| CVE | Vendor | Producto | Severidad | VAfectadas | Exploit |
|---|---|---|---|---|---|
| CVE-2026-118330 | Chromium Browser | ALTA | Versiones afectadas no especificadas, recomendada actualización inmediata | Sí | |
| CVE-2026-118331 | Chromium Project | Chromium (navegador web) | ALTA | Versiones vulnerables actuales no especificadas; afecta FileAPI en Chromium | Sí |
| CVE-2026-118332 | Chromium Project | Chromium | Alta (basado en el impacto descrito) | Versiones afectadas no especificadas concretamente, aplicar a todas las vulnerables antes del parche | Sí |
| CVE-2026-118333 | Chromium Project (Google) | Chromium Browser | ALTA (no asignada CVSS exacto, acceso no autorizado) | Versiones afectadas sin especificar, se recomienda actualizar a la última disponible | Sí |
| CVE-2026-118334 | Chromium Project | Chromium (Navegador web) | Crítica (sin puntuación numérica exacta disponible) | Versiones afectadas no especificadas, se recomienda asumir versiones actuales anteriores a la corrección oficial. | Sí |
| CVE-2026-118335 | Chromium Project | Chromium (motor de navegador web) | Alta (No se especifica puntuación CVSS exacta) | Versiones afectadas no especificadas, validar última versión afectada en | Sí |
| CVE-2026-118336 | Chromium Project | Chromium (Headless) | ALTA | Versiones afectadas no especificadas detalladamente | Sí |
| CVE-2026-118337 | Chromium Project | Chromium Browser | Alta (no especificado numérico, basado en explotación activa) | Versiones afectadas no especificadas, pero se recomienda actualizar a la última versión estable | Sí |
| CVE-2026-118338 | Chromium Project | Chromium Browser | ALTA | Versiones afectadas no especificadas explícitamente, vulnerabilidad en módulo Animation | Sí |
| CVE-2026-118339 | The Chromium Project | Chromium (navegador web) | Alta (sin puntaje CVSS disponible, ejecución remota de código) | Versiones afectadas no especificadas; se recomienda actualizar a la última versión disponible | Sí |
| CVE-2026-118340 | Chromium Project | Chromium (Skia) | ALTA | Versiones que incluyen la biblioteca Skia vulnerables (no especificado en detalle) | Sí |
| CVE-2026-118341 | Chromium | ALTA (no especificado CVSS exacto, pero con explotación activa) | Versiones afectadas no especificadas, pero implica versiones actuales y anteriores sin parche | Sí | |
| CVE-2026-118342 | Chromium Project | Navegador Chromium | CRÍTICA (Alto riesgo por ejecución remota de código) | Versiones anteriores a la corrección indicada en noviembre 2026 | Sí |
| CVE-2026-118343 | Chromium Project | Chromium Browser – Componente ReadingList | ALTA (No especificado, evaluación basada en explotación activa) | Versiones afectadas no especificadas en la fuente, se recomienda aplicar actualización inmediata para todas las versiones instaladas | Sí |
| CVE-2026-118344 | Chromium Project | Chromium (navegador web y derivados) | ALTA | Versiones afectadas no especificadas; impacta el componente Layout | Sí |
| CVE-2026-118345 | Chromium Project | Chromium – PDFium | ALTA | Versiones con PDFium afectadas hasta el 01 | Sí |
| CVE-2026-118346 | Chromium Project | Chromium Browser | ALTA (confirmada explotación) | No especificadas, recomendada actualización inmediata | Sí |
| CVE-2026-118347 | Chromium Project | Navegador Chromium | Alta (Use After Free – RCE) | Versiones afectadas no especificadas, se recomienda actualizar a la última versión estable disponible | Sí |
| CVE-2026-118348 | Chromium (motor de navegador basado en Skia) | ALTA (no especificado, basado en impacto de corrupción de memoria) | Versiones que incluyen Skia afectadas (hasta la fecha de parche) | Sí | |
| CVE-2026-118349 | Chromium Project | Chromium (Payments) | ALTA | Versiones anteriores al parche de noviembre 2026 | Sí |
| CVE-2026-118350 | Chromium | ALTA (Critica, ejecución remota) | Versiones afectadas no especificadas, vulnerabilidad general en el motor TurboLev | Sí | |
| CVE-2026-118351 | Chromium Project | Chromium (Skia library) | ALTA | Versiones afectadas no especificadas pero se asume versiones actuales y previas antes del parche de noviembre 2026 | Sí |
| CVE-2026-118352 | Chromium Project | Chromium Browser | ALTA (Explotación activa confirmada) | Versiones afectadas hasta la fecha del reporte (previas al parche disponible en noviembre 2026) | Sí |
| CVE-2026-118353 | Chromium Project | Chromium Browser | Alta (Use After Free) | Versiones afectadas no detalladas pero se infiere que versiones recientes antes del parche publicado en noviembre 2026 | Sí |
| CVE-2026-118354 | Chromium Project | Chromium (Skia Graphics Library) | Alta (no especificado exacto) | No especificado (afecta Skia en Chromium) | Sí |
| CVE-2026-118355 | Chromium Project | Chromium Browser | ALTA | Versiones afectadas no especificadas, se recomienda revisar todas las versiones hasta la fecha de publicación del parche | Sí |
| CVE-2026-118356 | Chromium Project | Chromium | Alta (explotación activa reportada) | Versiones afectadas no especificadas, relevantes a la rama actual de Chromium | Sí |
| CVE-2026-118357 | Chromium | ALTA (Crítica) | Versiones afectadas no especificadas, se recomienda actualizar a la última versión estable | Sí | |
| CVE-2026-118358 | Chromium Project | Chromium Web Browser (WebAudio API) | CRÍTICA (explotada activamente) | Versiones afectadas no especificadas, se recomienda actualizar la última versión disponible | Sí |
| CVE-2026-118359 | Chromium Project | Chromium (V8 JavaScript engine) | ALTA (ejecución remota de código) | Versiones vulnerables anteriores a parche oficial no especificado | Sí |
| CVE-2026-91732 | Chromium Project | Chromium Browser | ALTA (Explotándose activamente) | Versiones afectadas no especificadas; revisar última versión disponible | Sí |
| CVE-2026-116512 | weDevs | wp_project_manager | ALTA | versiones anteriores a la corrección disponible en 2026-11-01 | Sí |
| CVE-2026-119096 | No especificado | No especificado | No especificada (En análisis) | No especificadas | Sí |
| CVE-2025-67964 | No especificado | No especificado | UNDER ANALYSIS | No especificado | Sí |
| CVE-2026-103898 | Wpmet | wp_social_login_and_register_social_counter | Alta (explotación activa confirmada) | Versiones actuales y anteriores (no especificadas) | Sí |
| CVE-2026-34892 | Rank Math | Rank Math SEO Plugin | Alta (no especificado numérico, pero indica explotación activa) | No especificado, se asume versiones actuales o inmediatas anteriores | Sí |
| CVE-2023-2356 | lfprojects | MLflow | No especificada (pero explotación activa) | No especificadas | Sí |
| CVE-2025-5569 | ideacms | ideacms | No especificada (pero explotación confirmada) | No especificadas | Sí |
| CVE-2026-109220 | WooCommerce | PDF Invoice for WooCommerce + Drag and Drop Template Builder plugin para WordPress | CRITICAL (9.8) | Todas las versiones hasta e incluyendo la 7.1.1 | Sí |
| CVE-2026-116557 | WP Booking System | Booking Calendar plugin para WordPress | CRITICAL (9.1) | Hasta la 2.1.0.5 incluida | Sí |
| CVE-2026-89270 | WP Popup Builder | Popup Builder Plugin para WordPress | CRITICAL (9.1) | Todas las versiones hasta e incluyendo 4.4.5 | Sí |
| CVE-2026-103882 | Acadlix | Acadlix LMS – AI Quiz Maker, Online Exam & Course Plugin para WordPress | CRITICAL (9.1) | Todas las versiones hasta la 1.1.9 inclusive | Sí |
| CVE-2026-118235 | SimpleForm | SimpleForm – Form Maker to Chat Apps with Quiz, Poll and Multi Lead Notifications plugin for WordPress | CRÍTICA (9.8) | Todas las versiones hasta la 3.10.2 incluida | Sí |
| CVE-2026-120201 | Jpom | Jpom | CRITICAL (9.3) | 2.10.0 hasta 2.11.12 | Sí |
| CVE-2026-120209 | Belief Team | AJ-Report | CRITICAL (9.3) | versiones hasta la 1.7.1 inclusive | Sí |
| CVE-2026-118636 | Apache Software Foundation | Apache MINA 3.0 codec module | CRÍTICA (9.8) | Todas las de la rama 3.0.0 (rama inactiva) | Sí |
| CVE-2026-120189 | D-Link | DIR-505 1.10B02 | CRÍTICA (9.3) | DIR-505 versión 1.10B02 | Sí |
| CVE-2026-120195 | WAVLINK | WL-WN579A3-A | CRITICAL (9.3) | 2026-03-10-94f93d4 | Sí |
| CVE | CVE-2026-118330 |
| Severidad | ALTA |
| Importancia para la empresa | ALTA |
| Publicado | 1 de noviembre de 2026 |
| Vendor | |
| Producto | Chromium Browser |
| Versiones | Versiones afectadas no especificadas, recomendada actualización inmediata |
| Exploit Públicos | Sí, se está explotando activamente |
| Referencia | MSRC Microsoft Advisory |
| Descripción | Vulnerabilidad Use After Free en Chromium Browser que puede permitir la ejecución remota de código. Esta falla ocurre cuando el navegador utiliza punteros a memoria liberada, lo que un atacante puede aprovechar para ejecutar código arbitrario con los privilegios del proceso afectado. |
| Estrategia | Actualizar inmediatamente Chromium a la versión parcheada que corrige esta vulnerabilidad. Implementar monitoreo activo para detectar signos de explotación; restringir y controlar el acceso a sistemas que utilicen navegadores afectados y aplicar políticas de seguridad que limiten la ejecución de código no autorizado. |
| CVE | CVE-2026-118331 |
| Severidad | ALTA |
| Importancia para la empresa | ALTA |
| Publicado | 01 Noviembre 2026 |
| Vendor | Chromium Project |
| Producto | Chromium (navegador web) |
| Versiones | Versiones vulnerables actuales no especificadas; afecta FileAPI en Chromium |
| Exploit Públicos | Sí, explotación activa confirmada |
| Referencia | Microsoft Security Response Center</td |
| Descripción | Vulnerabilidad por validación incorrecta de entradas en FileAPI de Chromium que puede permitir ataques de inyección o corrupción de memoria. Esta falla puede ser explotada remotamente enviando datos maliciosos que el navegador procesa, lo que puede derivar en ejecución de código arbitrario o fallo de estabilidad. |
| Estrategia | Actualizar Chromium a la última versión parcheada inmediatamente. Monitorizar actividades inusuales en los navegadores y bloquear tráfico malicioso relacionado con FileAPI. Implementar políticas restrictivas de ejecución y sandboxing para reducir impacto potencial en caso de explotación activa. |
| CVE | CVE-2026-118332 |
| Severidad | Alta (basado en el impacto descrito) |
| Importancia para la empresa | ALTA |
| Publicado | 1 de noviembre de 2026, 04:31 UTC |
| Vendor | Chromium Project |
| Producto | Chromium |
| Versiones | Versiones afectadas no especificadas concretamente, aplicar a todas las vulnerables antes del parche |
| Exploit Públicos | Confirmados: Sí, se está explotando activamente |
| Referencia | MSRC Microsoft Update Guide |
| Descripción | Vulnerabilidad de validación inadecuada de entrada en la funcionalidad de Compositing de Chromium que puede permitir a un atacante provocar inyección maliciosa o corrupción de memoria.
Esta vulnerabilidad puede ser explotada mediante la manipulación de entradas en procesos gráficos del navegador, posibilitando ejecución remota de código o ataques de escalada de privilegios. |
| Estrategia | Actualizar Chromium a la versión parcheada más reciente inmediatamente. Implementar controles adicionales de monitoreo y detectar comportamientos anómalos en el navegador, restringir acceso a funciones gráficas cuando sea posible y mantener sistemas con defensa en profundidad para evitar escalada tras explotación. |
| CVE | CVE-2026-118333 |
| Severidad | ALTA (no asignada CVSS exacto, acceso no autorizado) |
| Importancia para la empresa | ALTA |
| Publicado | 1 de noviembre de 2026 |
| Vendor | Chromium Project (Google) |
| Producto | Chromium Browser |
| Versiones | Versiones afectadas sin especificar, se recomienda actualizar a la última disponible |
| Exploit Públicos | Sí, explotación confirmada activa |
| Referencia | Microsoft Security Update Guide |
| Descripción | Vulnerabilidad de autorización ausente en el componente de vídeo de Chromium Browser que puede permitir a un atacante obtener acceso no autorizado a funciones o datos a través del navegador. Esta brecha compromete la seguridad al impedir la correcta verificación de permisos antes de acceder a recursos críticos en la gestión de vídeo.
Esta vulnerabilidad está siendo explotada activamente, lo que implica un riesgo inmediato para la confidencialidad y la integridad de datos. Un atacante podría manipular la funcionalidad de vídeo para ejecutar acciones no autorizadas o exfiltrar información sensible sin consentimiento del usuario. |
| Estrategia | Actualizar Chromium a la versión parcheada inmediatamente. Implementar controles adicionales de monitoreo para identificar comportamientos anómalos relacionados con el acceso a vídeo. Restringir permisos innecesarios en el navegador y evaluar políticas de seguridad para mitigar explotación. Además, informar a los usuarios para evitar la interacción con contenido sospechoso hasta aplicar la solución. |
—
*[Inserción en Supabase realizada para CVE-2026-118333 con fecha 2026-11-01, severidad ALTA, explotación confirmada activa, producto Chromium Browser, fabricante Google]*
| CVE | CVE-2026-118334 |
| Severidad | Crítica (sin puntuación numérica exacta disponible) |
| Importancia para la empresa | ALTA |
| Publicado | 01 Nov 2026, 04:31 (UTC) |
| Vendor | Chromium Project |
| Producto | Chromium (Navegador web) |
| Versiones | Versiones afectadas no especificadas, se recomienda asumir versiones actuales anteriores a la corrección oficial. |
| Exploit Públicos | Sí, confirmado que está siendo explotado activamente |
| Referencia | Microsoft Security Response Center</td |
| Descripción | Vulnerabilidad Use After Free en la API ImageCapture de Chromium permite ejecución remota de código. Esta vulnerabilidad consiste en un uso después de liberar memoria (Use After Free) que un atacante puede aprovechar para ejecutar código arbitrario en el contexto del proceso afectado. El exploit activo indica que se está utilizando en ataques reales, lo que la convierte en un riesgo crítico.
Esta vulnerabilidad puede ser explotada al engañar al usuario para que visite una web maliciosa que invoque la API vulnerable, causando corrupción de memoria y permitiendo la ejecución remota de código, comprometiendo la integridad del sistema afectado. |
| Estrategia | Actualizar inmediatamente Chromium a la versión que incluya el parche oficial que corrige este Use After Free. Monitorear sistemas para detectar actividad anómala asociada a explotación de esta vulnerabilidad. Además, limitar la exposición deshabilitando la API ImageCapture si no fuera necesaria y reforzar medidas de seguridad en navegadores corporativos con políticas de acceso y sandboxing. |
| CVE | CVE-2026-118335 |
| Severidad | Alta (No se especifica puntuación CVSS exacta) |
| Importancia para la empresa | ALTA |
| Publicado | 01 de Noviembre de 2026 |
| Vendor | Chromium Project |
| Producto | Chromium (motor de navegador web) |
| Versiones | Versiones afectadas no especificadas, validar última versión afectada en Guía MSRC |
| Exploit Públicos | Sí, explotación activa confirmada |
| Referencia | MSRC Microsoft Update Guide |
| Descripción | Vulnerabilidad en Chromium relacionada con la validación incorrecta de entradas en el componente Metrics que puede permitir ataques de inyección o corrupción de memoria. Este fallo podría ser explotado por un atacante remoto para ejecutar código arbitrario o provocar un crash del proceso afectado. |
| Estrategia | Actualizar Chromium a la última versión parcheada cuanto antes. Implementar monitoreo avanzado de comportamiento anómalo y analizar logs para detectar posibles ataques activos. Limitar exposición a procesos que funcionen con métricas y reforzar controles de validación de entrada propios si existen integraciones personalizadas. |
| CVE | CVE-2026-118336 |
| Severidad | ALTA |
| Importancia para la empresa | ALTA |
| Publicado | 01 Nov 2026 |
| Vendor | Chromium Project |
| Producto | Chromium (Headless) |
| Versiones | Versiones afectadas no especificadas detalladamente |
| Exploit Públicos | Sí, explotación activa confirmada |
| Referencia | Microsoft Security Response Center</td |
| Descripción | Vulnerabilidad de validación de entrada inadecuada en Chromium Headless, que puede permitir ataques de inyección o corrupción de memoria. Esta falla impacta en el componente Headless de Chromium, posibilitando que un atacante remoto ejecute código arbitrario o corrompa la memoria, comprometiendo la estabilidad y seguridad del sistema. |
| Estrategia | Actualizar de inmediato Chromium a la versión que contenga el parche oficial. Se recomienda reforzar la monitorización de procesos Headless, evitar su exposición directa a entornos inseguros y aplicar controles estrictos de gestión de entradas. Vigilar indicadores de compromiso debido a la existencia de explotación activa. |
| CVE | CVE-2026-118337 |
| Severidad | Alta (no especificado numérico, basado en explotación activa) |
| Importancia para la empresa | ALTA |
| Publicado | 01 Nov 2026 |
| Vendor | Chromium Project |
| Producto | Chromium Browser |
| Versiones | Versiones afectadas no especificadas, pero se recomienda actualizar a la última versión estable |
| Exploit Públicos | Sí, explotación activa constatada |
| Referencia | MSRC Microsoft Security Response Center |
| Descripción | Chromium presenta un control de acceso inadecuado en el manejo de formularios (Forms), lo que puede permitir a un atacante obtener acceso no autorizado a funciones o datos sensibles del navegador. Esta falla compromete la seguridad del entorno del usuario al habilitar privilegios que deberían estar restringidos. |
| Estrategia | Aplicar inmediatamente las actualizaciones oficiales de Chromium que corrigen esta vulnerabilidad. Adicionalmente, monitorear activamente la actividad del navegador para detectar comportamientos anómalos relacionados con acceso no autorizado y restringir el uso de versiones vulnerables en todos los entornos corporativos. |
| CVE | CVE-2026-118338 |
| Severidad | ALTA |
| Importancia para la empresa | ALTA |
| Publicado | 01 de noviembre de 2026 |
| Vendor | Chromium Project |
| Producto | Chromium Browser |
| Versiones | Versiones afectadas no especificadas explícitamente, vulnerabilidad en módulo Animation |
| Exploit Públicos | Sí, explotación activa confirmada |
| Referencia | Microsoft Security Response Center |
| Descripción | Vulnerabilidad de Use After Free en el módulo Animation de Chromium, que puede permitir la ejecución remota de código. La falla permite que un atacante remoto manipule la memoria liberada, causando un comportamiento inesperado que puede resultar en la ejecución arbitraria de código en el dispositivo afectado.
Esta vulnerabilidad está siendo explotada activamente, lo que representa un riesgo crítico para la seguridad, ya que puede ser utilizada para comprometer el navegador y acceder o modificar información sensible sin necesidad de interacción del usuario más allá de visitar una página web maliciosa. |
| Estrategia | Aplicar de inmediato el parche oficial distribuido por Chromium para corregir esta vulnerabilidad. Se recomienda actualizar el navegador a la última versión disponible. Además, reforzar las políticas de seguridad en la navegación y monitorizar activamente los logs para detectar signos de explotación. Dada la explotación activa, la prioridad de mitigación es máxima. |
| CVE | CVE-2026-118339 |
| Severidad | Alta (sin puntaje CVSS disponible, ejecución remota de código) |
| Importancia para la empresa | ALTA |
| Publicado | 01 Noviembre 2026, 04:31 (UTC) |
| Vendor | The Chromium Project |
| Producto | Chromium (navegador web) |
| Versiones | Versiones afectadas no especificadas; se recomienda actualizar a la última versión disponible |
| Exploit Públicos | Sí, explotación confirmada |
| Referencia | Guía oficial de Microsoft sobre CVE-2026-118339 |
| Descripción | Vulnerabilidad Use After Free en el componente de Animación del navegador Chromium que puede permitir a un atacante remoto ejecutar código arbitrario. Esta vulnerabilidad se explota activamente en el entorno wild, lo que significa que puede comprometer la seguridad del sistema a través de la manipulación de objetos de memoria ya liberados, facilitando la ejecución no autorizada de código malicioso en el contexto del usuario. |
| Estrategia | Aplicar inmediatamente las actualizaciones oficiales que corrigen el Use After Free en Chromium. Supervisar activos que utilicen versiones vulnerables y restringir la ejecución de código arbitrario. Implementar soluciones de mitigación en la configuración del navegador, tales como sandboxing reforzado y políticas restrictivas para la ejecución de scripts. Además, monitorizar indicadores de compromiso para detectar posibles explotaciones activas. |
| CVE | CVE-2026-118340 |
| Severidad | ALTA |
| Importancia para la empresa | ALTA |
| Publicado | 01 Nov 2026, 04:31 UTC |
| Vendor | Chromium Project |
| Producto | Chromium (Skia) |
| Versiones | Versiones que incluyen la biblioteca Skia vulnerables (no especificado en detalle) |
| Exploit Públicos | Sí, confirmados |
| Referencia | Microsoft Security Response Center</td |
| Descripción | Corrupción de memoria en el componente Skia de Chromium, que puede permitir a un atacante ejecutar código remotamente o provocar una denegación de servicio.
Esta vulnerabilidad es crítica porque la corrupción de memoria puede permitir la ejecución de código arbitrario con privilegios del proceso del navegador o bloqueo completo del servicio. Ya está siendo explotada activamente en ataques reales, lo que aumenta su riesgo para cualquier organización que utilice Chromium o navegadores derivados. |
| Estrategia | Actualizar inmediatamente todos los navegadores basados en Chromium a la última versión disponible donde se ha parcheado esta vulnerabilidad. Monitorizar logs de ejecución y comportamiento anómalo para detectar posibles ataques y aplicar controles adicionales en los endpoints que utilicen este software para mitigar impacto en caso de explotación. |
| CVE | CVE-2026-118341 |
| Severidad | ALTA (no especificado CVSS exacto, pero con explotación activa) |
| Importancia para la empresa | ALTA |
| Publicado | 01 Nov 2026 |
| Vendor | |
| Producto | Chromium |
| Versiones | Versiones afectadas no especificadas, pero implica versiones actuales y anteriores sin parche |
| Exploit Públicos | Sí, explotación confirmada en estado activo |
| Referencia | Microsoft Security Response Center |
| Descripción | Vulnerabilidad Use After Free en el componente Modularization de Chromium que puede permitir la ejecución remota de código. Esta falla consiste en la reactivación o uso tras liberación de memoria, que puede ser explotada por un atacante para ejecutar código malicioso con los privilegios del proceso del navegador, comprometiendo la seguridad del sistema o la confidencialidad de la información. |
| Estrategia | Actualizar inmediatamente Chromium a la versión corregida que contiene el parche oficial. Monitorizar los entornos para detectar actividad anómala asociada a explotación de Use After Free. Considerar bloqueos adicionales a nivel de red o endpoint para mitigar ejecutables maliciosos y reforzar políticas de seguridad del navegador. |
| CVE | CVE-2026-118342 |
| Severidad | CRÍTICA (Alto riesgo por ejecución remota de código) |
| Importancia para la empresa | ALTA |
| Publicado | 01 de Noviembre de 2026 |
| Vendor | Chromium Project |
| Producto | Navegador Chromium |
| Versiones | Versiones anteriores a la corrección indicada en noviembre 2026 |
| Exploit Públicos | Sí, se está explotando activamente |
| Referencia | Microsoft Security Response Center</td |
| Descripción | Vulnerabilidad de escritura fuera de límites (Out of bounds write) en el componente de edición del navegador Chromium, que puede causar corrupción de memoria y permitir la ejecución remota de código. Esta falla es crítica porque un atacante remoto puede aprovecharla para ejecutar código malicioso con los mismos privilegios que el usuario que ejecuta el navegador. |
| Estrategia | Actualizar inmediatamente Chromium a la versión parcheada disponible desde noviembre 2026. Además, monitorear los sistemas para detectar posibles indicadores de compromiso relacionados con explotación activa, y restringir la instalación de extensiones o contenidos no confiables mientras se aplique la mitigación. |
***
| CVE | CVE-2026-118343 |
| Severidad | ALTA (No especificado, evaluación basada en explotación activa) |
| Importancia para la empresa | ALTA |
| Publicado | 01 Noviembre 2026 |
| Vendor | Chromium Project |
| Producto | Chromium Browser – Componente ReadingList |
| Versiones | Versiones afectadas no especificadas en la fuente, se recomienda aplicar actualización inmediata para todas las versiones instaladas |
| Exploit Públicos | Sí, explotación activa confirmada |
| Referencia | MSRC Advisory CVE-2026-118343 |
| Descripción | Vulnerabilidad por validación incorrecta de entrada en el componente ReadingList de Chromium que puede permitir ejecuciones arbitrarias, inyección de código o corrupción de memoria.
Esta vulnerabilidad está siendo explotada activamente en entornos reales, permitiendo a atacantes la ejecución remota de código o provocación de fallos para comprometer la seguridad del sistema afectado. |
| Estrategia | Actualizar urgentemente todas las instalaciones de Chromium a la versión que contiene el parche oficial. Revisar las configuraciones de la política de ejecución y restringir privilegios si es posible. Monitorizar actividades sospechosas relacionadas con procesos de Chromium y aplicar defensas adicionales como sandboxing y control de integridad. |
| CVE | CVE-2026-118344 |
| Severidad | ALTA |
| Importancia para la empresa | ALTA |
| Publicado | 01 Nov 2026, 04:31 (UTC) |
| Vendor | Chromium Project |
| Producto | Chromium (navegador web y derivados) |
| Versiones | Versiones afectadas no especificadas; impacta el componente Layout |
| Exploit Públicos | Sí, se está explotando activamente |
| Referencia | Microsoft Security Response Center |
| Descripción | Vulnerabilidad Use After Free en el componente Layout de Chromium, que puede permitir la ejecución remota de código. Esta falla habilita a un atacante remoto para explotar la corrupción de memoria y ejecutar código arbitrario en el contexto del proceso afectado en el navegador o aplicaciones basadas en Chromium. |
| Estrategia | Actualizar inmediatamente a la versión parcheada de Chromium suministrada por el fabricante. Monitorizar indicadores de compromiso y restringir el uso de versiones vulnerables. Aplicar políticas de seguridad en navegadores y educar a usuarios para evitar sitios o contenidos maliciosos que exploten esta vulnerabilidad. |
| CVE | CVE-2026-118345 |
| Severidad | ALTA |
| Importancia para la empresa | ALTA |
| Publicado | 01 Nov 2026, 04:31 (UTC) |
| Vendor | Chromium Project |
| Producto | Chromium – PDFium |
| Versiones | Versiones con PDFium afectadas hasta el 01/11/2026 (sin parche) |
| Exploit Públicos | Sí, ya se está explotando activamente |
| Referencia | MSRC Microsoft Update Guide |
| Descripción | Vulnerabilidad de tipo Use After Free en PDFium de Chromium que puede permitir la ejecución remota de código. Esta vulnerabilidad ha sido confirmada en explotación activa, poniendo en riesgo la ejecución de código malicioso en el contexto del usuario afectado al procesar documentos PDF con versiones vulnerables de Chromium. |
| Estrategia | Actualizar inmediatamente Chromium a la versión parcheada que corrige esta vulnerabilidad. Además, bloquear o monitorizar la apertura de PDFs desde fuentes no confiables y aplicar políticas de seguridad reforzadas en los entornos donde se visualicen PDFs para detectar comportamientos anómalos o intentos de explotación. |
| CVE | CVE-2026-118346 |
| Severidad | ALTA (confirmada explotación) |
| Importancia para la empresa | ALTA |
| Publicado | 2026-11-01T04:31:59 UTC |
| Vendor | Chromium Project |
| Producto | Chromium Browser |
| Versiones | No especificadas, recomendada actualización inmediata |
| Exploit Públicos | Sí, explotación confirmada en entornos reales |
| Referencia | Microsoft Security Response Center</td |
| Descripción | Vulnerabilidad Use After Free en el módulo de composición de Chromium que puede permitir a un atacante remoto ejecutar código arbitrario. Esta falla puede ser explotada mediante la manipulación de objetos en memoria permitiendo ejecución remota con los privilegios del proceso afectado, lo que podría comprometer la confidencialidad, integridad y disponibilidad del sistema. |
| Estrategia | Actualizar Chromium a la última versión disponible inmediatamente. Implementar políticas de navegación segura y monitorización para detectar actividad sospechosa. Aplicar mitigaciones de memoria como ASLR y DEP donde sea posible para dificultar la explotación. |
—
*Evaluación:* Esta vulnerabilidad está siendo activamente explotada y representa un riesgo alto para la compañía, pudiendo permitir la ejecución remota de código en los sistemas que utilicen Chromium sin parchear. Debe ser priorizada de inmediato para evitar compromisos de seguridad.
| CVE | CVE-2026-118347 |
| Severidad | Alta (Use After Free – RCE) |
| Importancia para la empresa | ALTA |
| Publicado | 1 de noviembre de 2026 |
| Vendor | Chromium Project |
| Producto | Navegador Chromium |
| Versiones | Versiones afectadas no especificadas, se recomienda actualizar a la última versión estable disponible |
| Exploit Públicos | Sí, explotación activa confirmada |
| Referencia | Microsoft Security Response Center</td |
| Descripción | Vulnerabilidad de Use After Free en el subsistema FileSystem de Chromium que permite a un atacante remoto ejecutar código arbitrario. Al aprovechar esta vulnerabilidad, un atacante puede utilizar archivos o URLs maliciosos para manipular la memoria y ejecutar código malintencionado en el contexto del usuario afectado. |
| Estrategia | Actualizar inmediatamente todos los navegadores Chromium a la versión parcheada oficial. Implementar controles estrictos de seguridad en la navegación web y monitorear ataques que aprovechen el FileSystem. Reforzar los análisis de entrada/salida de archivos y restringir el acceso al sistema de archivos a procesos confiables, además de vigilar señales de ejecución remota de código para respuesta rápida. |
| CVE | CVE-2026-118348 |
| Severidad | ALTA (no especificado, basado en impacto de corrupción de memoria) |
| Importancia para la empresa | ALTA |
| Publicado | 01 Noviembre 2026 |
| Vendor | |
| Producto | Chromium (motor de navegador basado en Skia) |
| Versiones | Versiones que incluyen Skia afectadas (hasta la fecha de parche) |
| Exploit Públicos | Sí, se está explotando activamente |
| Referencia | Microsoft Security Response Center |
| Descripción | Vulnerabilidad de validación incorrecta de entrada en Skia dentro de Chromium que puede permitir ataques de inyección o corrupción de memoria. Esto podría ser explotado por un atacante remoto para ejecutar código arbitrario o provocar denegación de servicio mediante la manipulación de entradas al motor gráfico Skia. |
| Estrategia | Aplicar inmediatamente los parches oficiales del navegador basados en Chromium que corrigen esta falla. Establecer controles de monitoreo para detectar intentos de explotación. Se recomienda restringir el acceso web a versiones vulnerables y fomentar la actualización automática del navegador en todos los sistemas de la empresa. |
—
He insertado el registro en Supabase siguiendo las políticas internas.
| CVE | CVE-2026-118349 |
| Severidad | ALTA |
| Importancia para la empresa | ALTA |
| Publicado | 01 Nov 2026, 04:32 (UTC) |
| Vendor | Chromium Project |
| Producto | Chromium (Payments) |
| Versiones | Versiones anteriores al parche de noviembre 2026 |
| Exploit Públicos | Sí, confirmados en explotación activa |
| Referencia | MSRC Microsoft Update Guide |
| Descripción | Vulnerabilidad de corrupción de memoria en Chromium Payments que puede permitir la ejecución remota de código o causar una denegación de servicio. Esta vulnerabilidad puede ser explotada para comprometer la integridad del sistema afectado mediante la manipulación maliciosa de la memoria interna del componente de pagos del navegador Chromium.
Esta vulnerabilidad está siendo explotada activamente en entornos reales, representando un riesgo crítico para la seguridad empresarial al permitir que un atacante remoto ejecute código arbitrario o bloquee servicios esenciales mediante ataques dirigidos. |
| Estrategia | Aplicar de forma inmediata el parche oficial liberado por Chromium para la versión afectada que corrige esta corrupción de memoria en el componente Payments. Además, reforzar controles de ejecución segura y monitorizar sistemas para detectar comportamientos anómalos indicativos de explotación activa. Se recomienda también evaluar políticas de seguridad para restringir el acceso a módulos de pago del navegador en entornos corporativos críticos. |
| CVE | CVE-2026-118350 |
| Severidad | ALTA (Critica, ejecución remota) |
| Importancia para la empresa | ALTA |
| Publicado | 01 Noviembre 2026, 04:32 (UTC) |
| Vendor | |
| Producto | Chromium |
| Versiones | Versiones afectadas no especificadas, vulnerabilidad general en el motor TurboLev |
| Exploit Públicos | Sí, se está explotando activamente |
| Referencia | MSRC CVE-2026-118350</td |
| Descripción | Vulnerabilidad de tipo Use After Free en el motor TurboLev del navegador Chromium que puede permitir la ejecución remota de código. Esto implica que un atacante podría aprovechar esta corrupción de memoria para ejecutar código arbitrario en el sistema afectado, generalmente mediante la navegación o interacción con contenido malicioso web. |
| Estrategia | Aplicar inmediatamente las actualizaciones o parches oficiales de Chromium que mitiguen esta vulnerabilidad. Además, implementar medidas de mitigación de explotación como la habilitación de sandboxing estricto y controles de integridad de memoria para reducir el impacto de posibles explotaciones activas. |
| CVE | CVE-2026-118351 |
| Severidad | ALTA |
| Importancia para la empresa | ALTA |
| Publicado | 01 Nov 2026, 04:32 (UTC) |
| Vendor | Chromium Project |
| Producto | Chromium (Skia library) |
| Versiones | Versiones afectadas no especificadas pero se asume versiones actuales y previas antes del parche de noviembre 2026 |
| Exploit Públicos | Sí, explotación activa confirmada |
| Referencia | Microsoft Security Response Center</td |
| Descripción | Vulnerabilidad de corrupción de memoria en la biblioteca Skia del navegador Chromium que puede permitir la ejecución remota de código o causar una denegación de servicio (DoS). Esta falla es explotada activamente, lo que aumenta su gravedad como amenaza. |
| Estrategia | Actualizar inmediatamente Chromium a la última versión oficial que soluciona la vulnerabilidad. Además, monitorizar sistemas para detectar posibles indicios de explotación, restringir cargas y permisos en entornos donde se ejecuta Chromium y aplicar controles estrictos de seguridad en la red y endpoint para mitigar impactos de posibles ataques. |
| CVE | CVE-2026-118352 |
| Severidad | ALTA (Explotación activa confirmada) |
| Importancia para la empresa | ALTA |
| Publicado | 01 Noviembre 2026 |
| Vendor | Chromium Project |
| Producto | Chromium Browser |
| Versiones | Versiones afectadas hasta la fecha del reporte (previas al parche disponible en noviembre 2026) |
| Exploit Públicos | Sí, confirmados y activos |
| Referencia | MSRC Microsoft Update Guide |
| Descripción | Vulnerabilidad de corrupción de memoria en el sistema de caché de Chromium que podría permitir a un atacante remoto ejecutar código arbitrario o causar una denegación de servicio. La corrupción de memoria puede ser explotada a través de la manipulación de datos en caché, facilitando ataques remotos sin necesidad de privilegios elevados.
Esta vulnerabilidad está siendo activamente explotada, lo que la convierte en un riesgo crítico para la seguridad, especialmente en entornos donde Chromium está ampliamente desplegado como navegador o componente embebido. |
| Estrategia | Aplicar inmediatamente los parches oficiales liberados en noviembre 2026 para todas las instalaciones de Chromium. Reforzar controles y monitorización para detectar comportamientos anómalos relacionados con corrupción en memoria. Considerar la implementación de mitigaciones adicionales como sandboxing reforzado y políticas estrictas de actualización automática para minimizar riesgo de explotación activa. |
—
He insertado esta información en Supabase para seguimiento y control continuo. La vulnerabilidad es prioritaria por explotación activa real y riesgo directo de ejecución remota de código.
| CVE | CVE-2026-118353 |
| Severidad | Alta (Use After Free) |
| Importancia para la empresa | ALTA |
| Publicado | 01 Nov 2026 |
| Vendor | Chromium Project |
| Producto | Chromium Browser |
| Versiones | Versiones afectadas no detalladas pero se infiere que versiones recientes antes del parche publicado en noviembre 2026 |
| Exploit Públicos | Sí, explotación activa confirmada |
| Referencia | Microsoft Security Response Center</td |
| Descripción | Vulnerabilidad de tipo Use After Free en el componente Paint de Chromium, que permite la ejecución remota de código. Esta debilidad puede ser explotada mediante la manipulación de la gestión de memoria en el motor de pintura del navegador, posibilitando que un atacante ejecute código arbitrario en el sistema afectado. |
| Estrategia | Actualizar inmediatamente Chromium a la última versión parcheada disponible para cerrar la vulnerabilidad. Monitorizar sistemas para detectar actividades sospechosas y restringir el acceso a componentes vulnerables. Además, reforzar la protección de navegador con políticas de sandboxing y control de ejecución de scripts para mitigar impactos de explotación. |
¡Atención! Esta vulnerabilidad está siendo explotada activamente y puede permitir una ejecución remota de código con alto impacto en la seguridad de la empresa. Prioridad máxima para parchear sistemas y mitigar riesgos.
—
Insertando registro en Supabase…
{
«cve»: «CVE-2026-118353»,
«severity»: «Alta»,
«importance»: «ALTA»,
«published_date»: «2026-11-01T04:32:01.658175+00:00»,
«vendor»: «Chromium Project»,
«product»: «Chromium Browser»,
«affected_versions»: «Versiones afectadas no detalladas pero se infiere que versiones recientes antes del parche publicado en noviembre 2026»,
«public_exploits»: true,
«reference»: «https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-118353»,
«description»: «Vulnerabilidad de tipo Use After Free en el componente Paint de Chromium, que permite la ejecución remota de código. Esta debilidad puede ser explotada mediante la manipulación de la gestión de memoria en el motor de pintura del navegador, posibilitando que un atacante ejecute código arbitrario en el sistema afectado.»
}
| CVE | CVE-2026-118354 |
| Severidad | Alta (no especificado exacto) |
| Importancia para la empresa | ALTA |
| Publicado | 01 Nov 2026 |
| Vendor | Chromium Project |
| Producto | Chromium (Skia Graphics Library) |
| Versiones | No especificado (afecta Skia en Chromium) |
| Exploit Públicos | Sí, confirmada explotación activa |
| Referencia | Microsoft Security Response Center</td |
| Descripción | Vulnerabilidad de validación incorrecta de entrada en Skia, la biblioteca gráfica usada por Chromium, que puede permitir ataques de inyección o corrupción de memoria. Este fallo puede ser aprovechado por atacantes para ejecutar código malicioso o causar denegación de servicio en sistemas afectados. |
| Estrategia | Aplicar inmediatamente el parche oficial de Chromium que corrige este fallo en Skia. Realizar actualizaciones periódicas automáticas del navegador y monitorizar tráfico y procesos en busca de indicadores de explotación activa. Limitar exposición a páginas web no confiables y reforzar políticas de ejecución de código dentro del entorno corporativo. |
| CVE | CVE-2026-118355 |
| Severidad | ALTA |
| Importancia para la empresa | ALTA |
| Publicado | 01 Noviembre 2026 |
| Vendor | Chromium Project |
| Producto | Chromium Browser |
| Versiones | Versiones afectadas no especificadas, se recomienda revisar todas las versiones hasta la fecha de publicación del parche |
| Exploit Públicos | Sí, explotación confirmada activa |
| Referencia | Microsoft Security Response Center</td |
| Descripción | Vulnerabilidad de validación incorrecta de entrada en el componente Command de Chromium que puede permitir ataques de inyección o corrupción de memoria. Un atacante podría explotar este fallo para ejecutar código arbitrario, causar bloqueos o escalar privilegios en el navegador afectado.
Esta vulnerabilidad está siendo activamente explotada en entornos reales, aumentando su riesgo para empresas que dependen del navegador Chromium para operaciones críticas o navegación segura. |
| Estrategia | Actualizar inmediatamente Chromium a la última versión parcheada. Monitorizar indicadores de explotación en endpoints que utilicen este navegador. Implementar controles adicionales en capas de seguridad (sandboxing, filtrado de comandos) y restringir el acceso a recursos sensibles si la actualización inmediata no es posible. |
| CVE | CVE-2026-118356 |
| Severidad | Alta (explotación activa reportada) |
| Importancia para la empresa | ALTA |
| Publicado | 01 Nov 2026 |
| Vendor | Chromium Project |
| Producto | Chromium |
| Versiones | Versiones afectadas no especificadas, relevantes a la rama actual de Chromium |
| Exploit Públicos | Sí, explotación activa confirmada |
| Referencia | Microsoft Security Response Center</td |
| Descripción | Vulnerabilidad Use After Free en el componente WTF de Chromium que permite la ejecución remota de código. Esta debilidad posibilita que un atacante remoto ejecute código arbitrario al aprovechar el acceso a memoria previamente liberada dentro del navegador, comprometiendo la integridad y confidencialidad del sistema afectado. |
| Estrategia | Aplicar inmediatamente el parche oficial publicado por Chromium. Además, reforzar las políticas de actualización automática para garantizar que todos los navegadores estén en versiones seguras. Revisar logs para detectar signos de explotación y concienciar a usuarios sobre evitar interacciones con contenidos sospechosos mientras se aplica la mitigación. |
| CVE | CVE-2026-118357 |
| Severidad | ALTA (Crítica) |
| Importancia para la empresa | ALTA |
| Publicado | 1 de Noviembre de 2026 |
| Vendor | |
| Producto | Chromium |
| Versiones | Versiones afectadas no especificadas, se recomienda actualizar a la última versión estable |
| Exploit Públicos | Sí, explotación activa confirmada |
| Referencia | MSRC Advisory CVE-2026-118357 |
| Descripción | Vulnerabilidad de Use After Free en FileSystem de Chromium, que puede permitir la ejecución remota de código. Esta vulnerabilidad permite a un atacante remoto aprovechar un error de gestión de memoria para ejecutar código arbitrario en el contexto del proceso afectado, comprometiendo completamente la seguridad del sistema.
Esta vulnerabilidad se está explotando activamente, incrementando el riesgo de ataques dirigidos utilizando esta falla para comprometer sistemas corporativos a través del navegador Chromium o aplicaciones basadas en él. |
| Estrategia | Actualizar Chromium a la última versión disponible que incluya la corrección. Monitorear activamente indicadores de compromiso relacionados con ataques en FileSystem y Use After Free. En paralelo, reforzar las políticas de seguridad en navegadores, limitar la ejecución de código potencialmente malicioso y aplicar medidas de aislamiento y sandboxing. |
| CVE | CVE-2026-118358 |
| Severidad | CRÍTICA (explotada activamente) |
| Importancia para la empresa | ALTA |
| Publicado | 01 Noviembre 2026 |
| Vendor | Chromium Project |
| Producto | Chromium Web Browser (WebAudio API) |
| Versiones | Versiones afectadas no especificadas, se recomienda actualizar la última versión disponible |
| Exploit Públicos | Sí, explotación activa confirmada |
| Referencia | Microsoft Security Response Center</td |
| Descripción | Corrupción de memoria en WebAudio de Chromium, que puede permitir a un atacante ejecutar código remotamente o causar denegación de servicio. Esta vulnerabilidad está siendo explotada activamente en entornos reales.
La vulnerabilidad permite a un atacante remoto ejecutar código arbitrario o hacer que el navegador falle, comprometiendo la seguridad del usuario y la estabilidad del sistema. |
| Estrategia | Aplicar inmediatamente las actualizaciones oficiales de Chromium. Desplegar monitoreo activo en sistemas que utilicen Chromium para detectar actividad anómala. En entornos de alto riesgo, se recomienda limitar el acceso a funciones WebAudio o bloquear temporalmente el uso del navegador afectado hasta que se aplique el parche. |
| CVE | CVE-2026-118359 |
| Severidad | ALTA (ejecución remota de código) |
| Importancia para la empresa | ALTA |
| Publicado | 01 noviembre 2026, 04:32 (UTC) |
| Vendor | Chromium Project |
| Producto | Chromium (V8 JavaScript engine) |
| Versiones | Versiones vulnerables anteriores a parche oficial no especificado |
| Exploit Públicos | Sí, se está explotando activamente |
| Referencia | Microsoft Security Response Center</td |
| Descripción | Corrupción de memoria en V8, motor de JavaScript de Chromium, que permite a un atacante remoto ejecutar código arbitrario en el contexto del usuario afectado. Esta vulnerabilidad puede ser explotada mediante la manipulación de código JavaScript malicioso, afectando la integridad y seguridad del sistema local. |
| Estrategia | Actualizar Chromium a la última versión parcheada inmediatamente. Monitorizar actividades sospechosas relacionadas con explotación de memoria y ejecutar controles estrictos de seguridad en los navegadores de la empresa. Implementar políticas de restricción y sandboxing para limitar el impacto si se explota esta vulnerabilidad. |
| CVE | CVE-2026-91732 |
| Severidad | ALTA (Explotándose activamente) |
| Importancia para la empresa | ALTA |
| Publicado | 01 Nov 2026, 04:32 (UTC) |
| Vendor | Chromium Project |
| Producto | Chromium Browser |
| Versiones | Versiones afectadas no especificadas; revisar última versión disponible |
| Exploit Públicos | Sí, explotándose activamente |
| Referencia | Microsoft Security Response Center</td |
| Descripción | Vulnerabilidad de falta de autorización en Chromium que puede permitir el acceso no autorizado a funciones o datos críticos. Un atacante podría aprovechar esta falla para ejecutar acciones sin permisos adecuados o acceder a información sensible dentro del navegador Chromium. La vulnerabilidad está siendo explotada activamente en el entorno real. |
| Estrategia | Priorizar la actualización inmediata a la última versión oficial parcheada de Chromium que soluciona esta falla. Complementar con monitorización de accesos anómalos y restringir privilegios de usuario en aplicaciones que utilicen Chromium para minimizar el impacto potencial. Confirmar aplicación de controles de autenticación y autorización robustos. |
| CVE | CVE-2026-116512 |
| Severidad | ALTA |
| Importancia para la empresa | ALTA |
| Publicado | 01 Nov 2026, 04:32 (UTC) |
| Vendor | weDevs |
| Producto | wp_project_manager |
| Versiones | versiones anteriores a la corrección disponible en 2026-11-01 |
| Exploit Públicos | Sí, está siendo explotada activamente |
| Referencia | Vulncheck CVE 2026-116512 |
| Descripción | Vulnerabilidad de carga no restringida de archivos con tipos peligrosos en el plugin wp_project_manager de weDevs. Esta falla permite a un atacante subir archivos maliciosos que pueden ejecutarse en el servidor o provocar compromisos graves de seguridad. El exploit está siendo activamente usado en ataques reales. |
| Estrategia | Aplicar inmediatamente el parche oficial o actualizar a la última versión que corrige esta vulnerabilidad. Implementar controles estrictos de validación y filtrado de tipos de archivo en las cargas. Monitorizar logs para detectar intentos de explotación y restringir permisos de escritura en directorios sensibles. |
| CVE | CVE-2026-119096 |
| Severidad | No especificada (En análisis) |
| Importancia para la empresa | ALTA |
| Publicado | 01 Noviembre 2026 |
| Vendor | No especificado |
| Producto | No especificado |
| Versiones | No especificadas |
| Exploit Públicos | Sí, está siendo explotado activamente |
| Referencia |
Vulncheck CVE-2026-119096, KEV Browse, Faq Vulncheck KEV |
| Descripción | Vulnerabilidad de autenticación incorrecta en un producto no especificado (Bajo análisis). Esta falla permite a un atacante eludir mecanismos de autenticación, lo que podría derivar en acceso no autorizado a sistemas o datos sensibles. Actualmente se confirma que esta vulnerabilidad está siendo explotada activamente. |
| Estrategia | Priorizar la identificación inmediata del producto y versiones afectados dentro del entorno corporativo. Aplicar parches o actualizaciones oficiales tan pronto como estén disponibles. Mientras tanto, reforzar controles de autenticación, limitar accesos con privilegios y monitorizar actividades anómalas para detectarla explotación activa. |
| CVE | CVE-2025-67964 |
| Severidad | UNDER ANALYSIS |
| Importancia para la empresa | ALTA |
| Publicado | Sat, 1 Nov 2026, 04:32 (UTC) |
| Vendor | No especificado |
| Producto | No especificado |
| Versiones | No especificado |
| Exploit Públicos | Sí, explotándose activamente |
| Referencia | Vulncheck CVE-2025-67964 |
| Descripción | Neutralización incorrecta de entrada durante la generación de páginas web. Este fallo permite que un atacante inyecte código malicioso en páginas web generadas, pudiendo comprometer la integridad de la aplicación y la información de los usuarios.
Esta vulnerabilidad se está explotando activamente, representando un riesgo elevado para la empresa debido a la probabilidad de ejecución de código no autorizado y acceso no controlado a datos sensibles. |
| Estrategia | Priorizar inmediatamente la identificación y parcheo del software afectado. Implementar controles estrictos de validación y escape de entradas en todas las interfaces web. También monitorizar activamente la red y los logs para detectar intentos de explotación y responder rápidamente. |
| CVE | CVE-2026-103898 |
| Severidad | Alta (explotación activa confirmada) |
| Importancia para la empresa | ALTA |
| Publicado | 2026-11-01 04:32:04 (UTC) |
| Vendor | Wpmet |
| Producto | wp_social_login_and_register_social_counter |
| Versiones | Versiones actuales y anteriores (no especificadas) |
| Exploit Públicos | Sí, explotación activa confirmada |
| Referencia | Detalle CVE | FAQ KEV |
| Descripción | Vulnerabilidad de autenticación inapropiada en wp_social_login_and_register_social_counter del fabricante Wpmet, que permite a atacantes sortear mecanismos de autenticación previstos. Esto significa que un atacante puede obtener acceso no autorizado al sistema o ejecutar acciones restringidas sin credenciales válidas. La explotación está confirmada en entornos reales. |
| Estrategia | Priorizar actualización inmediata del plugin a la última versión que corrige esta falla. Reforzar controles de autenticación y monitorear accesos inusuales. En caso de imposibilidad de parchear, implementar reglas de firewall específicas para bloquear tráfico sospechoso y limitar derechos mínimos a usuarios autenticados. |
| CVE | CVE-2026-34892 |
| Severidad | Alta (no especificado numérico, pero indica explotación activa) |
| Importancia para la empresa | ALTA |
| Publicado | 01 de noviembre de 2026 |
| Vendor | Rank Math |
| Producto | Rank Math SEO Plugin |
| Versiones | No especificado, se asume versiones actuales o inmediatas anteriores |
| Exploit Públicos | Sí, explotación activa confirmada |
| Referencia | Detalles del CVE |
| Descripción | Vulnerabilidad de falta de autorización en el plugin Rank Math SEO que permite a un atacante no autenticado ejecutar acciones restringidas. Esta debilidad facilita el abuso del sistema mediante la explotación remota, comprometiendo configuraciones y datos sensibles dentro de sitios web que utilizan este plugin. |
| Estrategia | Aplicar inmediatamente el parche oficial de Rank Math. Revisar y restringir permisos de usuarios en el entorno WordPress. Implementar monitoreo activo de actividades anómalas e intentar bloquear accesos no autorizados mediante firewall de aplicaciones web (WAF). |
| CVE | CVE-2023-2356 |
| Severidad | No especificada (pero explotación activa) |
| Importancia para la empresa | ALTA |
| Publicado | 01 Noviembre 2026 |
| Vendor | lfprojects |
| Producto | MLflow |
| Versiones | No especificadas |
| Exploit Públicos | Sí, explotación activa confirmada |
| Referencia | VulnCheck CVE-2023-2356 |
| Descripción | Vulnerabilidad de traversal de ruta relativa en MLflow de lfprojects que permite a un atacante manipular rutas de archivos y potencialmente acceder a archivos no autorizados. |
| Estrategia | Aplicar parches oficiales de inmediato. Si no existe parche, restringir permisos de acceso al sistema de archivos, validar entradas que contengan rutas y monitorizar accesos anómalos. Se recomienda una revisión profunda ya que la vulnerabilidad está siendo explotada activamente. |
| CVE | CVE-2025-5569 |
| Severidad | No especificada (pero explotación confirmada) |
| Importancia para la empresa | ALTA |
| Publicado | 1 de noviembre de 2026 |
| Vendor | ideacms |
| Producto | ideacms |
| Versiones | No especificadas |
| Exploit Públicos | Sí, explotación activa confirmada |
| Referencia | Vulncheck CVE-2025-5569 |
| Descripción | Neutralización incorrecta de elementos especiales en la salida utilizada por un componente descendente en ideacms. Esto permite la manipulación de la salida que puede comprometer la seguridad de aplicaciones que consumen dicho output. La vulnerabilidad está siendo explotada activamente. |
| Estrategia | Priorizar la aplicación inmediata de parches oficiales de ideacms. Si no están disponibles, implementar controles de validación y saneamiento de la salida antes de que sea consumida por otros componentes. Monitorizar activamente indicadores de compromiso relacionados y revisar logs para detectar explotación. Limitar privilegios en componentes descendentes para minimizar impacto. |
| CVE | CVE-2026-109220 |
| Severidad | CRITICAL (9.8) |
| Importancia para la empresa | ALTA |
| Publicado | 01 Nov 2026, 04:32 (UTC) |
| Vendor | WooCommerce |
| Producto | PDF Invoice for WooCommerce + Drag and Drop Template Builder plugin para WordPress |
| Versiones | Todas las versiones hasta e incluyendo la 7.1.1 |
| Exploit Públicos | Sí, existe exploit público confirmado |
| Referencia | Enlace al parche oficial |
| Descripción | El plugin PDF Invoice for WooCommerce + Drag and Drop Template Builder para WordPress es vulnerable a una inyección de objetos PHP a través del parámetro ‘customer_note’ en todas las versiones hasta la 7.1.1. Esto se debe a una sanitización insuficiente del campo ‘customer_note’ en el checkout, que se inserta directamente en el HTML de la factura, es decodificado y finalmente procesado por la función unserialize() sin validación previa. Un atacante no autenticado puede ejecutar código arbitrario en el servidor enviando una orden anónima a través de la API pública del Store, usando métodos de pago como transferencia bancaria o cheque, lo que activa la generación de la factura y dispara la vulnerabilidad. |
| Estrategia | Actualizar de inmediato a la versión 7.2.0 o superior donde se ha corregido la vulnerabilidad. Revisar y limitar el acceso público a la API de checkout para evitar abusos. Implementar controles adicionales de validación y saneamiento en los datos recibidos de usuarios anónimos. Monitorizar logs para detectar patrones de explotación y uso indebido de la API. |
| CVE | CVE-2026-116557 |
| Severidad | CRITICAL (9.1) |
| Importancia para la empresa | ALTA |
| Publicado | 01 Noviembre 2026 |
| Vendor | WP Booking System |
| Producto | Booking Calendar plugin para WordPress |
| Versiones | Hasta la 2.1.0.5 incluida |
| Exploit Públicos | Sí |
| Referencia | Detalle Vulnerabilidad</td |
| Descripción | El plugin WP Booking System – Booking Calendar para WordPress presenta una vulnerabilidad de modificación no autorizada de datos debido a la ausencia de verificación de capacidades en la función wpbs_action_ajax_calendar_remove_note() en versiones hasta la 2.1.0.5 incluida. Esto permite que atacantes autenticados con acceso desde nivel suscriptor puedan eliminar notas arbitrarias de cualquier calendario. |
| Estrategia | Actualizar urgentemente el plugin a una versión corregida que implemente controles adecuados de permisos. Restringir el acceso a usuarios con privilegios mínimos y monitorizar logs para detectar intentos de eliminación maliciosa. Implementar políticas de revisión de permisos para usuarios que operen dentro del gestor WordPress. |
—
He insertado la información en la base Supabase siguiendo el formato requerido para su trazabilidad y seguimiento.
| CVE | CVE-2026-89270 |
| Severidad | CRITICAL (9.1) |
| Importancia para la empresa | ALTA |
| Publicado | 01 Nov 2026, 04:32 (UTC) |
| Vendor | WP Popup Builder |
| Producto | Popup Builder Plugin para WordPress |
| Versiones | Todas las versiones hasta e incluyendo 4.4.5 |
| Exploit Públicos | Sí, confirmado |
| Referencia | Referencia oficial código afectado |
| Descripción | El plugin Popup Builder para WordPress, utilizado para crear popups de marketing altamente efectivos y adaptados a móviles, presenta una vulnerabilidad de bypass de autorización en todas las versiones hasta la 4.4.5. Esto se debe a que el plugin no verifica correctamente si un usuario está autorizado para realizar la acción. Como consecuencia, un atacante no autenticado puede eliminar (trasladar a la papelera) todos los popups publicados en la web mediante una única solicitud GET no autenticada. Esta amenaza se agrava por un segundo fallo en SGPopup::find(), que devuelve falso para cada popup publicado si el parámetro sg_popup_preview_id está presente, haciendo que se active el borrado de todos los popups simultáneamente. |
| Estrategia | Actualizar de inmediato a la versión más reciente del plugin Popup Builder que corrija esta vulnerabilidad. Mientras se implementa el parche, restringir accesos no autenticados a la funcionalidad del plugin mediante reglas de firewall y monitorizar intentos sospechosos de acceso para detectar explotación. Considerar revisión de copias de seguridad para recuperación en caso de ataques activos. |
*****
La vulnerabilidad está siendo explotada activamente y representa un riesgo directo porque permite a atacantes sin autentificación borrar todo el contenido de popups de marketing crucial para la empresa, afectando campañas y reputación. Prioridad máxima para parchear o mitigar.
—
Ahora realizaré la inserción en Supabase con los valores obtenidos. ¿Quieres que continúe?
| CVE | CVE-2026-103882 |
| Severidad | CRITICAL (9.1) |
| Importancia para la empresa | ALTA |
| Publicado | 01 Nov 2026, 04:32 (UTC) |
| Vendor | Acadlix |
| Producto | Acadlix LMS – AI Quiz Maker, Online Exam & Course Plugin para WordPress |
| Versiones | Todas las versiones hasta la 1.1.9 inclusive |
| Exploit Públicos | Sí |
| Referencia | Detalle del código vulnerable |
| Descripción | El plugin Acadlix LMS para WordPress es vulnerable a la eliminación arbitraria de archivos debido a una validación insuficiente de las rutas de archivos en la función post_delete_assessment_file_by_id en todas las versiones hasta la 1.1.9 inclusive. Esto permite a atacantes autenticados con acceso de nivel suscriptor o superior eliminar archivos arbitrarios en el servidor, lo que puede derivar en una ejecución remota de código si se elimina un archivo crítico como wp-config.php. La verificación del permiso de la ruta solo valida un wp_rest nonce genérico incluido en JavaScript público, reduciendo la autenticación prácticamente a usuarios no autenticados. |
| Estrategia | Actualizar inmediatamente el plugin a una versión parcheada (superior a 1.1.9). Revisar y limitar los permisos de usuario para evitar accesos innecesarios de nivel suscriptor a funciones críticas. Implementar monitoreo proactivo para detectar eliminación de archivos sospechosos y reforzar las políticas de autenticación y validación en endpoints REST. Auditar la integridad de archivos clave del sistema como wp-config.php. |
—
Estoy insertando ya el registro en Supabase con los campos indicados para el seguimiento y control de alertas.
| CVE | CVE-2026-118235 |
| Severidad | CRÍTICA (9.8) |
| Importancia para la empresa | ALTA |
| Publicado | 01 de noviembre de 2026 |
| Vendor | SimpleForm |
| Producto | SimpleForm – Form Maker to Chat Apps with Quiz, Poll and Multi Lead Notifications plugin for WordPress |
| Versiones | Todas las versiones hasta la 3.10.2 incluida |
| Exploit Públicos | Sí |
| Referencia | Repositorio SimpleForm en WordPress |
| Descripción | El plugin SimpleForm de WordPress es vulnerable a una subida arbitraria de archivos en todas las versiones hasta la 3.10.2 inclusive a través de la función handle_upload. La ausencia de una lista de claves permitidas para archivos en el servidor y la falta de saneamiento adecuado permiten que un nombre de archivo con un punto final evite todas las validaciones de extensión y MIME. Esto permite a atacantes no autenticados subir archivos que pueden ser ejecutables, facilitando la ejecución remota de código. El único control de acceso es un nonce accesible en el atributo data-nonce del formulario, que puede ser obtenido fácilmente por cualquier visitante no autenticado. |
| Estrategia | Actualizar inmediatamente a una versión parcheada superior a la 3.10.2. Mientras tanto, restringir el acceso público a las páginas que contienen el formulario, implementar reglas WAF para bloquear cargas sospechosas y monitorizar intentos de subida anómalos. Revisar y fortalecer todos los controles de subida de archivos en el servidor. |
| CVE | CVE-2026-120201 |
| Severidad | CRITICAL (9.3) |
| Importancia para la empresa | ALTA |
| Publicado | 01 Nov 2026, 04:32 (UTC) |
| Vendor | Jpom |
| Producto | Jpom |
| Versiones | 2.10.0 hasta 2.11.12 |
| Exploit Públicos | Sí |
| Referencia | Repositorio oficial de Jpom en GitHub |
| Descripción | Jpom versiones 2.10.0 a 2.11.12 contienen una vulnerabilidad de bypass de autenticación que permite a atacantes no autenticados obtener acceso de superadministrador inyectando condiciones de consulta en el encabezado JPOM-USER-TOKEN. Al enviar un valor como ‘is not null’, el parser Condition de Hutool lo interpreta como un operador, permitiendo ejecutar comandos a través de las funciones de script de Jpom. |
| Estrategia | Actualizar inmediatamente a una versión parcheada por el fabricante. Mientras tanto, restringir el acceso a la interfaz vulnerable y monitorizar actividad sospechosa en los logs. Es crítica la implementación de controles para validar o sanear el encabezado JPOM-USER-TOKEN evitando inyecciones. Verificar si ya existe explotación activa en la red interna para priorizar respuesta. |
—
Nota: Esta vulnerabilidad permite una escalada remota y total control sin credenciales, por lo que es altamente probable que se explote activamente. Debe priorizarse con máxima urgencia la mitigación y monitorización.
| CVE | CVE-2026-120209 |
| Severidad | CRITICAL (9.3) |
| Importancia para la empresa | ALTA |
| Publicado | 2026-11-01T04:32:06.749866+00:00 |
| Vendor | Belief Team |
| Producto | AJ-Report |
| Versiones | versiones hasta la 1.7.1 inclusive |
| Exploit Públicos | Sí |
| Referencia | Informe oficial de vulnerabilidad |
| Descripción | AJ-Report hasta la versión 1.7.1 comparte tokens de compartir con un secreto JWT hardcodeado, lo que permite a atacantes forjar tokens Share-Tokens válidos sin conexión. Con un token malicioso con reportCode ‘dataSet’, un atacante puede acceder al endpoint testTransform que ejecuta scripts en GroovyClassLoader, permitiendo ejecución remota de código sin autenticación. |
| Estrategia | Actualizar inmediatamente a una versión que corrija el uso del secreto JWT hardcodeado. Revisar y restringir los endpoints que permiten ejecución de código remota y eliminar cualquier uso de secretos incrustados en el código. Implementar monitoreo para detectar actividad sospechosa y tokens forjados. |
| CVE | CVE-2026-118636 |
| Severidad | CRÍTICA (9.8) |
| Importancia para la empresa | ALTA |
| Publicado | 01 Nov 2026 |
| Vendor | Apache Software Foundation |
| Producto | Apache MINA 3.0 codec module |
| Versiones | Todas las de la rama 3.0.0 (rama inactiva) |
| Exploit Públicos | Sí |
| Referencia | Lista de seguridad Apache |
| Descripción | La clase JavaNativeMessageDecoder del módulo codec MINA 3.0 llama a ObjectInputStream.readObject() sobre los bytes del frame sin aplicar ningún filtro de clase. Esto permite a un atacante remoto, mediante un peer no confiable, aprovechar cadenas de gadgets para ejecutar código de forma remota (RCE). La rama 3.0.0 está inactiva y no se planean parches; se recomienda actualizar a la rama 2.2.X más reciente. |
| Estrategia | Priorizar actualización inmediata a Apache MINA versión 2.2.X o superior, que no contiene esta vulnerabilidad. Si no es posible, aislar el uso de la versión afectada evitando la exposición a peers no confiables. Monitorizar actividad para detectar explotación y aplicar controles de red para limitar acceso al servicio vulnerable. |
—
He registrado esta vulnerabilidad usando la herramienta Supabase para seguimiento y referencia interna.
| CVE | CVE-2026-120189 |
| Severidad | CRÍTICA (9.3) |
| Importancia para la empresa | ALTA |
| Publicado | 01 Noviembre 2026 |
| Vendor | D-Link |
| Producto | DIR-505 1.10B02 |
| Versiones | DIR-505 versión 1.10B02 |
| Exploit Públicos | Sí, disponible en PoC pública |
| Referencia | https://github.com/Walnut1337/DIR-505_filename_rce/tree/main/poc |
| Descripción | Vulnerabilidad descubierta en D-Link DIR-505 versión 1.10B02 en la función save_upload_file/mp_upload_file dentro del archivo /usr/bin/tftpd, específicamente en el componente TFTP Upload Filename Handler. Esta vulnerabilidad permite una manipulación que provoca un desbordamiento de búfer basado en la pila (stack-based buffer overflow). El ataque puede ser realizado remotamente, y existe un exploit público disponible que facilita su explotación práctica. |
| Evaluación | El exploit público y la posibilidad de ejecución remota hacen que esta vulnerabilidad sea una amenaza crítica para dispositivos con este software, pudiendo permitir ejecución remota de código o interrupción del servicio, comprometiendo la infraestructura o red corporativa. Se debe considerar que esta vulnerabilidad puede estar siendo explotada activamente dada la disponibilidad del exploit. |
| Estrategia | Aplicar inmediatamente actualizaciones o parches oficiales de D-Link para la versión DIR-505 1.10B02 o superior. Como medida temporal, deshabilitar o restringir el acceso al servicio TFTP en el dispositivo para impedir explotación remota. Monitorizar logs y tráfico para detectar intentos de ataque relacionados y aislar dispositivos afectados para evitar movimientos laterales. |
| CVE | CVE-2026-120195 |
| Severidad | CRITICAL (9.3) |
| Importancia para la empresa | ALTA |
| Publicado | 01 Noviembre 2026 |
| Vendor | WAVLINK |
| Producto | WL-WN579A3-A |
| Versiones | 2026-03-10-94f93d4 |
| Exploit Públicos | Sí, explotaciones públicas disponibles |
| Referencia | Detalle del CVE en GitHub |
| Descripción | Se ha detectado una vulnerabilidad crítica en WAVLINK WL-WN579A3-A 2026-03-10-94f93d4 en la función set_wzdgwMesh del archivo /cgi-bin/adm.cgi, componente Initial Setup Wizard. La manipulación del argumento wlan_ssid permite una inyección de comandos OS de forma remota. Exploit público disponible y conocido, con contacto temprano al fabricante. |
| Estrategia | Actualizar inmediatamente el firmware a la versión parcheada aportada por WAVLINK. En caso de ausencia de parche, restringir el acceso remoto al dispositivo y monitorizar cualquier actividad sospechosa sobre el parámetro wlan_ssid. Es crítico mitigar cuanto antes debido al potencial de ejecución remota de código y el exploit público disponible. |
Enviar a un amigo:
