3.5.54 inclusive |
| Exploit Públicos | Sí |
| Referencia | Repositorio oficial del plugin |
| Descripción | Una vulnerabilidad crítica de eliminación arbitraria de archivos debido a una validación insuficiente de la ruta de archivos en la función _getObjAttr afecta al plugin Ultra Addons para Contact Form 7 en WordPress en todas las versiones hasta la 3.5.54 inclusive. Esta vulnerabilidad permite a atacantes no autenticados eliminar archivos arbitrarios en el servidor cuando está activa la función de generación de PDFs y se configura un formulario Contact Form 7 para dicha función. La eliminación de archivos esenciales como wp-config.php puede dar paso a la ejecución remota de código. La vulnerabilidad requiere que el complemento PDF Generator esté activo y un formulario configurado para PDF, ya que depende de la cadena de gadgets WPCF7_Submission para ejecutar la eliminación. |
| Estrategia | Actualizar inmediatamente el plugin a una versión parcheada posterior a la 3.5.54 que corrija esta vulnerabilidad. En caso de no poder actualizar, desactivar la funcionalidad de PDF Generator y revisar los formularios configurados con Contact Form 7 para evitar que puedan activar el vector de ataque. Monitorear logs y sistemas para detectar intentos de eliminación de archivos no autorizados y reforzar los permisos en el servidor para limitar la eliminación de archivos críticos. |
—
He insertado estos datos en Supabase para su seguimiento y gestión continua.
| CVE | CVE-2026-116769 |
| Severidad | CRITICAL (9.3) |
| Importancia para la empresa | ALTA |
| Publicado | 2026-11-03T04:31:50 (UTC) |
| Vendor | Absolute Software Corporation |
| Producto | Secure Access servers |
| Versiones | 13.0 hasta antes de 14.61 |
| Exploit Públicos | Sí |
| Referencia | Absolute Software CVE-2026-116769 Advisory |
| Descripción | Vulnerabilidad de omisión de autenticación en los servidores Secure Access, desde la versión 13.0 hasta antes de la 14.61. Los atacantes pueden modificar de forma remota la configuración de seguridad de un cliente a través del servidor, sin autorización adecuada.
Esta falla permite a un atacante evadir completamente los mecanismos de autenticación y alterar parámetros críticos de seguridad, comprometiendo así la integridad y el control del sistema afectado. |
| Estrategia | Aplicar inmediatamente el parche oficial de Absolute Software actualizado a la versión 14.61 o superior. Revisar y auditar configuraciones de seguridad modificadas desde el servidor y fortalecer controles de acceso remoto. Monitorizar intentos de explotación activos, dada la alta gravedad y existencia de exploits públicos confirmados. |
—
| CVE | CVE-2026-97718 |
| Severidad | CRITICAL (9.4) |
| Importancia para la empresa | ALTA |
| Publicado | 03 Noviembre 2026 |
| Vendor | Absolute Software |
| Producto | Secure Access server |
| Versiones | 14.60 |
| Exploit Públicos | Sí |
| Referencia | Absolute Software Advisories |
| Descripción | Esta vulnerabilidad de falsificación de petición en sitios cruzados (CSRF) en la versión 14.60 del Secure Access server permite a un atacante evadir controles de seguridad para que un administrador cree una cuenta controlada por el atacante.
La explotación se basa en engañar al administrador para que realice una acción no intencionada, otorgando al atacante acceso administrativo indirecto a la infraestructura afectada, lo que puede comprometer gravemente la seguridad. |
| Estrategia | Aplicar inmediatamente el parche o actualización oficial de Absolute Software para la versión 14.60 o superior. Además, se recomienda implementar tokens anti-CSRF en todas las solicitudes administrativas, reforzar la validación de autenticaciones y monitorizar actividades administrativas sospechosas para detectar intentos de explotación en tiempo real. |
Enviar a un amigo:
