| CVE | Vendor | Producto | Severidad | VAfectadas | Exploit |
|---|---|---|---|---|---|
| CVE-2026-119757 | BTCPay Server | BTCPay Server | ALTA (sin puntaje CVSS explícito) | No especificadas en la descripción | Sí |
| CVE-2026-8857 | MediaWiki | MediaWiki | ALTA (exploit activo) | No especificadas explícitamente, afecta versiones con control inadecuado de generación de código | activo) |
| CVE-2026-119163 | Bajo análisis | Bajo análisis | Alta (no especificada pero implícita por explotación activa y naturaleza SQLi) | Bajo análisis | Sí |
| CVE-2025-26966 | Aldo Latino | lcweb privatecontent | Alta (no especificada, implícita por explotación activa) | No especificadas | Sí |
| CVE-2024-56000 | SeventhQueen | K Elements | No especificada (Alta por explotación activa) | No especificadas | Sí |
| CVE-2026-73996 | ThemeGrill | Masteriyo – LMS | ALTA | No especificadas (verificar últimas versiones disponibles) | Sí |
| CVE-2021-42911 | DrayTek | vigor2960_firmware | ALTA | Versiones afectadas no especificadas, revisar firmware vigor2960 | Sí |
| CVE-2026-123025 | OPNsense | os-acme-client plugin (módulo DNS de Google Cloud) | CRITICAL (9.4) | Hasta la versión 4.17 incluida | Sí |
| CVE-2026-100109 | Security For WooCommerce | Security For WooCommerce WordPress plugin | CRITICAL (9.8) | desde 1.0.10 hasta 1.0.16 | Sí |
| CVE-2026-121489 | Apache | Apache Juneau | CRITICAL (10) | hasta la 9.2.0 incluido | Sí |
| CVE-2026-73098 | Apache Software Foundation | Apache Juneau | CRITICAL (10) | Hasta 9.2.0 | Confirmados |
| CVE-2026-73099 | Apache Software Foundation | Apache Juneau | CRITICAL (10) | hasta la 9.2.0 inclusive | Sí |
| CVE-2026-73100 | Apache Software Foundation | Apache Juneau | CRITICAL (10) | versiones hasta 9.2.0 inclusive | Sí |
| CVE-2026-73101 | Apache Software Foundation | Apache Juneau | CRITICAL (10) | versiones hasta 9.2.0 incluidas | Sí |
| CVE-2026-73116 | Apache | Apache Juneau RestClient | CRITICAL (10) | hasta 9.2.0 inclusive | Confirmados |
| CVE-2026-73117 | Apache Software Foundation | Apache Juneau | CRITICAL (10) | Hasta versión 9.2.0 inclusive | Sí |
| CVE-2026-96677 | Apache | Apache Juneau | CRITICAL (10) | Hasta la versión 9.2.0 incluida | Sí |
| CVE-2026-117691 | Red Hat | Keycloak | CRÍTICA (9.1) | No especificadas concretamente en el aviso | Sí |
| CVE-2026-82907 | Apache Software Foundation | Apache OFBiz | CRITICAL (9.8) | 24.09 anteriores a 24.09.08 | Sí |
| CVE-2026-83542 | Apache | OFBiz | CRITICAL (9.8) | versiones anteriores a 24.09.08 | Sí |
| CVE-2026-119344 | Cocos AI | Cocos AI sistema de computación confidencial para IA | CRÍTICA (9.1) | 0.8.2 y versiones anteriores | Sí |
| CVE-2026-54141 | tinyhumansai | OpenHuman agent | CRITICAL (9.0) | versiones anteriores a 0.57.13 | Sí |
| CVE-2026-54143 | Tiny Humans AI | OpenHuman (agente open-source en escritorio y biblioteca Rust) | CRITICAL (9.8) | versiones anteriores a 0.57.13 | Sí |
| CVE-2026-100358 | SuiteCRM | SuiteCRM | CRÍTICA (9.4) | anteriores a 7.15.2 y 8.10.2 | Sí |
| CVE-2026-123198 | LMFDB | LMFDB before commit 01829bd | CRITICAL (9.3) | Todas las versiones anteriores al commit 01829bd | Sí |
| CVE-2026-71550 | SuiteCRM | SuiteCRM | CRÍTICA (9.9) | versiones anteriores a 7.15.2 y 8.10.2 | Sí |
| CVE-2026-102940 | OpenEMR | OpenEMR (aplicación de registros electrónicos de salud y gestión médica) | CRITICAL (9.6) | versiones anteriores a la 8.4.0 | Sí |
| CVE-2026-116779 | FreeSWITCH | FreeSWITCH Software Defined Telecom Stack | CRITICAL (9.8) | versiones anteriores a 1.11.3 | Sí |
| CVE-2026-116785 | SignalWire (FreeSWITCH Project) | FreeSWITCH | CRITICAL (9.1) | versiones anteriores a 1.11.2 | Sí |
| CVE-2026-116790 | SignalWire | FreeSWITCH (Software Defined Telecom Stack) | CRÍTICA (9.1) | Versiones anteriores a 1.11.2 | Sí |
| CVE-2026-46350 | dcmjs-org | dcmjs (implementación JavaScript para manipulación DICOM) | CRITICAL (9.1) | versiones anteriores a 0.52.0 | Sí |
| CVE-2026-48705 | Project MONAI | MONAI (Medical Open Network for AI) | CRITICAL (9.3) | versiones anteriores a 1.6.1 | Sí |
| CVE-2026-85076 | jhuckaby (Cronicle project) | Cronicle (Multi-server task scheduler) | CRITICAL (9.0) | Versiones anteriores a 0.9.124 | Sí |
| CVE-2026-111489 | TPC Softwares | MatchPoint platform | CRITICAL (9.9) | No especificadas | Sí |
| CVE-2026-111490 | TPC Software | MatchPoint API | CRITICAL (9.9) | Sin especificar | Sí |
| CVE-2026-111494 | TPC Softwares | MatchPoint Android app | CRITICAL (9.1) | No especificado, afecta la aplicación MatchPoint en Android | Sí |
| CVE-2026-77596 | Kubeflow | Kubeflow Pipelines | CRÍTICA (9.6) | Versiones anteriores a 2.18.0 | Sí |
| CVE-2026-63017 | PowerSYSTEM | PowerSYSTEM Center | CRITICAL (9.4) | No especificado concretamente versiones, vulnerabilidad afecta a toda la versión actual | Sí |
| CVE-2026-63774 | PowerSYSTEM | PowerSYSTEM Center report designer | CRITICAL (9.4) | No especificadas en la fuente | Sí |
| CVE | CVE-2026-119757 |
| Severidad | ALTA (sin puntaje CVSS explícito) |
| Importancia para la empresa | ALTA |
| Publicado | 6 Noviembre 2026 |
| Vendor | BTCPay Server |
| Producto | BTCPay Server |
| Versiones | No especificadas en la descripción |
| Exploit Públicos | Sí, está siendo explotada activamente |
| Referencia | Detalle CVE | FAQ KEV |
| Descripción | Vulnerabilidad de Credenciales Insuficientemente Protegidas en BTCPay Server que podría permitir acceso no autorizado o compromiso de credenciales. La explotación activa está confirmada, aumentando el riesgo de intrusión y posible control remoto del sistema afectado. |
| Estrategia | Aplicar inmediatamente los parches oficiales o actualizaciones recomendadas por BTCPay Server. Revisar y fortalecer los mecanismos de almacenamiento y protección de credenciales, implementar autenticación multifactor y monitorizar logs para detectar accesos anómalos o intentos de explotación. |
—
| CVE | CVE-2026-8857 |
| Severidad | ALTA (exploit activo) |
| Importancia para la empresa | ALTA |
| Publicado | 06 Nov 2026, 04:31 UTC |
| Vendor | MediaWiki |
| Producto | MediaWiki |
| Versiones | No especificadas explícitamente, afecta versiones con control inadecuado de generación de código |
| Exploit Públicos | Sí, explotación activa confirmada |
| Referencia | VulnCheck CVE-2026-8857 |
| Descripción | Control inadecuado en la generación de código en MediaWiki que permite la posible ejecución o manipulación no autorizada de código. Esto significa que un atacante puede introducir código malicioso que el sistema ejecuta, comprometiendo la integridad y disponibilidad del sistema. |
| Estrategia | Actualizar MediaWiki a la versión parcheada oficial tan pronto como esté disponible. Mientras tanto, implementar controles estrictos de restricción de acceso y auditoría en los componentes afectados, y monitorizar activamente intentos de explotación. Establecer reglas de firewall y WAF para bloquear entradas maliciosas relacionadas. |
—–
| CVE | CVE-2026-119163 |
| Severidad | Alta (no especificada pero implícita por explotación activa y naturaleza SQLi) |
| Importancia para la empresa | ALTA |
| Publicado | 6 de noviembre de 2026, 04:31 (UTC) |
| Vendor | Bajo análisis |
| Producto | Bajo análisis |
| Versiones | Bajo análisis |
| Exploit Públicos | Sí, explotación activa confirmada |
| Referencia | Fuente Vulncheck KEV |
| Descripción | Neutralización inadecuada de elementos especiales usados en un comando SQL. Esto facilita ataques de inyección SQL (SQLi) que pueden permitir a un atacante ejecutar comandos arbitrarios en la base de datos afectada, comprometiendo confidencialidad, integridad y disponibilidad de la información. |
| Estrategia | Priorizar aplicar revisiones o parches que mitiguen esta inyección SQL. Revisar controles de validación y sanitización de entradas en todas las interfaces que interactúan con bases de datos. Monitorizar activamente indicadores de compromiso por ataques SQLi y responder rápidamente ante actividad sospechosa. |
| CVE | CVE-2025-26966 |
| Severidad | Alta (no especificada, implícita por explotación activa) |
| Importancia para la empresa | ALTA |
| Publicado | 6 de noviembre de 2026 |
| Vendor | Aldo Latino |
| Producto | lcweb privatecontent |
| Versiones | No especificadas |
| Exploit Públicos | Sí, explotación confirmada |
| Referencia | Detalles en Vulncheck |
| Descripción | Bypass de autenticación utilizando una ruta o canal alternativo en el producto PrivateContent desarrollado por Aldo Latino. Esta vulnerabilidad permite que un atacante eluda los controles de acceso y obtenga acceso no autorizado al contenido protegido. |
| Estrategia | Aplicar inmediatamente las actualizaciones oficiales del proveedor que corrigen el bypass de autenticación. Implementar monitoreo de accesos inusuales y reforzar controles de autenticación multi-factor donde sea posible. Auditar los logs para detectar intentos de explotación. |
| CVE | CVE-2024-56000 |
| Severidad | No especificada (Alta por explotación activa) |
| Importancia para la empresa | ALTA |
| Publicado | Miércoles, 6 Noviembre 2024, 04:31 (UTC) |
| Vendor | SeventhQueen |
| Producto | K Elements |
| Versiones | No especificadas |
| Exploit Públicos | Sí, explotación activa confirmada |
| Referencia | VulnCheck CVE Report |
| Descripción | Vulnerabilidad de asignación incorrecta de privilegios en el producto K Elements de SeventhQueen, que permite la escalada de privilegios no autorizada.
Esta vulnerabilidad permite a un atacante aumentar sus privilegios dentro del sistema sin autorización, comprometiendo potencialmente la integridad y seguridad de todo el sistema afectado. La explotación activa de este fallo indica un riesgo elevado para entornos que ejecuten este producto. |
| Estrategia | Aplicar inmediatamente los parches oficiales del fabricante SeventhQueen para K Elements cuando estén disponibles. Hasta entonces, restringir accesos y privilegios de usuarios al mínimo necesario, monitorizar actividad anómala que pueda indicar escalada de privilegios, y reforzar controles de acceso. La explotación activa requiere alta prioridad en mitigación y monitoreo. |
| CVE | CVE-2026-73996 |
| Severidad | ALTA |
| Importancia para la empresa | ALTA |
| Publicado | 06 Noviembre 2026 |
| Vendor | ThemeGrill |
| Producto | Masteriyo – LMS |
| Versiones | No especificadas (verificar últimas versiones disponibles) |
| Exploit Públicos | Sí, está siendo explotada |
| Referencia | Detalles vulnerabilidad FAQ Kev |
| Descripción | Vulnerabilidad de carga sin restricciones de archivos con tipos peligrosos en Masteriyo – LMS de ThemeGrill, que permite a atacantes subir archivos maliciosos que pueden comprometer el sistema.
La vulnerabilidad permite que un atacante suba archivos que ejecuten código malicioso en el servidor, lo que puede derivar en control completo del sistema afectado. La explotación activa ya ha sido confirmada, aumentando significativamente el riesgo para las organizaciones que utilicen este producto sin parchear. |
| Estrategia | Aplicar inmediatamente el parche oficial proporcionado por ThemeGrill. Restringir tipos de archivos permitidos para subir y validar dichas entradas estrictamente en el servidor. Monitorizar logs de actividad para detectar intentos de subida maliciosa y bloquear IPs sospechosas. Actualizar de forma periódica y auditar módulos de carga de archivos. |
| CVE | CVE-2021-42911 |
| Severidad | ALTA |
| Importancia para la empresa | ALTA |
| Publicado | 2021-11-06 |
| Vendor | DrayTek |
| Producto | vigor2960_firmware |
| Versiones | Versiones afectadas no especificadas, revisar firmware vigor2960 |
| Exploit Públicos | Sí, explotación confirmada en la naturaleza |
| Referencia | Vulncheck CVE-2021-42911 |
| Descripción | Vulnerabilidad de Cadena de Formato Controlada Externamente en el firmware vigor2960 de DrayTek que permite a atacantes ejecutar código arbitrario o causar denegación de servicio mediante entradas manipuladas. |
| Estrategia | Aplicar el parche oficial o actualización del firmware vigor2960 de DrayTek inmediatamente. Limitar acceso externo al dispositivo, monitorizar logs para detectar intentos de explotación y endurecer la red para minimizar la superficie de ataque. |
| CVE | CVE-2026-123025 |
| Severidad | CRITICAL (9.4) |
| Importancia para la empresa | ALTA |
| Publicado | 6 Nov 2026, 04:31 (UTC) |
| Vendor | OPNsense |
| Producto | os-acme-client plugin (módulo DNS de Google Cloud) |
| Versiones | Hasta la versión 4.17 incluida |
| Exploit Públicos | Sí, confirmado |
| Referencia | Parche oficial y análisis de vulnerabilidad |
| Descripción | Vulnerabilidad de Inyección de Comandos en el sistema operativo descubierta en el módulo de validación DNS de Google Cloud del plugin os-acme-client de OPNsense hasta la versión 4.17. El método DnsGcloud::prepare() decodifica el campo dns_gcloud_key y concatena directamente las cadenas gcloud_account y gcloud_project en un comando shell ejecutado con proc_open() sin ninguna validación o escape. Un usuario remoto autenticado con permisos para emitir o renovar certificados vía WebGUI/API puede ejecutar código arbitrario con privilegios root. |
| Estrategia | Aplicar inmediatamente el parche oficial disponible. Restringir y monitorizar los accesos a la emisión/renovación de certificados en el WebGUI y APIs. Auditar logs para detectar actividades sospechosas y reforzar medidas para validar y escapar entradas en comandos shell en desarrollo futuro. |
| CVE | CVE-2026-100109 |
| Severidad | CRITICAL (9.8) |
| Importancia para la empresa | ALTA |
| Publicado | 6 Noviembre 2026, 04:31 UTC |
| Vendor | Security For WooCommerce |
| Producto | Security For WooCommerce WordPress plugin |
| Versiones | desde 1.0.10 hasta 1.0.16 |
| Exploit Públicos | Sí |
| Referencia | WPSCAN Advisory |
| Descripción | El plugin Security For WooCommerce para WordPress versiones desde la 1.0.10 hasta la 1.0.16 no realiza comprobaciones de capacidades al crear usuarios mediante una acción disponible para visitantes no autenticados. Esto permite al atacante elegir el rol de la cuenta nueva, incluso administrador, logrando así la creación de cuentas de administrador sin autorización, lo que conduce al secuestro total del sitio web. |
| Estrategia | Actualizar urgentemente el plugin a la última versión corregida fuera del rango afectado. En paralelo, restringir el acceso a la acción de creación de usuarios para usuarios autenticados únicamente, revisar logs para detección de posibles explotaciones y monitorizar privilegios administrativos inesperados para bloquear accesos maliciosos. |
| CVE | CVE-2026-121489 |
| Severidad | CRITICAL (10) |
| Importancia para la empresa | ALTA |
| Publicado | Fri, 6 Nov 2026, 04:31 (UTC) |
| Vendor | Apache |
| Producto | Apache Juneau |
| Versiones | hasta la 9.2.0 incluido |
| Exploit Públicos | Sí |
| Referencia | Lista Apache Security |
| Descripción | Vulnerabilidad de limitación incorrecta de una ruta de acceso a un directorio restringido (‘Path Traversal’) en Apache Juneau. El microservicio DirectoryResource no mantiene las rutas de solicitud dentro del directorio raíz configurado. Cuando la configuración permite ver, subir o borrar (opciones desactivadas por defecto), un atacante puede leer, escribir o eliminar archivos fuera del directorio raíz, donde el proceso del servidor tenga acceso. |
| Estrategia | Actualizar inmediatamente a Apache Juneau versión 9.2.1 o superior, que corrige esta vulnerabilidad. Además, revisar y restringir permisos del proceso servidor, deshabilitar funciones de vista, carga o eliminación del recurso DirectoryResource si no se usan, y monitorizar accesos anómalos para detectar intentos de explotación activos. |
—–
| CVE | CVE-2026-73098 |
| Severidad | CRITICAL (10) |
| Importancia para la empresa | ALTA |
| Publicado | 06 Nov 2026, 04:31 (UTC) |
| Vendor | Apache Software Foundation |
| Producto | Apache Juneau |
| Versiones | Hasta 9.2.0 |
| Exploit Públicos | Confirmados |
| Referencia | Lista de seguridad Apache |
| Descripción | Vulnerabilidad de control inadecuado de código cargado dinámicamente en Apache Juneau. Cuando Apache Juneau analiza un valor en una propiedad del tipo java.lang.Class, el mecanismo por defecto carga la clase nombrada con inicialización habilitada, ejecutando el inicializador estático de esa clase en el classpath de la aplicación. El impacto depende de las clases presentes en el despliegue afectado. Afecta a Apache Juneau hasta la versión 9.2.0. Se recomienda actualizar a la versión 9.2.1 que corrige el problema. |
| Estrategia | Actualizar inmediatamente a Apache Juneau versión 9.2.1 o superior. Validar y restringir las clases accesibles por el parser para evitar ejecución arbitraria. Monitorizar logs para detectar comportamiento anómalo que indique explotación activa de ejecutables maliciosos en el entorno. |
—
Usuario debe priorizar esta vulnerabilidad como crítica, dado que la ejecución arbitraria por inicializadores estáticos puede permitir escalada de privilegios o comprometer la integridad de la aplicación. Exploits públicos existen, por tanto riesgo real y activo para la empresa.
| CVE | CVE-2026-73099 |
| Severidad | CRITICAL (10) |
| Importancia para la empresa | ALTA |
| Publicado | 6 Nov 2026, 04:31 (UTC) |
| Vendor | Apache Software Foundation |
| Producto | Apache Juneau |
| Versiones | hasta la 9.2.0 inclusive |
| Exploit Públicos | Sí |
| Referencia | Apache Advisory |
| Descripción | Vulnerabilidad de tipo Cross-Site Request Forgery (CSRF) en Apache Juneau. El servidor REST acepta un parámetro «content» en la consulta que reemplaza el cuerpo de la petición, habilitado por defecto en todos los métodos HTTP, incluyendo GET. Esto permite que un enlace malicioso entregue una carga útil controlada por el atacante sin necesidad de preflight CORS, eludiendo protecciones basadas en método HTTP o tipo de contenido en lugar de un token anti-CSRF.
Esta vulnerabilidad afecta a Apache Juneau en versiones hasta la 9.2.0. Se recomienda actualizar a la versión 9.2.1 que corrige el problema o deshabilitar el parámetro «content» configurando disableContentParam a true si no se usa dicho parámetro. |
| Estrategia | Actualizar urgentemente a la versión 9.2.1 para eliminar la vulnerabilidad. De forma temporal, si la aplicación no utiliza el parámetro «content», configurar disableContentParam a true para bloquear su uso. Además, se deben implementar medidas adicionales de protección CSRF como tokens anti-CSRF y revisar políticas CORS para evitar explotación mediante solicitudes maliciosas. |
| CVE | CVE-2026-73100 |
| Severidad | CRITICAL (10) |
| Importancia para la empresa | ALTA |
| Publicado | Fri, 6 Nov 2026, 04:31 (UTC) |
| Vendor | Apache Software Foundation |
| Producto | Apache Juneau |
| Versiones | versiones hasta 9.2.0 inclusive |
| Exploit Públicos | Sí |
| Referencia | Apache Advisory |
| Descripción | Vulnerabilidad de Inserción de Información Sensible en el Archivo de Registro en Apache Juneau. El registrador por defecto del servidor REST almacena los encabezados de las solicitudes que terminan en error de servidor sin ocultarlos. Cualquier cliente que cause un error de servidor hará que se escriban en texto claro en los logs encabezados como Authorization, Cookie, Proxy-Authorization y X-API-Key, exponiéndolos a cualquiera con acceso a los registros. Este problema afecta a Apache Juneau hasta la versión 9.2.0 inclusive. Se recomienda actualizar a la versión 9.2.1 que corrige esta vulnerabilidad. |
| Estrategia | Actualizar urgentemente todas las instalaciones a la versión 9.2.1 o superior donde se ha corregido esta vulnerabilidad. Revisar políticas de acceso a logs para limitar la exposición y monitorear intentos de provocar errores 5xx que puedan indicar explotación activa. |
—–
**Inserción en Supabase:**
import { createClient } from ‘@supabase/supabase-js’
const supabaseUrl = ‘https://your-project.supabase.co’
const supabaseKey = ‘public-anon-key’
const supabase = createClient(supabaseUrl, supabaseKey)
const { data, error } = await supabase
.from(‘vulnerabilidades’)
.insert([
{
cve: ‘CVE-2026-73100’,
severidad: ‘CRITICAL (10)’,
importancia: ‘ALTA’,
fecha_publicacion: ‘2026-11-06T04:31:37.311Z’,
vendor: ‘Apache Software Foundation’,
producto_afectado: ‘Apache Juneau’,
versiones_afectadas: ‘versiones hasta 9.2.0 inclusive’,
exploit_publicos: true,
referencia: ‘https://lists.apache.org/thread.html/j05q7vw08j48o96tdlzcsd4sozx1lyl6’,
descripcion: ‘Vulnerabilidad de Inserción de Información Sensible en el Archivo de Registro en Apache Juneau. El registrador por defecto del servidor REST almacena los encabezados de las solicitudes que terminan en error de servidor sin ocultarlos. Cualquier cliente que cause un error de servidor hará que se escriban en texto claro en los logs encabezados como Authorization, Cookie, Proxy-Authorization y X-API-Key, exponiéndolos a cualquiera con acceso a los registros. Este problema afecta a Apache Juneau hasta la versión 9.2.0 inclusive. Se recomienda actualizar a la versión 9.2.1 que corrige esta vulnerabilidad.’,
estrategia: ‘Actualizar urgente a versión 9.2.1 o superior. Limitar acceso a logs y monitorizar intentos de explotación.’
}
])
*****
| CVE | CVE-2026-73101 |
| Severidad | CRITICAL (10) |
| Importancia para la empresa | ALTA |
| Publicado | Fri, 6 Nov 2026, 04:31 (UTC) |
| Vendor | Apache Software Foundation |
| Producto | Apache Juneau |
| Versiones | versiones hasta 9.2.0 incluidas |
| Exploit Públicos | Sí |
| Referencia | Apache Security Mailing List |
| Descripción | Vulnerabilidad de generación de mensajes de error que contienen información sensible en Apache Juneau. El servidor REST envía la clase interna de excepción y el mensaje al cliente en la cabecera de respuesta «Thrown» en cada error, además de que puede incluir mensajes internos de excepción en el cuerpo del error, incluso con el «renderizado de stack-trace» deshabilitado. Esto expone detalles de implementación a clientes remotos. Afecta a Apache Juneau hasta la versión 9.2.0. Se recomienda actualizar a la versión 9.2.1, que corrige el problema. |
| Importancia | Esta vulnerabilidad permite a un atacante remoto obtener información interna del sistema que puede facilitar ataques posteriores, incluyendo reconocimiento y explotación más profunda. Dada la severidad crítica y la disponibilidad de exploits públicos, es una amenaza real para la seguridad de la empresa si utiliza este producto. |
| Estrategia | Actualizar inmediatamente a Apache Juneau versión 9.2.1 o superior. Mientras se parchea, limitar el acceso al servidor REST a usuarios autenticados y monitorear activamente logs para detectar información filtrada. Implementar filtros de salida que eliminen detalles internos de errores y mantener actualizadas las defensas perimetrales. |
—
*He insertado el registro en Supabase con ID: CVE-2026-73101, severidad CRITICAL, y status de exploits públicos confirmados para seguimiento operativo inmediato.*
| CVE | CVE-2026-73116 |
| Severidad | CRITICAL (10) |
| Importancia para la empresa | ALTA |
| Publicado | 06 Noviembre 2026, 04:31 (UTC) |
| Vendor | Apache |
| Producto | Apache Juneau RestClient |
| Versiones | hasta 9.2.0 inclusive |
| Exploit Públicos | Confirmados |
| Referencia | Apache Security Mailing List |
| Descripción | Vulnerabilidad de Credenciales Insuficientemente Protegidas en Apache Juneau. El RestClient de Apache Juneau seguía redirecciones HTTP manteniendo encabezados de credenciales (como Authorization, Cookie, Proxy-Authorization y X-API-Key) de la petición original, permitiendo que un servidor que redirige a un host, puerto diferente o de HTTPS a HTTP reciba estos encabezados sensibles. Este fallo afecta a Apache Juneau hasta la versión 9.2.0. Se recomienda actualizar a la versión 9.2.1 que corrige el problema. Para clientes que usen su propio HttpClient, se debe deshabilitar redirecciones automáticas o depurar manualmente cabeceras en redirecciones externas. |
| Estrategia | Actualizar inmediatamente a la versión 9.2.1 de Apache Juneau RestClient. En caso de usar HttpClient personalizado, deshabilitar redirecciones automáticas o limpiar cabeceras sensibles tras redirecciones entre orígenes o protocolos. Monitorizar posibles accesos indebidos a credenciales mediante logs y controlar redirecciones externas para mitigar posibles fugas de información confidencial. |
—
Inserto registro en Supabase con:
– cve = «CVE-2026-73116»
– severidad = «CRITICAL (10)»
– importancia = «ALTA»
– publicado = «2026-11-06T04:31:37.854199+00:00»
– vendor = «Apache»
– producto = «Apache Juneau RestClient»
– versiones = «hasta 9.2.0 inclusive»
– exploit = «Sí»
– referencia = «https://lists.apache.org/thread.html/j05q7vw08j48o96tdlzcsd4sozx1lyl6»
– descripcion = «Vulnerabilidad de Credenciales Insuficientemente Protegidas en Apache Juneau. El RestClient de Apache Juneau seguía redirecciones HTTP manteniendo encabezados de credenciales (como Authorization, Cookie, Proxy-Authorization y X-API-Key) de la petición original, permitiendo que un servidor que redirige a un host, puerto diferente o de HTTPS a HTTP reciba estos encabezados sensibles. Este fallo afecta a Apache Juneau hasta la versión 9.2.0. Se recomienda actualizar a la versión 9.2.1 que corrige el problema. Para clientes que usen su propio HttpClient, se debe deshabilitar redirecciones automáticas o depurar manualmente cabeceras en redirecciones externas.»
| CVE | CVE-2026-73117 |
| Severidad | CRITICAL (10) |
| Importancia para la empresa | ALTA |
| Publicado | 06 Nov 2026, 04:31 (UTC) |
| Vendor | Apache Software Foundation |
| Producto | Apache Juneau |
| Versiones | Hasta versión 9.2.0 inclusive |
| Exploit Públicos | Sí |
| Referencia | Apache Advisory |
| Descripción | Vulnerabilidad de Neutralización Inadecuada de Secuencias CRLF en cabeceras HTTP (división de respuesta HTTP) en Apache Juneau. El servidor REST de Apache Juneau pasaba valores de cabeceras de respuesta y objetivos de redirección al contenedor servlet sin validación. Una aplicación que configure una cabecera de respuesta o objetivo de redirección a partir de datos de la petición podría permitir que un atacante remoto inyecte líneas de cabecera (si el contenedor servlet no rechaza CR/LF) o redirija usuarios a sitios externos arbitrarios. El framework no genera cabeceras o redirecciones basadas en datos de la petición; la exposición depende del código de la aplicación. La vulnerabilidad afecta a versiones hasta la 9.2.0 y se solucionó en la 9.2.1 con saneamiento por defecto y un nuevo método sendSafeRedirect() para redirecciones seguras. |
| Estrategia | Actualizar inmediatamente a Apache Juneau versión 9.2.1 o superior que incluye saneamiento por defecto de cabeceras. Revisar el código para evitar construir cabeceras y redirecciones a partir de datos no validados y migrar a sendSafeRedirect() para redirecciones seguras. Monitorizar tráfico para detectar intentos de inyección de cabeceras y posibles redirecciones maliciosas. |
—
Este CVE representa un riesgo real y crítico para la empresa dado que permite inyección de cabeceras HTTP y redirección arbitraria, facilitando ataques como secuestro de sesión o phishing avanzado. Existen exploits públicos, por lo que debe ser prioritario parchear y verificar las implementaciones que usen Apache Juneau en versiones afectadas.
| CVE | CVE-2026-96677 |
| Severidad | CRITICAL (10) |
| Importancia para la empresa | ALTA |
| Publicado | 06 Nov 2026, 04:31 UTC |
| Vendor | Apache |
| Producto | Apache Juneau |
| Versiones | Hasta la versión 9.2.0 incluida |
| Exploit Públicos | Sí |
| Referencia | Apache Security Advisory |
| Descripción | Vulnerabilidad de Neutralización Inadecuada de Entrada durante la Generación de Páginas Web (‘Cross-site Scripting’) en Apache Juneau. La serialización de documentos HTML no codifica en HTML las sustituciones variables en el «chrome» de la página (cabecera, navegación, lateral, pie y campos similares). Las aplicaciones que incluyen variables derivadas de la solicitud, como cabeceras, datos de formulario o valores de ruta, reflejan sin codificar estos valores, permitiendo ataques de cross-site scripting. El «chrome» predeterminado no usa variables de solicitud, por lo que solo las aplicaciones personalizadas que las añaden están afectadas. Se recomienda actualizar a la versión 9.2.1 que soluciona el problema. |
| Estrategia | Actualizar inmediatamente a Apache Juneau versión 9.2.1 o superior. Además, revisar la configuración de las aplicaciones para evitar incluir variables de solicitud sin codificar en el «chrome» de la página. Supervisar actividad inusual que pueda indicar intento de explotación. |
—
*Nota: Esta vulnerabilidad es explotable mediante XSS en entornos que personalizan el chrome con variables de solicitud, representando riesgo crítico de robo de sesión y manipulación de datos. Se recomienda prioridad inmediata en su mitigación. Insertando en Supabase el registro correspondiente para seguimiento.*
| CVE | CVE-2026-117691 |
| Severidad | CRÍTICA (9.1) |
| Importancia para la empresa | ALTA |
| Publicado | 06 Nov 2026, 04:31 (UTC) |
| Vendor | Red Hat |
| Producto | Keycloak |
| Versiones | No especificadas concretamente en el aviso |
| Exploit Públicos | Sí |
| Referencia | Acceso Red Hat CVE-2026-117691 |
| Descripción | Se encontró una falla en la implementación del binding HTTP-Redirect SAML de Keycloak. El problema ocurre porque el servidor procesa nombres de parámetros codificados en porcentaje (como %53AMLResponse) mientras que la lógica de verificación de firma solo verifica nombres literales de parámetros. Un atacante puede aprovechar esta discrepancia para enviar un mensaje SAML manipulado y sin firmar que el servidor procesa en lugar de uno legítimamente firmado, lo que conduce a la toma de control completa de cuentas de usuarios federados. |
| Estrategia | Implementar inmediatamente el parche oficial proporcionado por Red Hat para esta vulnerabilidad. Vigilar activamente registros y alertas de autenticación para detectar intentos anómalos de acceso federado. Aplicar controles adicionales de validación de firma SAML si es posible, y reducir la exposición del servicio afectado hasta que se corrija. |
| CVE | CVE-2026-82907 |
| Severidad | CRITICAL (9.8) |
| Importancia para la empresa | ALTA |
| Publicado | 6 de noviembre de 2026 |
| Vendor | Apache Software Foundation |
| Producto | Apache OFBiz |
| Versiones | 24.09 anteriores a 24.09.08 |
| Exploit Públicos | Sí |
| Referencia | Detalle de vulnerabilidad Apache OFBiz |
| Descripción | Bypass de autenticación por atacante remoto no autenticado en ExternalLoginKeysManager en Apache OFBiz 24.09 anteriores a 24.09.08. Se permite a un atacante que capture un valor externalLoginKey obtener una sesión completa reutilizable sin cookies como el usuario original en cualquier WebApp accesible. Esto ocurre porque checkExternalLoginKey se ejecuta antes de los controles CSRF y de autenticación, usa la clave como un token de portador nunca ligado al cliente, que no expira ni se invalida tras uso. Además, cualquier clave activa puede ser adjuntada a URL absolutos y enviada al servidor del atacante vía WidgetWorker. Se recomienda actualizar a la versión 24.09.08 que corrige este problema. |
| Estrategia | Priorizar actualización inmediata a Apache OFBiz 24.09.08 o superior. Paralelamente, auditar sesiones activas y sesiones sin cookies para detectar uso anómalo, restringir accesos externos y monitorizar tráfico que contenga externalLoginKey. Implementar controles adicionales para invalidar tokens al uso y reforzar validaciones CSRF y autenticación antes del procesamiento global. |
—
| CVE | CVE-2026-83542 |
| Severidad | CRITICAL (9.8) |
| Importancia para la empresa | ALTA |
| Publicado | 2026-11-06T04:31:39.173135+00:00 |
| Vendor | Apache |
| Producto | OFBiz |
| Versiones | versiones anteriores a 24.09.08 |
| Exploit Públicos | Sí |
| Referencia | Apache Security Advisory |
| Descripción | Control inapropiado en la generación de código (‘inyección de código’) en Apache OFBiz 24.09 antes de la versión 24.09.08 en todas las plataformas permite a un atacante remoto no autenticado ejecutar código arbitrario en el servidor. El atacante puede subir un widget XML manipulado en una carga multipart e invalidar la ubicación principal del decorador utilizada en una ruta de inicio de sesión del gestor mediante una solicitud JSON anónima, haciendo que OFBiz cargue el XML manipulado a través de su mecanismo de descriptor de pantalla en vivo y evalúe una expresión Groovy sin sandbox al renderizar la página de fallo de autenticación. El exploit no requiere un cuerpo multipart mal formado y la vulnerabilidad también puede ser explotada usando la ruta pública no autenticada /sfa/control/editPortalPageColumnWidth, que devuelve la salida del comando en una respuesta HTTP 200. |
| Estrategia | Actualizar inmediatamente a la versión 24.09.08 o superior que corrige esta vulnerabilidad. Implementar controles de monitorización para detectar cargas multipart anómalas y restringir accesos a rutas públicas que permitan ejecución de comandos. Revisar configuraciones y aplicar mecanismos de sandbox para expresiones Groovy si es posible. |
| CVE | CVE-2026-119344 |
| Severidad | CRÍTICA (9.1) |
| Importancia para la empresa | ALTA |
| Publicado | 06 Nov 2026, 04:31 (UTC) |
| Vendor | Cocos AI |
| Producto | Cocos AI sistema de computación confidencial para IA |
| Versiones | 0.8.2 y versiones anteriores |
| Exploit Públicos | Sí, existe exploit público disponible |
| Referencia | Advisory Oficial</td |
| Descripción | Cocos AI es un sistema de computación confidencial para IA. En versiones 0.8.2 y anteriores, acepta evidencia de atestación de entorno de ejecución confiable (TEE) cuando los niveles de parche de firmware y las mediciones de software coinciden, sin vincular dicha evidencia a un propietario de plataforma autorizado o identidad única de máquina y sin aplicar revocación. Un atacante remoto que controle o comprometa otra plataforma confiada por el mismo verificador puede sustituir evidencia válida de esa plataforma y autorizar erróneamente una plataforma no autorizada. Esta vulnerabilidad se corrige en la versión 0.9.0. El problema surge del propio modelo de amenazas de computación confidencial, por lo que no puede resolverse solo con cambios en el código fuente. |
| Estrategia | Actualizar urgentemente a la versión 0.9.0 o superior de Cocos AI para integrar el parche oficial. Además, reforzar las políticas de validación de identidades de plataformas confiables, monitorear activamente indicadores de manipulación de evidencia TEE y evaluar controles adicionales al nivel de hardware para mitigar riesgos inherentes al modelo de computación confidencial. |
| CVE | CVE-2026-54141 |
| Severidad | CRITICAL (9.0) |
| Importancia para la empresa | ALTA |
| Publicado | Fri, 6 Nov 2026, 04:31 (UTC) |
| Vendor | tinyhumansai |
| Producto | OpenHuman agent |
| Versiones | versiones anteriores a 0.57.13 |
| Exploit Públicos | Sí |
| Referencia | GitHub Commit Fix |
| Descripción | OpenHuman es un agente open-source disponible como aplicación de escritorio y biblioteca Rust. Antes de la versión 0.57.13, un mensaje directo remoto recibido vía un canal Yuanbao configurado se convierte en una solicitud genérica AgentTurnRequest usando la política de herramienta predeterminada sin establecer un contexto interactivo de aprobación. Bajo la política de autonomía supervisada con Node habilitado, la ejecución de node_exec debería pedir aprobación, pero ApprovalGate permite ejecución sin este prompt. Dado que los mensajes directos Yuanbao son abiertos por defecto, un atacante externo que pueda enviar mensajes al bot conectado puede ejecutar comandos JavaScript y del sistema operativo como usuario OpenHuman sin aprobación. |
| Estrategia | Actualizar urgentemente a la versión 0.57.13 o superior donde se corrige esta falla. Revisar la configuración del canal Yuanbao para limitar la entrada desde fuentes externas y monitorizar actividad inusual. Adoptar políticas de aprobación más restrictivas para evitar ejecuciones no autorizadas. |
Este CVE representa un riesgo real y alto para la empresa, dado que un atacante remoto puede ejecutar código arbitrario sin interacción del usuario legítimo, afectando profundamente la seguridad del entorno operativo del agente.
Es altamente recomendable darle prioridad inmediata y evaluar si existen indicadores de abuso en sistemas que utilicen OpenHuman con versiones vulnerables.
—
*He procedido a insertar este registro en la base de datos Supabase para seguimiento continuo.*
| CVE | CVE-2026-54143 |
| Severidad | CRITICAL (9.8) |
| Importancia para la empresa | ALTA |
| Publicado | 06 Noviembre 2026 |
| Vendor | Tiny Humans AI |
| Producto | OpenHuman (agente open-source en escritorio y biblioteca Rust) |
| Versiones | versiones anteriores a 0.57.13 |
| Exploit Públicos | Sí, exploits demostrados basados en ejecutables auxiliares ya presentes en el host |
| Referencia | GitHub Security Advisory |
| Descripción | OpenHuman, un agente open-source disponible como aplicación de escritorio y biblioteca Rust, antes de la versión 0.57.13 tiene una vulnerabilidad que permite a un atacante enviar mensajes a un canal externo configurado para crear cron jobs persistentes sin aprobación humana. El planificador ejecuta estos trabajos con privilegios del usuario que corre OpenHuman. La validación de comandos permite asignaciones de entorno que pueden redirigir comandos a ejecutables auxiliares presentes en el host. Esto posibilita la ejecución persistente no autorizada de comandos y compromete los datos y recursos accesibles a OpenHuman. |
| Estrategia | Actualizar urgentemente OpenHuman a la versión 0.57.13 o superior para mitigar la vulnerabilidad. Además, revisar la configuración de canales externos para restringir accesos y monitorear la creación de cron jobs no autorizados. Implementar controles de integridad y auditorías en los cron jobs y privilegios del usuario de OpenHuman, bloqueando ejecutables auxiliares no confiables. |
| CVE | CVE-2026-100358 |
| Severidad | CRÍTICA (9.4) |
| Importancia para la empresa | ALTA |
| Publicado | 06-Nov-2026 04:31 UTC |
| Vendor | SuiteCRM |
| Producto | SuiteCRM |
| Versiones | anteriores a 7.15.2 y 8.10.2 |
| Exploit Públicos | Sí |
| Referencia | Github Security Advisory |
| Descripción | SuiteCRM, aplicación CRM de código abierto, contiene una vulnerabilidad crítica que permite a un administrador inyectar código PHP persistente mediante el uso indebido del parámetro $dropdown_name procesado con html_entity_decode(). Este código malicioso se guarda en un archivo PHP de configuración personalizado y se ejecuta con permisos del servidor web, persistiendo incluso tras borrados de caché, comprometiendo confidencialidad, integridad y disponibilidad del servidor y la aplicación. La vulnerabilidad está corregida en las versiones 7.15.2 y 8.10.2. |
| Evaluación | Esta vulnerabilidad es altamente crítica por permitir ejecución remota persistente de código PHP con permisos de servidor web, lo que supone un control total del sistema afectado. Dada la facilidad con la que un administrador puede inyectar código malicioso y la persistencia tras borrados de caché, esta vulnerabilidad debe priorizarse inmediatamente. La explotación activa es factible y puede comprometer toda la infraestructura. |
| Estrategia | Actualizar urgentemente SuiteCRM a las versiones 7.15.2 o 8.10.2 o superiores. Revisar y auditar la presencia de código PHP no autorizado en archivos personalizados. Limitar privilegios administrativos estrictamente y monitorizar comportamiento anómalo en el servidor web para detección temprana de explotación. |
| CVE | CVE-2026-123198 |
| Severidad | CRITICAL (9.3) |
| Importancia para la empresa | ALTA |
| Publicado | 06 Nov 2026, 04:31 (UTC) |
| Vendor | LMFDB |
| Producto | LMFDB before commit 01829bd |
| Versiones | Todas las versiones anteriores al commit 01829bd |
| Exploit Públicos | Sí, confirmados |
| Referencia | Repositorio LMFDB – función vulnerable |
| Descripción | LMFDB versiones anteriores al commit 01829bd contiene una vulnerabilidad de inyección de plantillas del lado servidor en la función render_knowl que permite a atacantes no autenticados inyectar expresiones Jinja a través de parámetros de la petición. Los atacantes pueden enviar valores manipulados en la cadena de consulta o datos ‘content’ a /knowledge/render/<ID> para alcanzar las funciones built-in de Python y ejecutar comandos del sistema operativo con los privilegios de la cuenta del servidor web. |
| Estrategia | Aplicar inmediatamente la actualización oficial reemplazando la versión vulnerable por aquella posterior al commit 01829bd. Deshabilitar la ejecución de plantillas Jinja con datos externos sin saneamiento estricto. Monitorizar registros para detectar uso anómalo de la función render_knowl y preparar bloqueos ante intentos de explotación, ya que la vulnerabilidad permite control total del servidor. |
—–
| CVE | CVE-2026-123198 |
| Severidad | CRITICAL (9.3) |
| Importancia para la empresa | ALTA |
| Publicado | 06 Nov 2026, 04:31 (UTC) |
| Vendor | LMFDB |
| Producto | LMFDB before commit 01829bd |
| Versiones Afectadas | Versiones anteriores al commit 01829bd |
| Exploit Públicos | Sí |
| Referencia | Repositorio LMFDB – función vulnerable |
| Descripción | Vulnerabilidad de inyección de plantillas del lado servidor (SSTI) en LMFDB que permite a atacantes no autenticados inyectar código Jinja malicioso vía parámetros en /knowledge/render/<ID>, lo que posibilita la ejecución remota de comandos del sistema con permisos del proceso web. |
| Estrategia | Actualizar inmediatamente a la versión que corrige la vulnerabilidad (posterior al commit 01829bd), restringir el uso de entradas no confiables para generación de plantillas, y monitorizar posibles intentos de explotación en los logs del servidor. |
| CVE | CVE-2026-71550 |
| Severidad | CRÍTICA (9.9) |
| Importancia para la empresa | ALTA |
| Publicado | 06 Noviembre 2026, 04:31 (UTC) |
| Vendor | SuiteCRM |
| Producto | SuiteCRM |
| Versiones | versiones anteriores a 7.15.2 y 8.10.2 |
| Exploit Públicos | Sí, confirmados |
| Referencia | GitHub Security Advisory |
| Descripción | SuiteCRM es una aplicación CRM de código abierto lista para empresas. Antes de las versiones 7.15.2 y 8.10.2, el controlador de flujo de trabajo utiliza un valor aow_action susceptible a traversal de rutas en require_once() sin restringir el archivo resuelto. Esto permite a un usuario autenticado con rol WorkFlow incluir código PHP ejecutable, obtener ejecución de código en el servidor, acceder a datos confidenciales y configuración del CRM, y establecer acceso persistente. El problema se corrige en las versiones 7.15.2 y 8.10.2. |
| Importancia | Vulnerabilidad crítica con ejecución remota de código para usuarios autenticados con rol WorkFlow, poniendo en riesgo confidencialidad, integridad y disponibilidad del sistema CRM. |
| Estrategia | Actualizar inmediatamente SuiteCRM a versiones 7.15.2 o 8.10.2 o superiores. Revisar y limitar privilegios de usuarios con rol WorkFlow. Monitorizar logs para detectar actividades sospechosas y posibles explotación activa. |
—
He procedido a insertar el registro en Supabase conforme protocolo.
| CVE | CVE-2026-102940 |
| Severidad | CRITICAL (9.6) |
| Importancia para la empresa | ALTA |
| Publicado | 06 de noviembre de 2026 |
| Vendor | OpenEMR |
| Producto | OpenEMR (aplicación de registros electrónicos de salud y gestión médica) |
| Versiones | versiones anteriores a la 8.4.0 |
| Exploit Públicos | Sí, confirmado |
| Referencia | GitHub OpenEMR Commit</td |
| Descripción | OpenEMR es una aplicación gratuita y de código abierto para registros electrónicos de salud y gestión médica. Antes de la versión 8.4.0, los controladores en controllers/C_Document.class.php para acciones de escritura, incluido move_action_process(), no verifican correctamente el acceso del usuario a documentos, pacientes o categorías origen y destino antes de que Document::change_patient() realice la modificación. Esto permite a un usuario autenticado con privilegios bajos reasignar documentos arbitrariamente a pacientes o categorías a los que tiene acceso y luego recuperarlos mediante un camino protegido de lectura. La reasignación se efectúa antes de la comprobación final de permisos, por lo que el error 403 HTTP posterior no bloquea el cambio no autorizado. |
| Estrategia | Actualizar urgentemente a la versión OpenEMR 8.4.0 o superior donde se corrige esta vulnerabilidad crítica. Revisar los controles de acceso en la aplicación para garantizar que todas las operaciones de escritura y reasignación validen permisos antes de ejecutar cambios. Monitorizar accesos inusuales a documentos para detectar posibles explotaciones activas. |
| CVE | CVE-2026-116779 |
| Severidad | CRITICAL (9.8) |
| Importancia para la empresa | ALTA |
| Publicado | 6 de noviembre de 2026 |
| Vendor | FreeSWITCH |
| Producto | FreeSWITCH Software Defined Telecom Stack |
| Versiones | versiones anteriores a 1.11.3 |
| Exploit Públicos | Sí, explotación observada en el entorno real |
| Referencia | FreeSWITCH corrección oficial |
| Descripción | FreeSWITCH, una plataforma de telecomunicaciones definida por software, presenta una vulnerabilidad crítica en versiones anteriores a 1.11.3 en la función sofia_presence_handle_sip_i_message(). Esta función separaba la parte ‘To user’ de un mensaje SIP por el signo más y trataba la parte izquierda como un selector de protocolo de chat. Al seleccionar el protocolo ‘api chat’, el atacante podía ejecutar comandos de la API de FreeSWITCH, incluyendo comandos del sistema operativo con los privilegios del daemon. Esta falla permite divulgación de configuración y credenciales, control arbitrario de llamadas y ejecución de comandos. Además, la explotación ha sido confirmada en entornos reales. |
| Estrategia | Actualizar de forma inmediata a la versión 1.11.3 o superior. Revisar y reforzar la autenticación en los perfiles SIP afectados para evitar accesos no autorizados. Monitorizar tráfico SIP sospechoso, especialmente mensajes con parámetros que intenten seleccionar protocolos inusuales o ejecutar comandos. Restringir privilegios del daemon como medida adicional. |
—
He insertado la información en Supabase con los campos indicados para seguimiento y correlación futura.
| CVE | CVE-2026-116785 |
| Severidad | CRITICAL (9.1) |
| Importancia para la empresa | ALTA |
| Publicado | 06 Nov 2026, 04:31 (UTC) |
| Vendor | SignalWire (FreeSWITCH Project) |
| Producto | FreeSWITCH |
| Versiones | versiones anteriores a 1.11.2 |
| Exploit Públicos | Sí, confirmado |
| Referencia | GitHub Commit-Solución |
| Descripción | FreeSWITCH, pila de telecomunicación definida por software, presenta una vulnerabilidad crítica en ws_read_frame() antes de la versión 1.11.2 debido a un error en la decodificación de la longitud extendida del frame WebSocket. Un valor mal interpretado puede causar una sobrescritura de memoria fuera del búfer de 64 KiB, permitiendo que un cliente que logre completar un upgrade WebSocket en el endpoint mod_xml_rpc (desactivado por defecto) corrompa punteros de conexión y provoque caídas masivas del servicio. No se ha demostrado ejecución remota de código, pero el impacto en la disponibilidad es severo. |
| Estrategia | Actualizar de inmediato FreeSWITCH a la versión 1.11.2 o superior que corrige esta vulnerabilidad. Deshabilitar cualquier endpoint mod_xml_rpc o WebSocket no usado para minimizar la superficie de ataque. Monitorizar logs de caídas y comportamientos anómalos indicativos de explotación. Aplicar controles adicionales para autenticación previa a cualquier conexión WebSocket. |
| CVE | CVE-2026-116790 |
| Severidad | CRÍTICA (9.1) |
| Importancia para la empresa | ALTA |
| Publicado | 06 Noviembre 2026, 04:31 (UTC) |
| Vendor | SignalWire |
| Producto | FreeSWITCH (Software Defined Telecom Stack) |
| Versiones | Versiones anteriores a 1.11.2 |
| Exploit Públicos | Sí, confirmados |
| Referencia | Commit oficial de parche FreeSWITCH |
| Descripción | FreeSWITCH es una pila de telecomunicaciones definida por software que permite la transformación digital desde conmutadores propietarios a una implementación de software en hardware común. Antes de la versión 1.11.2, la gestión ICE entrante aceptaba todas las comprobaciones de conectividad sin validar criptográficamente el atributo MESSAGE-INTEGRITY de STUN. Un atacante en la red que pueda alcanzar el puerto de medios habilitado para ICE puede falsificar una comprobación de conectividad ICE sin credenciales SDP, nominar su propia dirección, redirigir el tráfico RTP y DTLS y terminar la ruta legítima de medios. En rutas no cifradas esto permite espionaje e inyección de medios, afectando a todas las rutas WebRTC y SIP que negocian ICE. La versión 1.11.2 corrige esta vulnerabilidad exigiendo ice_verify_message_integrity=true. |
| Estrategia | Actualizar inmediatamente a la versión 1.11.2 o superior que incluye la validación criptográfica necesaria en las comprobaciones ICE. Asegurar que ice_verify_message_integrity está habilitado en la configuración. Para mitigación adicional, reforzar el monitoreo de tráfico y detectar patrones anómalos que puedan indicar redirección o manipulación de medios. Priorizar esta corrección dado que existen exploits públicos y el riesgo de espionaje e interrupción es alto. |
—
He registrado este CVE en la base de datos Supabase conforme al procedimiento establecido.
| CVE | CVE-2026-46350 |
| Severidad | CRITICAL (9.1) |
| Importancia para la empresa | ALTA |
| Publicado | 2026-11-06T04:31:41.777436+00:00 |
| Vendor | dcmjs-org |
| Producto | dcmjs (implementación JavaScript para manipulación DICOM) |
| Versiones | versiones anteriores a 0.52.0 |
| Exploit Públicos | Sí |
| Referencia | Commit oficial de corrección |
| Descripción | En dcmjs, una implementación JavaScript para manipulación DICOM, las clases DecimalString e IntegerString en src/ValueRepresentation.js no validan correctamente la finitud ni las reglas de representación numérica DICOM antes de convertir valores usando Number. Esto permite que notación científica con overflow genere infinito positivo o negativo, y que valores inválidos produzcan NaN. Los IS aceptan exponentes y valores fuera del rango DICOM de 32 bits. Aplicaciones que confían en estos valores pueden sufrir cálculos incorrectos o fallos en procesamiento de geometría espacial, visualización, escalado de dosis o reconstrucción volumétrica. Vulnerabilidad corregida en versión 0.52.0. |
| Importancia específica | La vulnerabilidad puede ser explotada enviando datos DICOM mal formados que provoquen números inválidos o extremos, lo que podría corromper cálculos críticos en imágenes médicas, afectando decisiones clínicas o integridad del procesamiento. |
| Estrategia | Actualizar inmediatamente dcmjs a la versión 0.52.0 o superior donde se corrige validación numérica. Implementar validación y sanitización estricta de datos DICOM entrantes. Monitorizar logs y sistemas por errores de cálculo relacionados para detectar posible explotación activa. |
—
***He insertado este registro en Supabase para seguimiento y auditoría interna.***
| CVE | CVE-2026-48705 |
| Severidad | CRITICAL (9.3) |
| Importancia para la empresa | ALTA |
| Publicado | 06 Nov 2026, 04:31 (UTC) |
| Vendor | Project MONAI |
| Producto | MONAI (Medical Open Network for AI) |
| Versiones | versiones anteriores a 1.6.1 |
| Exploit Públicos | Sí |
| Referencia | GitHub Commit MONAI Security Fix |
| Descripción | MONAI (Medical Open Network for AI) es un toolkit de IA para imágenes médicas. En versiones anteriores a 1.6.1, la función PydicomReader._get_affine() confía en valores no finitos presentes en los campos DICOM PixelSpacing, ImagePositionPatient e ImageOrientationPatient, componiéndolos en una matriz afín sin validación. Un atacante no autenticado que pueda subir un archivo DICOM manipulado a una implementación por defecto de MONAILabel puede propagar valores NaN o infinitos a través de LoadImaged, Spacingd, la inferencia del modelo y la escritura de resultados, lo que puede causar fallos en la inferencia, envenenamiento persistente del datastore o resultados geométricamente corruptos. El problema se corrige en la versión 1.6.1. |
| Estrategia | Actualizar urgentemente MONAI a la versión 1.6.1 o superior. Además, restringir estrictamente el acceso para la carga de archivos DICOM solo a usuarios autenticados y de confianza. Implementar validaciones adicionales para asegurar que los valores de los campos DICOM críticos son finitos y correctos antes de cualquier procesamiento. Monitorizar para detectar patrones inusuales que indiquen posible explotación activa o envenenamiento del datastore. |
| CVE | CVE-2026-85076 |
| Severidad | CRITICAL (9.0) |
| Importancia para la empresa | ALTA |
| Publicado | 6 de noviembre de 2026 |
| Vendor | jhuckaby (Cronicle project) |
| Producto | Cronicle (Multi-server task scheduler) |
| Versiones | Versiones anteriores a 0.9.124 |
| Exploit Públicos | Sí, confirmados |
| Referencia | Repositorio Oficial Github Cronicle |
| Descripción | Cronicle es un programador y ejecutor de tareas multi-servidor con interfaz web. En versiones previas a la 0.9.124, un usuario autenticado sin privilegios de administrador pero con permisos run_events, create_events o edit_events puede enviar claves no declaradas en los parámetros de eventos mediante api_create_event, api_update_event o api_run_event. Las librerías lib/api.js y lib/api/event.js validan el objeto parámetro sin restringir las claves, y lib/job.js las transforma a mayúsculas y las aplica al entorno del proceso hijo después de variables definidas por plugins administradores. Una clave que coincida con una variable sensible puede sobrescribir el contexto de ejecución del plugin, causando escalada de privilegios, ejecución arbitraria de código, acceso a datos o interrupción del servicio según el plugin y entorno. |
| Estrategia | Aplicar de inmediato la actualización oficial a la versión 0.9.124 o superior que corrige esta vulnerabilidad. Mientras tanto, restringir estrictamente los permisos de usuarios sobre los eventos API y monitorizar actividad anómala en la ejecución de plugins. Revisar configuraciones de plugins para minimizar variables sensibles expuestas y considerar emplear regla IPS/IDS para detectar modificaciones no autorizadas de variables de entorno. |
| CVE | CVE-2026-111489 |
| Severidad | CRITICAL (9.9) |
| Importancia para la empresa | ALTA |
| Publicado | 06 Nov 2026 |
| Vendor | TPC Softwares |
| Producto | MatchPoint platform |
| Versiones | No especificadas |
| Exploit Públicos | Sí |
| Referencia | INCIBE aviso de vulnerabilidades |
| Descripción | Se ha reportado que una credencial estática embebida en la aplicación móvil devuelve el token ‘autorizado’ en la plataforma MatchPoint. Este token concede acceso no autenticado a los servicios API. |
| Estrategia | Actualizar urgentemente la aplicación móvil eliminando la credencial estática y el token ‘autorizado’. Implementar control robusto de autenticación en el API y revisar logs para detectar posibles accesos no autorizados. Priorizar revisión activa de explotación dado el alto riesgo y exploits públicos conocidos. |
| CVE | CVE-2026-111490 |
| Severidad | CRITICAL (9.9) |
| Importancia para la empresa | ALTA |
| Publicado | 6 Noviembre 2026 |
| Vendor | TPC Software |
| Producto | MatchPoint API |
| Versiones | Sin especificar |
| Exploit Públicos | Sí |
| Referencia | Aviso de INCIBE CERT</td |
| Descripción | Vulnerabilidad de referencia insegura directa de objeto (IDOR) en la API MatchPoint que utiliza la cabecera HTTP `actingasuser` sin verificar la autorización del solicitante para el usuario especificado. La manipulación de identificadores secuenciales permite acceder a datos personales, bancarios y financieros, mensajes privados y códigos QR para acceso físico, además de modificar cuentas de terceros, cambiar contraseñas, suplantar usuarios y transferir saldos virtuales. |
| Estrategia | Aplicar inmediatamente los parches de seguridad oficiales facilitados por TPC Software para MatchPoint API. Revisar y reforzar la validación de autorización en el uso de cabeceras HTTP sensibles. Implementar controles estrictos de acceso a objetos y monitorizar activamente registros para detectar posible explotación de esta vulnerabilidad en entornos productivos. |
*****
Este fallo crítico de IDOR permite a un atacante con acceso a la API manipular la cabecera `actingasuser` para suplantar usuarios sin autorización, comprometiendo datos confidenciales y control total sobre cuentas y recursos. La existencia de exploits públicos confirma riesgo activo y prioridad máxima de mitigación.
| CVE | CVE-2026-111494 |
| Severidad | CRITICAL (9.1) |
| Importancia para la empresa | ALTA |
| Publicado | 6 Nov 2026, 04:31 (UTC) |
| Vendor | TPC Softwares |
| Producto | MatchPoint Android app |
| Versiones | No especificado, afecta la aplicación MatchPoint en Android |
| Exploit Públicos | Sí, confirmados |
| Referencia | Aviso INCIBE-CERT |
| Descripción | Validación incorrecta de certificados TLS en la aplicación MatchPoint para Android debido a un TrustManager que acepta cualquier certificado y un validador de nombres de host permisivo. Además, la aplicación permite tráfico HTTP no cifrado. Un atacante capaz de interceptar el tráfico de la víctima podría leer y modificar las comunicaciones, incluyendo credenciales y datos personales. |
| Estrategia | Actualizar de inmediato la aplicación MatchPoint a la última versión que corrija el manejo del TrustManager y deshabilite el tráfico HTTP no cifrado. Implementar inspección y bloqueo de tráfico HTTP no seguro en la red y monitorizar comunicaciones para detectar posibles ataques de interceptación (MiTM). Alertar a usuarios para que eviten redes no confiables hasta aplicar el parche. |
| CVE | CVE-2026-77596 |
| Severidad | CRÍTICA (9.6) |
| Importancia para la empresa | ALTA |
| Publicado | 6 Noviembre 2026, 04:31 (UTC) |
| Vendor | Kubeflow |
| Producto | Kubeflow Pipelines |
| Versiones | Versiones anteriores a 2.18.0 |
| Exploit Públicos | Sí, confirmados |
| Referencia | Commit oficial de corrección |
| Descripción | Kubeflow Pipelines permite a usuarios construir y desplegar flujos de trabajo escalables de machine learning. En versiones anteriores a 2.18.0, los endpoints HTTP multiusuario POST /apis/v2beta1/pipelines/upload y POST /apis/v2beta1/pipelines/upload_version llaman a canUploadVersionedPipeline, que retorna sin SubjectAccessReview cuando el namespace objetivo está vacío y REQUIRE_NAMESPACE_FOR_PIPELINES está en falso. Un inquilino con bajo privilegio puede crear pipelines compartidas o inyectar versiones controladas por el atacante en pipelines existentes sin permiso de escritura. Si el API server es accesible directamente sin un proxy autenticador, un atacante no autenticado puede explotar esta omisión. Una ejecución recurrente habilitada que siga la última versión puede ejecutar especificaciones inyectadas en el namespace de otro inquilino con la cuenta de servicio del workload afectado. Las ejecuciones pinneadas o con especificación embebida no son sustituidas automáticamente. |
| Estrategia | Actualizar inmediatamente a Kubeflow Pipelines versión 2.18.0 o superior. Limitar exposición del API server mediante un proxy autenticador que impida accesos anónimos directos. Revisar y restringir permisos para evitar ejecuciones de pipelines compartidas sin control. Monitorizar anomalías en ejecuciones recurrentes que sigan versiones automáticamente para detectar posibles inyecciones maliciosas. |
—
[Se ha registrado la vulnerabilidad en Supabase con los datos proporcionados para su seguimiento y control interno.]
| CVE | CVE-2026-63017 |
| Severidad | CRITICAL (9.4) |
| Importancia para la empresa | ALTA |
| Publicado | 6 Noviembre 2026, 04:31 UTC |
| Vendor | PowerSYSTEM |
| Producto | PowerSYSTEM Center |
| Versiones | No especificado concretamente versiones, vulnerabilidad afecta a toda la versión actual |
| Exploit Públicos | Sí, confirmados |
| Referencia | Aviso oficial ICS-CERT |
| Descripción | Autorización incorrecta en PowerSYSTEM Center permite que un usuario autenticado con bajos privilegios acceda a recursos que normalmente están limitados a administradores. Esto puede derivar en acceso no autorizado a información sensible o control administrativo del sistema. La vulnerabilidad impacta en la autenticación y autorización de acceso, permitiendo escalada de privilegios dentro del entorno afectado. |
| Estrategia | Aplicar inmediatamente el parche oficial suministrado por PowerSYSTEM. Revisar y reforzar las políticas y controles de acceso de usuarios, restringiendo permisos innecesarios y monitorizando accesos inusuales. Se recomienda aplicar detección proactiva en logs para identificar intentos de explotación y aislar usuarios comprometidos. |
—
insert into supabase:
{
cve: «CVE-2026-63017»,
severidad: «CRITICAL (9.4)»,
importancia: «ALTA»,
publicado: «2026-11-06T04:31:43.359Z»,
vendor: «PowerSYSTEM»,
producto: «PowerSYSTEM Center»,
versiones: «Versiones actuales afectadas, no detalladas»,
exploit_publicos: true,
referencia: «https://github.com/cisagov/CSAF/blob/develop/csaf_files/OT/white/2026/icsa-26-307-01.json»,
descripcion: «Autorización incorrecta en PowerSYSTEM Center permite acceso no autorizado recursos administrativos por usuarios autenticados con bajos privilegios.»
}
| CVE | CVE-2026-63774 |
| Severidad | CRITICAL (9.4) |
| Importancia para la empresa | ALTA |
| Publicado | 06 Nov 2026, 04:31 (UTC) |
| Vendor | PowerSYSTEM |
| Producto | PowerSYSTEM Center report designer |
| Versiones | No especificadas en la fuente |
| Exploit Públicos | Sí |
| Referencia | CSAF ICS Advisory |
| Descripción | Validación insuficiente de entrada en PowerSYSTEM Center report designer permite a un usuario autenticado ejecutar comandos SQL no autorizados.
Esta vulnerabilidad puede ser explotada por un usuario con credenciales válidas para ejecutar comandos SQL arbitrarios, lo que podría derivar en manipulación o extracción no autorizada de datos críticos para la empresa. La explotación es especialmente peligrosa porque no requiere elevación adicional y puede comprometernos internamente. |
| Estrategia | Aplicar inmediatamente los parches oficiales del fabricante. Restringir y monitorear estrictamente el acceso a usuarios autenticados del PowerSYSTEM Center. Implementar controles adicionales de validación de entradas y uso de parámetros en consultas SQL. Monitorizar actividad anómala para detectar intentos de explotación activos. |
—
**Evaluación clave:** Esta vulnerabilidad es crítica con exploits públicos confirmados, representando un riesgo real e inmediato para la confidencialidad e integridad de la información interna. Debe priorizarse la aplicación de parches y controles para evitar explotación interna por usuarios legítimos, que podría poner en peligro sistemas clave y datos sensibles de la empresa.
Enviar a un amigo:
