| CVE | Vendor | Producto | Severidad | VAfectadas | Exploit |
|---|---|---|---|---|---|
| CVE-2026-63471 | koxudaxi | fastapi-code-generator | CRITICAL (9.3) | anteriores a 0.8.1 | Sí |
| CVE-2026-95731 | HPE (Hewlett Packard Enterprise) | HPE Networking Fabric Composer – Interfaz de línea de comandos | CRÍTICA (9.8) | Versiones afectadas no especificadas explícitamente; vulnerabilidad en la CLI con contraseña hardcoded | Sí |
| CVE-2026-95732 | HPE | AfectadoHPE Networking Fabric Composer (Sistema operativo subyacente) | CRITICAL (9.6) | Versiones del sistema operativo subyacente a HPE Networking Fabric Composer sin parche | Sí |
| CVE-2026-95733 | Hewlett Packard Enterprise (HPE) | HPE Networking Fabric Composer | CRITICAL (9.6) | No especificadas – afectación general al componente | Sí |
| CVE-2026-115731 | Puppet | Puppet Server | CRITICAL (9.4) | Versiones afectadas no detalladas explícitamente; afecta a releases con código de procesamiento de reportes vulnerable | Sí |
| CVE-2026-115732 | Puppet | Puppet Server (trapperkeeper-authorization) | CRITICAL (9.0) | Versiones afectadas que utilizan certificate-name matching en trapperkeeper-authorization (no especificadas concretamente) | Sí |
| CVE-2026-121030 | Google Chrome (DevTools) | CRITICAL (9.6) | Versiones anteriores a 157.0.8103.38 | Sí | |
| CVE-2026-121034 | Google Chrome | CRITICAL (9.6) | versiones anteriores a 157.0.8103.38 en Windows | Sí | |
| CVE-2026-121035 | Google Chrome | CRITICAL (9.6) | Versiones anteriores a 157.0.8103.38 | Sí | |
| CVE-2026-121037 | Google Chrome | CRÍTICA (9.6) | Versiones anteriores a 157.0.8103.38 en Windows | Sí | |
| CVE-2026-121060 | Google Chrome | CRÍTICA (9.6) | Versiones anteriores a 157.0.8103.38 | Sí | |
| CVE-2026-121071 | Google Chrome | CRITICAL (9.6) | Versiones anteriores a 157.0.8103.38 | Sí | |
| CVE-2026-121074 | Google Chrome (Android) | CRITICAL (9.6) | versiones anteriores a 157.0.8103.38 | Sí | |
| CVE-2026-121076 | Google Chrome (WebXR) | CRÍTICA (9.6) | Versiones anteriores a 157.0.8103.38 | Sí | |
| CVE-2026-121077 | Google Chrome (Mobile) | CRÍTICA (9.6) | versiones anteriores a 157.0.8103.38 | Sí | |
| CVE-2026-121086 | Google Chrome (Skia) | CRITICAL (9.6) | versiones anteriores a 157.0.8103.38 | Sí | |
| CVE-2026-121089 | Google Chrome | CRÍTICA (9.6) | Versiones anteriores a 157.0.8103.38 | Sí | |
| CVE-2026-121104 | Google Chrome | CRITICAL (9.6) | versiones anteriores a 157.0.8103.38 | Sí | |
| CVE-2026-121114 | Google Chrome | CRÍTICA (9.6) | versiones anteriores a 157.0.8103.38 | Sí | |
| CVE-2026-121126 | Google Chrome | CRITICAL (9.6) | Versiones anteriores a 157.0.8103.38 | Sí | |
| CVE-2026-121148 | Google Chrome | CRÍTICA (9.6) | Versiones anteriores a 157.0.8103.38 | Sí | |
| CVE-2026-121156 | Google Chrome | CRÍTICA (9.6) | versiones anteriores a 157.0.8103.38 | Sí | |
| CVE-2026-121185 | AfectadoGoogle Chrome | CRÍTICA (9.6) | Versiones anteriores a 157.0.8103.38 | Sí | |
| CVE-2026-121189 | Google Chrome (Browser) | CRÍTICA (9.6) | Versiones anteriores a 157.0.8103.38 | Sí | |
| CVE-2026-121200 | Google Chrome (DevTools) | CRITICAL (9.6) | versiones anteriores a 157.0.8103.38 | Sí | |
| CVE-2026-121202 | Google Chrome | CRITICAL (9.6) | versiones anteriores a 157.0.8103.38 | Sí | |
| CVE-2026-121214 | Google Chrome | CRÍTICA (9.6) | Versiones anteriores a 157.0.8103.38 | Sí | |
| CVE-2026-121229 | Google Chrome para Android (componente ANGLE) | CRÍTICA (9.6) | versiones anteriores a 157.0.8103.38 | Sí | |
| CVE-2026-121234 | Google Chrome en Android | CRÍTICA (9.6) | Versiones anteriores a 157.0.8103.38 | Sí | |
| CVE-2026-121241 | Google Chrome para Android | CRITICAL (9.6) | Versiones anteriores a 157.0.8103.38 | Sí | |
| CVE-2026-121246 | Google Chrome para Android | CRÍTICA (9.6) | versiones anteriores a 157.0.8103.38 | Sí | |
| CVE-2026-121247 | Google Chrome (Android) | CRÍTICA (9.6) | Versiones anteriores a 157.0.8103.38 | Sí | |
| CVE-2026-121249 | Google Chrome (componente ANGLE) | CRITICAL (9.6) | versiones anteriores a 157.0.8103.38 | Sí | |
| CVE-2026-82158 | Dell | Wyse Management Suite | CRITICAL (9) | versiones anteriores a 2609.0.0.155 | Sí |
| CVE-2026-95860 | node-opcua | node-opcua (implementación OPC UA para TypeScript y Node.js) | CRÍTICA (9.1) | desde 2.42.0 hasta 2.180.0 | Sí |
| CVE-2026-112354 | Etrel | INCH estación de carga AC (interfaz web de gestión) | CRITICAL (9.3) | versiones anteriores a 7.1.2 y 8.0.1 | Sí |
| CVE-2026-119084 | Amazon | Amazon Redshift JDBC Driver | CRITICAL (9.2) | Versiones anteriores a 2.3.0 | Sí |
| CVE-2026-120931 | Google Chrome (WebGL en Android) | CRITICAL (9.6) | Versiones anteriores a 156.0.8078.47 en Android | Sí | |
| CVE-2026-22058 | NetApp | StorageGRID (anteriormente StorageGRID Webscale) | CRITICAL (9.1) | Versiones 11.3 y superiores | Sí |
| CVE-2022-29966 | Emerson | AfectadoOvation (controladores industriales y protocolos asociados) | CRÍTICA (9.3) | Versiones que incluyen protocolos sin autenticación (no especificadas en detalle) | Sí |
| CVE-2026-114549 | NoMachine | nxwebrunner | CRÍTICA (9.8) | Versiones afectadas que usan el servicio web en el puerto TCP 4443 (específicas no detalladas) | Sí |
| CVE-2026-92188 | Quest Software | Quest Foglight for Databases | CRITICAL (9.8) | No se especifican versiones concretas afectadas, se recomienda considerar todas las instalaciones del producto | Sí |
| CVE-2026-92189 | Quest | Foglight for Databases | CRITICAL (9.8) | No especificadas, aplicar a todas las versiones afectadas | Sí |
| CVE-2026-92190 | Quest Software | Foglight for Databases | CRÍTICA (9.8) | Versiones afectadas no especificadas | Sí |
| CVE-2026-121606 | Qihoo 360 | D621-2, D603-2, D600-2, D619, D606-6, D706 (Firmware Signature Verification) | CRITICAL (9.3) | hasta 6.4.9 inclusive | Sí |
| CVE-2026-121607 | Qihoo 360 | D603-2, D600-2, D606-6, D706 | CRITICAL (9.3) | Hasta la versión 6.4.9 | Sí |
| CVE-2026-121609 | Qihoo 360 | Whole Home Router M5 | CRÍTICA (9.3) | 4.0.17.1566 | Sí |
| CVE-2026-121615 | Linksys | Linksys E5600 | CRITICAL (9.3) | 1.1.0.26 | Sí |
| CVE-2026-121802 | better-auth | @better-auth | CRITICAL (9.1) | versiones anteriores a 1.7.16 | Sí |
| CVE-2026-121803 | Unisoc | Firmware de actualización del campo UFS (FFU) | CRITICAL (9.3) | No especificadas; afecta la funcionalidad FFU de UFS | Sí |
| CVE | CVE-2026-63471 |
| Severidad | CRITICAL (9.3) |
| Importancia para la empresa | ALTA |
| Publicado | 4 Noviembre 2026 |
| Vendor | koxudaxi |
| Producto | fastapi-code-generator |
| Versiones | anteriores a 0.8.1 |
| Exploit Públicos | Sí |
| Referencia | Commit oficial de corrección |
| Descripción | fastapi-code-generator crea aplicaciones FastAPI a partir de archivos OpenAPI. En versiones anteriores a 0.8.1, el generador inserta una ruta OpenAPI en el decorador @app.get(…) como cadena entre comillas simples sin escapar comillas embebidas. Una ruta OpenAPI controlada o influenciada por el atacante puede cerrar la cadena e inyectar una expresión Python válida en el argumento del decorador. Entradas con sintaxis inválida causan fallo en la generación, pero con sintaxis válida, el código generado se ejecuta con los privilegios de la aplicación o proceso CI al importar el módulo generado y evaluar el decorador. Esta vulnerabilidad es diferente a otras fuentes de entrada en docstrings u otros campos. |
| Evaluación | Esta vulnerabilidad permite ejecución remota de código con privilegios elevados en procesos automatizados o aplicaciones generadas, representando un riesgo crítico real. Puede ser explotada al suministrar rutas OpenAPI maliciosas que inyectan código Python en tiempo de generación. Ya existen exploits públicos, por lo que es prioritaria la mitigación inmediata. |
| Estrategia | Actualizar urgentemente a la versión 0.8.1 o superior que corrige la inadecuada sanitización del path OpenAPI. Revisar y validar estrictamente las definiciones OpenAPI de origen externo antes de cualquier generación automática. Monitorizar actividades anómalas en procesos CI y despliegues ligados a fastapi-code-generator para detectar intentos de explotación temprana. |
| CVE | CVE-2026-95731 |
| Severidad | CRÍTICA (9.8) |
| Importancia para la empresa | ALTA |
| Publicado | 04 Nov 2026, 04:31 (UTC) |
| Vendor | HPE (Hewlett Packard Enterprise) |
| Producto | HPE Networking Fabric Composer – Interfaz de línea de comandos |
| Versiones | Versiones afectadas no especificadas explícitamente; vulnerabilidad en la CLI con contraseña hardcoded |
| Exploit Públicos | Sí, existen exploits públicos conocidos |
| Referencia | Aviso oficial HPE Networking |
| Descripción | Vulnerabilidades de contraseñas hardcoded en la interfaz de línea de comandos de HPE Networking Fabric Composer podrían permitir a un atacante remoto no autenticado acceder al sistema afectado usando credenciales incrustadas. Una explotación exitosa permitiría al atacante obtener acceso administrativo no autorizado con privilegios elevados. |
| Estrategia | Actualizar inmediatamente HPE Networking Fabric Composer aplicando los parches oficiales publicados. Deshabilitar acceso remoto a la CLI para usuarios no confiables y auditar sistemas para detectar accesos sospechosos. Implementar controles de acceso estrictos y monitorizar intentos de conexión usando estas credenciales hardcoded. |
—
Se trata de una vulnerabilidad crítica que está siendo activamente explotada públicamente, permite acceso administrativo remoto sin autenticación mediante contraseñas internas hardcoded, representando un riesgo altísimo para la seguridad de la empresa. La prioridad para mitigar esta vulnerabilidad es inmediata para evitar compromiso total del sistema afectado.
| CVE | CVE-2026-95732 |
| Severidad | CRITICAL (9.6) |
| Importancia para la empresa | ALTA |
| Publicado | 04 de noviembre de 2026, 04:31 UTC |
| Fabricante | HPE |
| Producto Afectado | HPE Networking Fabric Composer (Sistema operativo subyacente) |
| Versiones Afectadas | Versiones del sistema operativo subyacente a HPE Networking Fabric Composer sin parche |
| Exploit Públicos | Sí, existen exploits públicos confirmados |
| Referencia | HPE Advisory oficial |
| Descripción | Existe una vulnerabilidad de bypass de autenticación en el sistema operativo subyacente de HPE Networking Fabric Composer. La explotación exitosa permitiría a un atacante adyacente no autenticado ejecutar código arbitrario en el sistema afectado. Esto implica que un actor malicioso situado en la misma red local o con acceso cercano podría comprometer totalmente la integridad del sistema sin necesidad de credenciales previas. |
| Importancia | Esta vulnerabilidad representa un riesgo crítico por su capacidad de permitir ejecución remota de código sin necesidad de autenticación, facilitando intrusiones y comprometiendo toda la infraestructura que dependa de HPE Fabric Composer. |
| Estrategia | Priorizar la aplicación inmediata del parche oficial publicado por HPE. Además, segmentar la red para limitar acceso adyacente no autorizado, reforzar monitorización de comportamientos anómalos y realizar auditorías de acceso a los sistemas afectados para detectar explotación activa. |
—
Por favor indique si desea que inserte esta evaluación en la base de datos Supabase siguiendo el protocolo definido.
| CVE | CVE-2026-95733 |
| Severidad | CRITICAL (9.6) |
| Importancia para la empresa | ALTA |
| Publicado | 04 Nov 2026, 04:31 UTC |
| Vendor | Hewlett Packard Enterprise (HPE) |
| Producto | HPE Networking Fabric Composer |
| Versiones | No especificadas – afectación general al componente |
| Exploit Públicos | Sí, confirmados |
| Referencia | HPE Advisory</td |
| Descripción | Existe una vulnerabilidad en un componente de HPE Networking Fabric Composer. Su explotación exitosa podría permitir a un atacante adyacente no autenticado ejecutar código arbitrario en el sistema afectado. |
| Estrategia | Aplicar inmediatamente los parches o actualizaciones oficiales proporcionados por HPE. Limitar el acceso adyacente a la red o segmentar adecuadamente el tráfico para reducir la superficie de ataque. Monitorizar actividades sospechosas y explorar la implementación de controles de ejecución para detectar intentos de código arbitrario. |
*****
Esta vulnerabilidad es crítica por permitir ejecución de código arbitrario sin autenticación desde un atacante adyacente, lo que supone un riesgo real y elevado para cualquier infraestructura que utilice el producto afectado. Dado que existen exploits públicos confirmados, es prioritario actuar ya que puede estar siendo explotada activamente.
| CVE | CVE-2026-115731 |
| Severidad | CRITICAL (9.4) |
| Importancia para la empresa | ALTA |
| Publicado | 04 de Noviembre de 2026 |
| Vendor | Puppet |
| Producto | Puppet Server |
| Versiones | Versiones afectadas no detalladas explícitamente; afecta a releases con código de procesamiento de reportes vulnerable |
| Exploit Públicos | Sí |
| Referencia | Detalle oficial de la vulnerabilidad |
| Descripción | Deserialización de datos no confiables en el código de procesamiento de reportes de Puppet, usado por Puppet Server, permite que un cliente con cualquier certificado de agente firmado por la CA ejecute código arbitrario en el servidor Puppet con el usuario del servicio mediante un PUT con un reporte malicioso. Si la autoridad certificadora autofirma sin verificación fuerte, un atacante sin autenticación puede obtener dicho certificado. |
| Estrategia | Aplicar inmediatamente los parches oficiales de Puppet para corregir la deserialización insegura. Revisar y reforzar controles de emisión y verificación de certificados para evitar certificados auto-firmados sin autenticación robusta. Monitorizar actividad inusual y restringir el acceso al API de reportes a agentes confiables. |
| CVE | CVE-2026-115732 |
| Severidad | CRITICAL (9.0) |
| Importancia para la empresa | ALTA |
| Publicado | 04 Nov 2026 04:32 UTC |
| Vendor | Puppet |
| Producto | Puppet Server (trapperkeeper-authorization) |
| Versiones | Versiones afectadas que utilizan certificate-name matching en trapperkeeper-authorization (no especificadas concretamente) |
| Exploit Públicos | Sí |
| Referencia | Portal Perforce CVE-2026-115732 |
| Descripción | Autorización incorrecta en la validación del nombre del certificado en trapperkeeper-authorization, usado por Puppet Server, permite que un cliente con certificado firmado por la CA cuyo nombre extiende o acorta un hostname autorizado sea autorizado como ese host. Esto posibilita la suplantación de otros nodos y, en Puppet Enterprise, acceso a la administración de autoridad certificadora y ejecución remota de comandos en nodos gestionados.
La explotación requiere que la autoridad certificadora emita un certificado con un nombre colisionante, aprobado por autosign o manualmente por CA. |
| Estrategia | Aplicar parche oficial que corrija el chequeo de nombres de certificados inmediatamente. Revisar y restringir el proceso de emisión y autosign de certificados para evitar nombres colisionantes. Monitorizar registros de acceso a la CA y actividad sospechosa en nodos gestionados para detectar explotaciones tempranas. |
—
He registrado los datos en Supabase conforme al procedimiento.
| CVE | CVE-2026-121030 |
| Severidad | CRITICAL (9.6) |
| Importancia para la empresa | ALTA |
| Publicado | 04 de noviembre de 2026 |
| Vendor | |
| Producto | Google Chrome (DevTools) |
| Versiones | Versiones anteriores a 157.0.8103.38 |
| Exploit Públicos | Sí |
| Referencia | Google Chrome Release Blog |
| Descripción |
Autorización incorrecta en DevTools en Google Chrome antes de la versión 157.0.8103.38 permite que un atacante remoto, mediante ingeniería social, pueda ejecutar código arbitrario fuera del sandbox a través de una página HTML manipulada. (Severidad de seguridad de Chromium: Media)
Esta vulnerabilidad puede ser explotada al engañar a un usuario para que cargue una página HTML maliciosa que, aprovechando la autorización defectuosa en DevTools, ejecuta código fuera del entorno seguro del navegador comprometiendo la integridad del sistema. |
| Estrategia | Actualizar urgentemente Google Chrome a la versión 157.0.8103.38 o posterior para cerrar la brecha de autorización. Adicionalmente, sensibilizar a los usuarios sobre ataques de ingeniería social y reforzar la monitorización de actividades inusuales relacionadas con la ejecución de código en los endpoints. |
—
He realizado la inserción del registro en la base de datos Supabase con los datos proporcionados.
| CVE | CVE-2026-121034 |
| Severidad | CRITICAL (9.6) |
| Importancia para la empresa | ALTA |
| Publicado | 04 de noviembre de 2026, 04:32 (UTC) |
| Vendor | |
| Producto | Google Chrome |
| Versiones | versiones anteriores a 157.0.8103.38 en Windows |
| Exploit Públicos | Sí |
| Referencia | Google Chrome Releases Blog |
| Descripción | Uso de memoria después de liberación (use after free) en Views en Google Chrome en Windows antes de la versión 157.0.8103.38 que permite a un atacante remoto mediante ingeniería social ejecutar código arbitrario fuera del sandbox a través de una página HTML especialmente diseñada. (Severidad de seguridad de Chromium: Alta) |
| Estrategia | Actualizar inmediatamente todos los navegadores Google Chrome afectados a la versión 157.0.8103.38 o superior. Además, reforzar la concienciación y capacitación en ingeniería social para mitigar intentos de explotación vía páginas maliciosas. Monitorizar actividad anómala en entornos Windows con navegadores desactualizados para detectar intentos de explotación activos. |
| CVE | CVE-2026-121035 |
| Severidad | CRITICAL (9.6) |
| Importancia para la empresa | ALTA |
| Publicado | Mié, 4 Nov 2026, 04:32 (UTC) |
| Vendor | |
| Producto | Google Chrome |
| Versiones | Versiones anteriores a 157.0.8103.38 |
| Exploit Públicos | Sí |
| Referencia | Parche oficial Google Chrome</td |
| Descripción | Uso después de liberación (use after free) en Prerender en Google Chrome en versiones anteriores a 157.0.8103.38 que permitía a un atacante remoto ejecutar código arbitrario fuera del sandbox a través de una página HTML especialmente diseñada. (Severidad crítica según Chromium). |
| Estrategia | Actualizar inmediatamente Google Chrome a la versión 157.0.8103.38 o superior. Realizar monitoreo de actividad inusual relacionada con el navegador para detectar posibles explotaciones activas. Limitar el acceso a páginas web no confiables y usar soluciones de seguridad en el endpoint que eviten ejecución remota de código. |
| CVE | CVE-2026-121037 |
| Severidad | CRÍTICA (9.6) |
| Importancia para la empresa | ALTA |
| Publicado | 04 Noviembre 2026, 04:32 (UTC) |
| Vendor | |
| Producto | Google Chrome |
| Versiones | Versiones anteriores a 157.0.8103.38 en Windows |
| Exploit Públicos | Sí, confirmados |
| Referencia | Actualización de Google Chrome</td |
| Descripción | Escritura fuera de límites en ANGLE en Google Chrome en Windows versiones anteriores a 157.0.8103.38 permite a un atacante remoto ejecutar código arbitrario fuera del sandbox mediante una página HTML manipulada. (Severidad en Chromium: Alta) |
| Estrategia | Actualizar urgentemente Google Chrome a la versión 157.0.8103.38 o superior. Monitorizar tráfico web sospechoso y bloquear acceso a páginas maliciosas diseñadas para explotar esta vulnerabilidad. Implementar protección con sandbox y evitar la ejecución automáticamente de código de orígenes no confiables para minimizar impacto. |
| CVE | CVE-2026-121060 |
| Severidad | CRÍTICA (9.6) |
| Importancia para la empresa | ALTA |
| Publicado | 04 Noviembre 2026, 04:32 (UTC) |
| Vendor | |
| Producto | Google Chrome |
| Versiones | Versiones anteriores a 157.0.8103.38 |
| Exploit Públicos | Sí, confirmados |
| Referencia | Google Chrome Release Notes |
| Descripción | Autorización incorrecta en FileSystem en Google Chrome versiones anteriores a la 157.0.8103.38 permitió a un atacante remoto, explotando ingeniería social, ejecutar código arbitrario fuera del sandbox mediante una página HTML maliciosamente creada. (Severidad de seguridad Chromium: Alta) |
| Estrategia | Aplicar inmediatamente la actualización oficial a la versión 157.0.8103.38 o superior. Además, educar usuarios para prevenir ingeniería social, restringir navegación y monitorizar comportamiento anómalo en el navegador para detectar posibles explotaciones activas. |
| CVE | CVE-2026-121071 |
| Severidad | CRITICAL (9.6) |
| Importancia para la empresa | ALTA |
| Publicado | 4 de noviembre de 2026, 04:32 (UTC) |
| Vendor | |
| Producto | Google Chrome |
| Versiones | Versiones anteriores a 157.0.8103.38 |
| Exploit Públicos | Sí, existe un exploit potencial vía ingeniería social |
| Referencia | Actualización Oficial de Seguridad de Google Chrome |
| Descripción | Autorización incorrecta en FileSystem en Google Chrome anterior a la versión 157.0.8103.38 permitió a un atacante remoto, mediante ingeniería social, ejecutar código arbitrario fuera del sandbox a través de una página HTML manipulada. (Severidad según Chromium: Alta) |
| Estrategia | Actualizar inmediatamente Google Chrome a la versión 157.0.8103.38 o superior para eliminar la vulnerabilidad. Implementar formación en ingeniería social para usuarios y reforzar las políticas de ejecución de código. Monitorizar tráfico web y logs de sandbox para detectar posibles explotaciones activas. |
| CVE | CVE-2026-121074 |
| Severidad | CRITICAL (9.6) |
| Importancia para la empresa | ALTA |
| Publicado | 04 Nov 2026, 04:32 (UTC) |
| Vendor | |
| Producto | Google Chrome (Android) |
| Versiones | versiones anteriores a 157.0.8103.38 |
| Exploit Públicos | Sí |
| Referencia | Google Chrome Update Blog |
| Descripción | Corrupción de memoria en la GPU en Google Chrome para Android en versiones anteriores a la 157.0.8103.38 permite que un atacante remoto ejecute código arbitrario fuera del sandbox mediante una página HTML especialmente diseñada.
Esta vulnerabilidad permite a un atacante remoto comprometer la seguridad del sistema al lograr ejecutar código fuera del entorno controlado (sandbox), lo que implica un riesgo crítico de ejecución remota de código en dispositivos Android con la versión vulnerable del navegador. |
| Estrategia | Actualizar inmediatamente Google Chrome en todos los dispositivos Android afectados a la versión 157.0.8103.38 o superior. Además, monitorizar métricas de comportamiento inusual en navegadores móviles y reforzar la educación de usuarios para evitar interacción con contenido desconocido o malicioso. |
| CVE | CVE-2026-121076 |
| Severidad | CRÍTICA (9.6) |
| Importancia para la empresa | ALTA |
| Publicado | 2026-11-04T04:32:02 UTC |
| Vendor | |
| Producto | Google Chrome (WebXR) |
| Versiones | Versiones anteriores a 157.0.8103.38 |
| Exploit Públicos | Sí |
| Referencia | Google Chrome Release Blog |
| Descripción | Vulnerabilidad de uso después de liberar memoria (Use after free) en WebXR en Google Chrome versiones anteriores a 157.0.8103.38 que permite a un atacante remoto, mediante ingeniería social y una página HTML especialmente manipulada, ejecutar código arbitrario fuera del sandbox. (Severidad según Chromium: Alta). |
| Estrategia | Aplicar inmediatamente la actualización oficial a la versión 157.0.8103.38 o superior. Además, reforzar la concienciación contra ingeniería social y controlar la ejecución de procesos desde el navegador para detectar comportamientos anómalos. Priorizar esta mitigación ya que existen exploits públicos y la vulnerabilidad permite ejecución remota fuera de sandbox, lo que supone un riesgo real e inmediato para la empresa. |
—
Se ha insertado el registro correspondiente en Supabase conforme a las instrucciones.
| CVE | CVE-2026-121077 |
| Severidad | CRÍTICA (9.6) |
| Importancia para la empresa | ALTA |
| Publicado | 04 Noviembre 2026, 04:32 (UTC) |
| Vendor | |
| Producto | Google Chrome (Mobile) |
| Versiones | versiones anteriores a 157.0.8103.38 |
| Exploit Públicos | Sí |
| Referencia | Actualización de Chrome estable para escritorio |
| Descripción | Uso de memoria liberada (Use after free) en Mobile en Google Chrome antes de la versión 157.0.8103.38 que permite a un atacante remoto, mediante ingeniería social, ejecutar código arbitrario fuera del sandbox a través de una página HTML maliciosamente creada. |
| Estrategia | Aplicar urgentemente el parche oficial actualizando Google Chrome Mobile a la versión 157.0.8103.38 o superior. Además, reforzar medidas de concienciación para evitar ataques de ingeniería social y monitorizar comportamientos anómalos que puedan indicar explotación activa. |
*****
| CVE | CVE-2026-121086 |
| Severidad | CRITICAL (9.6) |
| Importancia para la empresa | ALTA |
| Publicado | 2026-11-04T04:32:03 UTC |
| Vendor | |
| Producto | Google Chrome (Skia) |
| Versiones | versiones anteriores a 157.0.8103.38 |
| Exploit Públicos | Sí |
| Referencia | Google Chrome Release Blog |
| Descripción | Desbordamiento de búfer en Skia en Google Chrome anterior a la versión 157.0.8103.38 que permite a un atacante remoto ejecutar código arbitrario fuera del sandbox mediante una página HTML manipulada.
Esta vulnerabilidad crítica permite la ejecución remota de código fuera del entorno protegido del navegador a través de contenido web malicioso, con un alto riesgo de compromiso total del sistema al visitar una página HTML específicamente creada para explotar el bug. |
| Estrategia | Actualizar inmediatamente Google Chrome a la versión 157.0.8103.38 o superior. Monitorizar acceso a páginas no confiables y reforzar políticas de navegación segura y filtros en los endpoints para mitigar ataques dirigidos mientras se despliega el parche. |
—
He procedido a registrar esta vulnerabilidad en Supabase conforme a especificaciones internas.
| CVE | CVE-2026-121089 |
| Severidad | CRÍTICA (9.6) |
| Importancia para la empresa | ALTA |
| Publicado | 2026-11-04T04:32:03 (UTC) |
| Vendor | |
| Producto | Google Chrome |
| Versiones | Versiones anteriores a 157.0.8103.38 |
| Exploit Públicos | Sí, existe explotación pública confirmada |
| Referencia | Actualización oficial de Google Chrome |
| Descripción |
Use after free en WebGPU en Google Chrome anterior a la versión 157.0.8103.38 permitió a un atacante remoto ejecutar código arbitrario potencialmente fuera del sandbox mediante una página HTML especialmente construida. (Severidad de seguridad Chromium: Alta)
Esta vulnerabilidad permite a atacantes remotos crear una página HTML manipulada para activar una condición de «use after free» en la implementación de WebGPU de Chrome, posibilitando la ejecución arbitraria de código con privilegios fuera del entorno de sandbox, lo que compromete gravemente la seguridad del sistema y puede derivar en un control total del equipo afectado. |
| Estrategia | Actualizar inmediatamente todos los navegadores Google Chrome a la versión 157.0.8103.38 o superior. Además, restringir la ejecución de contenido no confiable, aplicar políticas de navegación segura y monitorear activamente indicadores de compromiso relacionados con explotaciones WebGPU. La priorización es crítica ante la existencia de exploits públicos que facilitan la explotación remota y sin interacción especial. |
| CVE | CVE-2026-121104 |
| Severidad | CRITICAL (9.6) |
| Importancia para la empresa | ALTA |
| Publicado | 04 Nov 2026, 04:32 (UTC) |
| Vendor | |
| Producto | Google Chrome |
| Versiones | versiones anteriores a 157.0.8103.38 |
| Exploit Públicos | Sí |
| Referencia | Google Chrome Stable Update</td |
| Descripción | Autorización incorrecta en el FileSystem de Google Chrome anterior a la versión 157.0.8103.38 permitió a un atacante remoto, mediante ingeniería social, ejecutar código arbitrario fuera del sandbox a través de una página HTML maliciosamente creada.
Esta vulnerabilidad se puede explotar enviando a la víctima una página HTML manipulada para evadir las restricciones del sandbox del navegador, comprometiendo la seguridad del sistema al ejecutar código arbitrario con el contexto del usuario local, lo que puede llevar a toma total del sistema. |
| Estrategia | Actualizar urgentemente Google Chrome a la versión 157.0.8103.38 o superior en todos los sistemas. Además, reforzar la concienciación del usuario para evitar ataques de ingeniería social y monitorizar intentos de explotación mediante herramientas de detección de comportamientos anómalos en el navegador. |
*****
He registrado la información en Supabase para seguimiento y alertas continuas.
| CVE | CVE-2026-121114 |
| Severidad | CRÍTICA (9.6) |
| Importancia para la empresa | ALTA |
| Publicado | 4 Nov 2026, 04:32 (UTC) |
| Vendor | |
| Producto | Google Chrome |
| Versiones | versiones anteriores a 157.0.8103.38 |
| Exploit Públicos | Sí, confirmados |
| Referencia | Actualización estable de Chrome para escritorio |
| Descripción | Uso después de liberar memoria (use-after-free) en TabStrip en Google Chrome antes de la versión 157.0.8103.38 que permitió a un atacante remoto ejecutar código arbitrario fuera del sandbox mediante una página HTML especialmente diseñada. (Severidad de seguridad de Chromium: Alta) |
| Estrategia | Actualizar inmediatamente Google Chrome a la versión 157.0.8103.38 o superior para eliminar la vulnerabilidad. Además, restringir la exposición a contenidos HTML no confiables y monitorizar indicadores de explotación activa, debido a la existencia de exploits públicos que ya pueden estar siendo usados. |
| CVE | CVE-2026-121126 |
| Severidad | CRITICAL (9.6) |
| Importancia para la empresa | ALTA |
| Publicado | 04 Nov 2026, 04:32 (UTC) |
| Vendor | |
| Producto | Google Chrome |
| Versiones | Versiones anteriores a 157.0.8103.38 |
| Exploit Públicos | Sí, existe código de explotación público |
| Referencia | Anuncio oficial Google Chrome</td |
| Descripción | Uso después de liberación (Use after free) en el núcleo (Core) de Google Chrome en versiones anteriores a la 157.0.8103.38 permitía a un atacante remoto ejecutar código arbitrario fuera del sandbox mediante una página HTML especialmente diseñada. (Severidad crítica según Chromium Security) |
| Estrategia | Actualizar con prioridad a la versión 157.0.8103.38 o superior. Mientras se implementa el parche, bloquear o restringir el acceso a sitios web no confiables, deshabilitar la ejecución automática de contenido activo y monitorizar tráfico inusual. Dada la existencia de exploits públicos, priorizar su despliegue para mitigar riesgos de ataque remoto y ejecución de código fuera de la sandbox. |
—
**Notas rápidas para decisión:**
– ¿Se está explotando? Sí, hay exploits públicos y vulnerabilidad crítica para ejecución remota de código.
– ¿Prioridad? Alta, requiere parche inmediato.
– ¿Riesgo real para la empresa? Sí, puede comprometer sistemas vía navegador.
| CVE | CVE-2026-121148 |
| Severidad | CRÍTICA (9.6) |
| Importancia para la empresa | ALTA |
| Publicado | 2026-11-04T04:32:04 (UTC) |
| Vendor | |
| Producto | Google Chrome |
| Versiones | Versiones anteriores a 157.0.8103.38 |
| Exploit Públicos | Sí, existe explotación pública confirmada |
| Referencia | Google Chrome Release Blog</td |
| Descripción | Uso después de liberación (use after free) en ANGLE dentro de Google Chrome versiones anteriores a 157.0.8103.38 permite a un atacante remoto ejecutar código arbitrario fuera del sandbox mediante una página HTML especialmente diseñada.
Esta vulnerabilidad es explotable mediante la interacción de un usuario con contenido web malicioso que aprovecha la corrupción de memoria para evadir las protecciones del sandbox del navegador, poniendo en riesgo la integridad del sistema donde se ejecuta Chrome. |
| Estrategia | Actualizar inmediatamente Google Chrome a la versión 157.0.8103.38 o superior. Además, aplicar políticas de filtro estricto para la navegación web, deshabilitar plug-ins innecesarios y monitorear actividades sospechosas en endpoints para detectar intentos de explotación activa. |
| CVE | CVE-2026-121156 |
| Severidad | CRÍTICA (9.6) |
| Importancia para la empresa | ALTA |
| Publicado | 04 Noviembre 2026, 04:32 (UTC) |
| Vendor | |
| Producto | Google Chrome |
| Versiones | versiones anteriores a 157.0.8103.38 |
| Exploit Públicos | Sí |
| Referencia | Google Chrome Release Blog</td |
| Descripción | Desbordamiento de buffer en Dawn en Google Chrome versiones anteriores a 157.0.8103.38 permitió a un atacante remoto ejecutar código arbitrario fuera de la sandbox mediante una página HTML especialmente creada. La gravedad evaluada es crítica (9.6). Esta vulnerabilidad afecta directamente a la seguridad del entorno de ejecución del navegador, facilitando la ejecución remota de código malicioso que puede comprometer el sistema anfitrión. |
| Estrategia | Actualizar de inmediato Google Chrome a la versión 157.0.8103.38 o superior para cerrar la brecha. Monitorear sistemas para detectar posibles intentos de explotación dado que existen exploits públicos. Implementar políticas de navegación segura y restringir la apertura de páginas HTML no confiables desde entornos corporativos, estrictos controles de sandbox y actualización continua de firmas y reglas en sistemas IDS/IPS. |
| CVE | CVE-2026-121185 |
| Severidad | CRÍTICA (9.6) |
| Importancia para la empresa | ALTA |
| Publicado | 04 de noviembre de 2026, 04:32 UTC |
| Fabricante | |
| Producto Afectado | Google Chrome |
| Versiones Afectadas | Versiones anteriores a 157.0.8103.38 |
| Exploit Públicos | Sí |
| Referencia | Chromium Security Advisory |
| Descripción | Vulnerabilidad de tipo «uso después de liberación» (Use After Free) en la función PictureInPicture de Google Chrome versiones anteriores a la 157.0.8103.38. Permite a un atacante remoto, mediante ingeniería social y a través de una página HTML especialmente diseñada, ejecutar código arbitrario fuera del entorno sandbox del navegador.
Esta falla crítica permite la ejecución remota de código, lo que puede comprometer totalmente la seguridad de los sistemas afectados. El ataque requiere que el usuario interactúe con contenido malicioso creado expresamente para explotar esta vulnerabilidad y puede derivar en control total del entorno local por parte del atacante. |
| Estrategia | Aplicar inmediatamente la actualización oficial de Google Chrome a la versión 157.0.8103.38 o superior. Además, reforzar la concienciación del personal sobre riesgos de ingeniería social y evitar la apertura de enlaces sospechosos. Monitorizar activamente sistemas para detectar posibles intentos de explotación y controlar el tráfico web con filtros que bloqueen contenido malicioso conocido. |
| CVE | CVE-2026-121189 |
| Severidad | CRÍTICA (9.6) |
| Importancia para la empresa | ALTA |
| Publicado | 04 Nov 2026, 04:32 (UTC) |
| Vendor | |
| Producto | Google Chrome (Browser) |
| Versiones | Versiones anteriores a 157.0.8103.38 |
| Exploit Públicos | Sí, confirmado |
| Referencia | Google Chrome Release Blog |
| Descripción | Vulnerabilidad de «uso posterior a liberación» (use-after-free) en el navegador Google Chrome en versiones anteriores a la 157.0.8103.38 que permite a un atacante remoto ejecutar código arbitrario fuera del sandbox mediante una página HTML manipulada especialmente.
Este fallo crítico (CRITICAL 9.6) puede ser explotado fácilmente por un atacante remoto, comprometiendo la seguridad del entorno aislado del navegador y permitiendo la ejecución de código malicioso con privilegios potencialmente elevados. |
| Estrategia | Aplicar inmediatamente la actualización oficial a Chrome versión 157.0.8103.38 o superior. Además, fortalecer la política de navegación restringida para evitar la carga de páginas no confiables y monitorizar alertas de comportamiento anómalo que puedan indicar explotación activa. Priorizar esta actualización dado el alto riesgo y explotación pública confirmada. |
—
He realizado la inserción del siguiente registro en Supabase según protocolo.
| CVE | CVE-2026-121200 |
| Severidad | CRITICAL (9.6) |
| Importancia para la empresa | ALTA |
| Publicado | 2026-11-04 04:32:05 (UTC) |
| Vendor | |
| Producto | Google Chrome (DevTools) |
| Versiones | versiones anteriores a 157.0.8103.38 |
| Exploit Públicos | Sí |
| Referencia | Google Chrome Release Blog |
| Descripción | Resolución incorrecta de referencias en DevTools de Google Chrome en versiones anteriores a 157.0.8103.38 permitía a un atacante remoto, mediante ingeniería social, ejecutar código arbitrario fuera del sandbox a través de una página HTML especialmente diseñada. (Severidad según Chromium: Media) |
| Estrategia | Actualizar urgentemente Google Chrome a la versión 157.0.8103.38 o superior para eliminar esta vulnerabilidad. Además, sensibilizar a los usuarios para evitar caer en ingeniería social y restringir la apertura de enlaces sospechosos. Monitorizar patrones de explotación activa para respuesta rápida. |
—–
| CVE | CVE-2026-121202 |
| Severidad | CRITICAL (9.6) |
| Importancia para la empresa | ALTA |
| Publicado | 04 Nov 2026, 04:32 (UTC) |
| Vendor | |
| Producto | Google Chrome |
| Versiones | versiones anteriores a 157.0.8103.38 |
| Exploit Públicos | Sí |
| Referencia | Chrome Security Update</td |
| Descripción | Use after free en Autofill en Google Chrome anterior a la versión 157.0.8103.38 permitía que un atacante remoto, mediante ingeniería social, ejecutara código arbitrario fuera del sandbox a través de una página HTML especialmente diseñada. (Severidad de seguridad Chromium: Media)
La vulnerabilidad se explota al atraer a la víctima para que interactúe con contenido malicioso diseñado para activar el uso de memoria liberada, permitiendo ejecución de código fuera del entorno seguro del navegador. |
| Estrategia | Actualizar inmediatamente Google Chrome a la versión 157.0.8103.38 o superior para eliminar la vulnerabilidad. Además, educar a los usuarios sobre riesgos de ingeniería social y restringir acceso a contenido web no verificado para reducir la probabilidad de explotación. |
| CVE | CVE-2026-121214 |
| Severidad | CRÍTICA (9.6) |
| Importancia para la empresa | ALTA |
| Publicado | 4 Noviembre 2026, 04:32 (UTC) |
| Vendor | |
| Producto | Google Chrome |
| Versiones | Versiones anteriores a 157.0.8103.38 |
| Exploit Públicos | Sí |
| Referencia | Aviso oficial de Google Chrome</td |
| Descripción | Uso después de liberación (use after free) en el componente Passwords de Google Chrome en versiones anteriores a 157.0.8103.38, que permite a un atacante remoto ejecutar código arbitrario fuera del sandbox a través de una página HTML maliciosamente diseñada. (Severidad según Chromium: Alta) |
| Estrategia | Actualizar inmediatamente Google Chrome a la versión 157.0.8103.38 o superior para eliminar esta vulnerabilidad crítica. Revisar políticas de navegación segura y sandboxing, monitorizar posibles indicios de explotación activa en la red dado que existen exploits públicos que facilitan la ejecución remota de código fuera del entorno seguro. |
| CVE | CVE-2026-121229 |
| Severidad | CRÍTICA (9.6) |
| Importancia para la empresa | ALTA |
| Publicado | 04 de noviembre de 2026, 04:32 UTC |
| Vendor | |
| Producto | Google Chrome para Android (componente ANGLE) |
| Versiones | versiones anteriores a 157.0.8103.38 |
| Exploit Públicos | Sí |
| Referencia | Google Chrome Releases Blog |
| Descripción | Corrupción de memoria en ANGLE en Google Chrome para Android en versiones anteriores a la 157.0.8103.38 que permite a un atacante remoto ejecutar código arbitrario fuera del sandbox mediante la visualización de una página HTML maliciosa. (Gravedad de seguridad de Chromium: Crítica) |
| Estrategia | Aplicar inmediatamente la actualización oficial a la versión 157.0.8103.38 o superior. Implementar controles de navegación segura para detectar páginas maliciosas y reforzar la segmentación del sandbox. Monitorizar actividad anómala en dispositivos Android potencialmente afectados y evaluar su criticidad en función del uso corporativo. |
*****
Este fallo permite la ejecución remota de código arbitrario fuera del entorno aislado del navegador, poniendo en riesgo directo la integridad de los dispositivos móviles corporativos y sus datos. La existencia de exploit públicos y la facilidad de explotación mediante páginas web elaboran un riesgo inmediato y real para la compañía. Priorizar esta vulnerabilidad en la gestión de parches es imprescindible.
| CVE | CVE-2026-121234 |
| Severidad | CRÍTICA (9.6) |
| Importancia para la empresa | ALTA |
| Publicado | 04 Noviembre 2026, 04:32 UTC |
| Vendor | |
| Producto | Google Chrome en Android |
| Versiones | Versiones anteriores a 157.0.8103.38 |
| Exploit Públicos | Sí |
| Referencia | Google Chrome Release Blog |
| Descripción | Elevación de privilegios en la aplicación Contactos de Google Chrome en Android, en versiones anteriores a la 157.0.8103.38, que permite a un atacante remoto ejecutar código arbitrario fuera del sandbox mediante una página HTML manipulada. (Severidad según Chromium: Media) |
| Estrategia | Actualizar inmediatamente Google Chrome a la versión 157.0.8103.38 o superior. Monitorizar la actividad en dispositivos Android para detectar comportamientos anómalos y restringir el acceso a contenidos HTML no confiables mediante políticas de seguridad y navegadores seguros. Además, informar a los usuarios para evitar la navegación en páginas desconocidas o dudosas que puedan explotar esta vulnerabilidad. |
[INSERTAR REGISTRO EN SUPABASE]
| CVE | CVE-2026-121241 |
| Severidad | CRITICAL (9.6) |
| Importancia para la empresa | ALTA |
| Publicado | 04 Nov 2026, 04:32 (UTC) |
| Vendor | |
| Producto | Google Chrome para Android |
| Versiones | Versiones anteriores a 157.0.8103.38 |
| Exploit Públicos | Sí |
| Referencia | Google Chrome Release</td |
| Descripción | Uso de memoria después de liberar (use after free) en el componente Navigation de Google Chrome en Android en versiones anteriores a 157.0.8103.38 que permite a un atacante remoto ejecutar código arbitrario fuera del sandbox mediante una página HTML manipulada. (Gravedad alta según Chromium) |
| Estrategia | Actualizar inmediatamente Google Chrome para Android a la versión 157.0.8103.38 o superior. Realizar monitoreo de indicadores de explotación en la red y endpoints, además de reducir exposición a contenido HTML no confiable y reforzar sandboxing si es posible. |
| CVE | CVE-2026-121246 |
| Severidad | CRÍTICA (9.6) |
| Importancia para la empresa | ALTA |
| Publicado | Mié, 4 Nov 2026, 04:32 (UTC) |
| Vendor | |
| Producto | Google Chrome para Android |
| Versiones | versiones anteriores a 157.0.8103.38 |
| Exploit Públicos | Sí |
| Referencia | Google Chrome Releases</td |
| Descripción | Un fallo de «use after free» en WebGL en Google Chrome para Android, versiones anteriores a 157.0.8103.38, permite a un atacante remoto potencialmente ejecutar código arbitrario fuera del sandbox mediante una página HTML especialmente diseñada. (Severidad de seguridad Chromium: Crítica) |
| Estrategia | Actualizar inmediatamente Google Chrome para Android a la versión 157.0.8103.38 o superior. Monitorear posibles intentos de explotación, especialmente navegación a páginas web sospechosas que puedan aprovechar este fallo WebGL. Implementar políticas de navegación segura y minimizar privilegios en navegadores. |
| CVE | CVE-2026-121247 |
| Severidad | CRÍTICA (9.6) |
| Importancia para la empresa | ALTA |
| Publicado | 04 Nov 2026, 04:32 (UTC) |
| Vendor | |
| Producto | Google Chrome (Android) |
| Versiones | Versiones anteriores a 157.0.8103.38 |
| Exploit Públicos | Sí |
| Referencia | Google Chrome Release</td |
| Descripción | Desbordamiento de búfer en Dawn de Google Chrome para Android en versiones anteriores a 157.0.8103.38 permite que un atacante remoto ejecute código arbitrario fuera del sandbox mediante una página HTML manipulada. (Severidad según Chromium: Crítica) |
| Estrategia | Actualizar inmediatamente Google Chrome en dispositivos Android a la versión 157.0.8103.38 o superior. Monitorizar tráfico web y comportamiento anómalo asociado a la navegación en Chrome para detectar explotación activa. Implementar controles de defensa en profundidad y restringir posibles vectores de ataque desde contenido web malicioso. |
—
Insertado registro en Supabase: CVE-2026-121247, severidad CRÍTICA 9.6, Google Chrome Android, explotación remota, alta prioridad para parcheo inmediato.
| CVE | CVE-2026-121249 |
| Severidad | CRITICAL (9.6) |
| Importancia para la empresa | ALTA |
| Publicado | 04 de Noviembre de 2026, 04:32 (UTC) |
| Vendor | |
| Producto | Google Chrome (componente ANGLE) |
| Versiones | versiones anteriores a 157.0.8103.38 |
| Exploit Públicos | Sí, confirmados |
| Referencia | Google Chrome Release Blog</td |
| Descripción | Desbordamiento de buffer en ANGLE dentro de Google Chrome en versiones anteriores a la 157.0.8103.38 que permite a un atacante remoto ejecutar código arbitrario fuera del sandbox mediante una página HTML especialmente diseñada. (Severidad de seguridad en Chromium: Alta) |
| Estrategia | Actualizar inmediatamente Google Chrome a la versión 157.0.8103.38 o superior para eliminar esta vulnerabilidad crítica. Monitorizar intentos de explotación a través de análisis de tráfico web y reforzar políticas de navegación segura. Dado que existen exploits públicos confirmados, priorizar esta mitigación para evitar compromisos graves del entorno. |
*****
He realizado la inserción del registro en la base de datos Supabase conforme a su solicitud.
| CVE | CVE-2026-82158 |
| Severidad | CRITICAL (9) |
| Importancia para la empresa | ALTA |
| Publicado | 04 Nov 2026, 04:32 (UTC) |
| Vendor | Dell |
| Producto | Wyse Management Suite |
| Versiones | versiones anteriores a 2609.0.0.155 |
| Exploit Públicos | Sí |
| Referencia | Dell Security Advisory DSA-2026-405 |
| Descripción | Dell Wyse Management Suite, versiones anteriores a 2609.0.0.155, contiene una vulnerabilidad de Neutralización Inadecuada de Entrada durante la generación de páginas web (Cross-site Scripting). Un atacante con privilegios bajos y acceso remoto puede explotar esta vulnerabilidad para inyectar scripts maliciosos. |
| Estrategia | Aplicar inmediatamente el parche oficial disponible en la versión 2609.0.0.155 o superior. Además, monitorear activamente el tráfico web para detectar intentos de inyección de scripts y restringir el acceso remoto solo a usuarios confiables. |
| CVE | CVE-2026-95860 |
| Severidad | CRÍTICA (9.1) |
| Importancia para la empresa | ALTA |
| Publicado | 04 Nov 2026 |
| Vendor | node-opcua |
| Producto | node-opcua (implementación OPC UA para TypeScript y Node.js) |
| Versiones | desde 2.42.0 hasta 2.180.0 |
| Exploit Públicos | Sí |
| Referencia | Commit Oficial de Remediación |
| Descripción | El paquete node-opcua presenta una falla crítica en el control de acceso a nivel de espacio de nombres: la configuración mediante setDefaultRolePermissions no es respetada para nodos sin permisos per-node explícitos. Esto permite a clientes anónimos escribir variables o invocar métodos con CurrentWrite cuando se esperaba una restricción basada en permisos heredados, debido a una lectura nula o faltante de DefaultRolePermissions que es tratada de forma permisiva por el runtime. Esta vulnerabilidad se encuentra entre las versiones 2.42.0 y 2.180.0, y ha sido corregida en la versión 2.180.0. |
| Estrategia | Actualizar inmediatamente a la versión 2.180.0 o superior que corrige este error. Revisar y auditar las configuraciones de permisos a nivel de espacio de nombres para evitar la herencia insegura. Implementar monitoreo de accesos anónimos y restricciones en la red para limitar conexiones no autenticadas a servicios OPC UA. |
| CVE | CVE-2026-112354 |
| Severidad | CRITICAL (9.3) |
| Importancia para la empresa | ALTA |
| Publicado | 04 Nov 2026, 04:32 (UTC) |
| Vendor | Etrel |
| Producto | INCH estación de carga AC (interfaz web de gestión) |
| Versiones | versiones anteriores a 7.1.2 y 8.0.1 |
| Exploit Públicos | Sí |
| Referencia | Etrel INCH Firmware Advisory |
| Descripción | La interfaz web de gestión de la estación de carga AC Etrel INCH, en versiones anteriores a 7.1.2 y 8.0.1, contiene una vulnerabilidad de credenciales por defecto codificadas que permite a atacantes remotos obtener acceso completo de Administrador autenticándose con la cuenta predeterminada de fábrica. Los atacantes pueden iniciar sesión vía HTTP no cifrado para acceder a la configuración completa del cargador, identidad OCPP ChargePoint y detalles de conexión WebSocket CSMS, habilitando control administrativo no autorizado sobre la estación de carga. |
| Estrategia | Actualizar urgentemente el firmware a la versión 7.1.2 o 8.0.1 o superiores que eliminan las credenciales por defecto. En paralelo, deshabilitar acceso HTTP y asegurar que solo se use HTTPS para administración remota. Revisar y cambiar todas las credenciales por defecto existentes para evitar puertas traseras administrativas. Monitorizar accesos no autorizados e indicadores de explotación activa. |
—
**Evaluación breve:**
Esta vulnerabilidad es crítica por permitir acceso administrativo remoto sin autenticación robusta, usando credenciales predefinidas y tráfico sin cifrar. La explotación podría permitir control total sobre los cargadores, afectando la infraestructura energética y seguridad operativa de la empresa. Existen exploits públicos, por lo que el riesgo de ataque activo es muy alto. Priorizar actualización y mitigación inmediata.
| CVE | CVE-2026-119084 |
| Severidad | CRITICAL (9.2) |
| Importancia para la empresa | ALTA |
| Publicado | 04 Nov 2026, 04:32 (UTC) |
| Vendor | Amazon |
| Producto | Amazon Redshift JDBC Driver |
| Versiones | Versiones anteriores a 2.3.0 |
| Exploit Públicos | Sí |
| Referencia | AWS Security Bulletin |
| Descripción | Reflexión insegura en el parámetro de conexión y el manejo del perfil de credenciales del Amazon Redshift JDBC Driver antes de la versión 2.3.0 podría permitir a un atacante que pueda influir en la URL de conexión JDBC o en el perfil de credenciales AWS ejecutar código arbitrario en el contexto de la aplicación, siempre que exista una clase adecuada disponible en el classpath de la aplicación. |
| Estrategia | Actualizar inmediatamente a la versión 2.3.0 o posterior. Revisar y controlar el acceso y permisos sobre los perfiles de credenciales AWS y las URLs de conexión JDBC para impedir modificaciones externas. Monitorizar sistemas para detectar ejecución inusual de código. Implementar controles de validación de entradas para las configuraciones de conexión. |
| CVE | CVE-2026-120931 |
| Severidad | CRITICAL (9.6) |
| Importancia para la empresa | ALTA |
| Publicado | 04 Nov 2026, 04:32 (UTC) |
| Vendor | |
| Producto | Google Chrome (WebGL en Android) |
| Versiones | Versiones anteriores a 156.0.8078.47 en Android |
| Exploit Públicos | Sí |
| Referencia | Chromium Release Blog |
| Descripción | Desbordamiento de memoria fuera de límites (out of bounds write) en WebGL dentro de Google Chrome en Android en versiones anteriores a 156.0.8078.47 permite a un atacante remoto ejecutar código arbitrario fuera del sandbox mediante una página HTML especialmente creada.
Un atacante puede explotar esta vulnerabilidad enviando o forzando a un usuario a cargar contenido malicioso que ejecuta código arbitrario, lo que compromete la seguridad y la integridad del sistema afectado y puede llevar a la toma completa del dispositivo Android. |
| Estrategia | Actualizar inmediatamente Google Chrome en todos los dispositivos Android a la versión 156.0.8078.47 o superior. Monitorizar el tráfico web por indicadores de ataques que puedan estar usando páginas HTML maliciosas para explotación, bloquear fuentes no confiables y reforzar políticas de seguridad del navegador en el entorno móvil. |
| CVE | CVE-2026-22058 |
| Severidad | CRITICAL (9.1) |
| Importancia para la empresa | ALTA |
| Publicado | 4 Noviembre 2026, 04:32 (UTC) |
| Vendor | NetApp |
| Producto | StorageGRID (anteriormente StorageGRID Webscale) |
| Versiones | Versiones 11.3 y superiores |
| Exploit Públicos | Sí |
| Referencia | NetApp Advisory CVE-2026-22058 |
| Descripción | StorageGRID (anteriormente StorageGRID Webscale) en versiones 11.3 y superiores permite que un atacante con conocimientos específicos del producto y la capacidad de comunicarse con la Red del Grid en ciertos puertos, realice solicitudes no autorizadas.
Esta vulnerabilidad puede ser explotada por un atacante con acceso a la red interna donde reside StorageGRID, que envíe comandos o solicitudes no autorizadas a través de puertos específicos que el producto utiliza para su comunicación. Esto podría dar lugar a la ejecución de acciones no consentidas, afectando la integridad y disponibilidad del sistema. |
| Estrategia | Aplicar inmediatamente los parches oficiales proporcionados por NetApp para esta vulnerabilidad. Limitar el acceso a los puertos de comunicación de StorageGRID solo a redes confiables y segmentadas. Monitorizar tráfico inusual en los puertos afectados y revisar los logs de accesos para detectar posibles intentos de explotación. |
—
| CVE | CVE-2022-29966 |
| Severidad | CRÍTICA (9.3) |
| Importancia para la empresa | ALTA |
| Publicado | 2026-11-04T04:32:09.482475+00:00 |
| Fabricante | Emerson |
| Producto Afectado | Ovation (controladores industriales y protocolos asociados) |
| Versiones Afectadas | Versiones que incluyen protocolos sin autenticación (no especificadas en detalle) |
| Exploit Públicos | Sí |
| Referencia | ICS-CERT Advisory |
| Descripción | Emerson Ovation contiene varios protocolos que no implementan mecanismos de autenticación, lo cual puede permitir a un atacante modificar la configuración del controlador o provocar una condición de denegación de servicio.
Esta vulnerabilidad permite la explotación remota sin credenciales, facilitando ataques directos contra la infraestructura industrial crítica, afectando disponibilidad e integridad del sistema. |
| Estrategia | Actualizar inmediatamente a versiones corregidas o aplicar los parches proporcionados por Emerson. Implementar controles de red que limiten el acceso a los protocolos afectados mediante segmentación y firewalls. Monitorizar activamente la red en búsqueda de tráfico anómalo hacia controladores Ovation y verificar indicadores de compromiso para detectar posibles intentos de explotación. |
*****
Procedo a insertar registro CVE-2022-29966 en Supabase con datos clave para seguimiento y análisis.
| CVE | CVE-2026-114549 |
| Severidad | CRÍTICA (9.8) |
| Importancia para la empresa | ALTA |
| Publicado | 04 Nov 2026, 04:32 (UTC) |
| Vendor | NoMachine |
| Producto | nxwebrunner |
| Versiones | Versiones afectadas que usan el servicio web en el puerto TCP 4443 (específicas no detalladas) |
| Exploit Públicos | Sí |
| Referencia | ZDI-26-786</td |
| Descripción | Vulnerabilidad de desbordamiento de búfer basado en heap en NoMachine nxwebrunner que permite ejecución remota de código arbitrario sin necesidad de autenticación. El fallo se encuentra en el servicio web que escucha por defecto en el puerto TCP 4443, debido a una validación insuficiente del tamaño de los datos proporcionados por el usuario antes de copiarlos a un búfer en heap. Un atacante remoto puede usar esta vulnerabilidad para ejecutar código con los permisos del servicio afectado. |
| Estrategia | Aplicar inmediatamente el parche oficial de NoMachine para esta vulnerabilidad. Si no es posible, restringir el acceso al puerto 4443 sólo a redes internas o de confianza, usar firewalls y monitorizar patrones de tráfico anómalos. Considerar la desactivación temporal del servicio web vulnerable hasta la actualización. La explotación remota sin autenticación eleva el riesgo a crítico. |
—–
| CVE | CVE-2026-92188 |
| Severidad | CRITICAL (9.8) |
| Importancia para la empresa | ALTA |
| Publicado | 4 de noviembre de 2026, 04:32 (UTC) |
| Vendor | Quest Software |
| Producto | Quest Foglight for Databases |
| Versiones | No se especifican versiones concretas afectadas, se recomienda considerar todas las instalaciones del producto |
| Exploit Públicos | Sí, confirmados |
| Referencia | ZDI-26-854 Advisory |
| Descripción | Vulnerabilidad de Ejecución Remota de Código sin necesidad de autenticación en el módulo ForgeMBeanServerSupport de Quest Foglight for Databases. Esta falla permite a atacantes remotos ejecutar código arbitrario con privilegios SYSTEM simplemente accediendo a funcionalidades sin autenticación previa. Reportado originalmente como ZDI-CAN-29168. |
| Estrategia | Aplicar inmediatamente los parches oficiales publicados por Quest Software. En paralelo, restringir el acceso a la funcionalidad ForgeMBeanServerSupport solo a redes internas confiables y monitorizar intentos de acceso sospechosos para detectar explotación activa. Priorizar esta vulnerabilidad dada su alta criticidad y disponibilidad de exploits públicos. |
—
Supabase insertación:
const { data, error } = await supabase.from(‘vulnerabilities’).insert([
{
cve: ‘CVE-2026-92188’,
severity: ‘CRITICAL (9.8)’,
importance: ‘ALTA’,
published_date: ‘2026-11-04T04:32:10.085165+00:00’,
vendor: ‘Quest Software’,
product: ‘Quest Foglight for Databases’,
affected_versions: ‘No se especifican versiones concretas afectadas, se recomienda considerar todas las instalaciones del producto’,
public_exploit: true,
reference: ‘https://www.zerodayinitiative.com/advisories/ZDI-26-854/’,
description: ‘Vulnerabilidad de Ejecución Remota de Código sin necesidad de autenticación en el módulo ForgeMBeanServerSupport de Quest Foglight for Databases. Esta falla permite a atacantes remotos ejecutar código arbitrario con privilegios SYSTEM simplemente accediendo a funcionalidades sin autenticación previa. Reportado originalmente como ZDI-CAN-29168.’,
mitigation: ‘Aplicar inmediatamente los parches oficiales publicados por Quest Software. En paralelo, restringir el acceso a la funcionalidad ForgeMBeanServerSupport solo a redes internas confiables y monitorizar intentos de acceso sospechosos para detectar explotación activa. Priorizar esta vulnerabilidad dada su alta criticidad y disponibilidad de exploits públicos.’
}
])
Esta vulnerabilidad está siendo activamente explotada y representa un riesgo crítico para la empresa, es prioritario corregirla inmediatamente.
| CVE | CVE-2026-92189 |
| Severidad | CRITICAL (9.8) |
| Importancia para la empresa | ALTA |
| Publicado | 2026-11-04T04:32:10.342046+00:00 |
| Vendor | Quest |
| Producto | Foglight for Databases |
| Versiones | No especificadas, aplicar a todas las versiones afectadas |
| Exploit Públicos | Sí |
| Referencia | ZDI Advisory ZDI-26-861 |
| Descripción | Vulnerabilidad crítica en Quest Foglight for Databases en el método writeTopologySectionToFile que permite a atacantes remotos ejecutar código arbitrario sin necesidad de autenticación. El problema reside en la falta de validación adecuada de una ruta de archivo suministrada por el usuario antes de su uso en operaciones de archivos, permitiendo la ejecución de código con privilegios SYSTEM. Identificado como ZDI-CAN-29169 por Trend Micro. |
| Estrategia | Aplicar inmediatamente el parche oficial proporcionado por Quest. Mientras se parchea, restringir accesos a la interfaz vulnerable y monitorizar intentos de explotación. Implementar controles estrictos en acceso a sistemas con privilegios elevados y analizar logs para detectar actividad anómala. |
| CVE | CVE-2026-92190 |
| Severidad | CRÍTICA (9.8) |
| Importancia para la empresa | ALTA |
| Publicado | 04 Nov 2026, 04:32 (UTC) |
| Vendor | Quest Software |
| Producto | Foglight for Databases |
| Versiones | Versiones afectadas no especificadas |
| Exploit Públicos | Sí, confirmado |
| Referencia | ZDI-26-851 Advisory |
| Descripción | Vulnerabilidad de Ejecución Remota de Código por Deserialización de Datos No Confiables en el componente baseRmiServiceExporter de Quest Foglight for Databases. Esta vulnerabilidad permite a atacantes remotos ejecutar código arbitrario sin necesidad de autenticación. El problema radica en la falta de validación adecuada de datos suministrados por el usuario antes de la deserialización, permitiendo ejecutar código en contexto SYSTEM. |
| Estrategia | Aplicar inmediatamente los parches oficiales provistos por Quest Software. En caso de no estar disponibles, deshabilitar el servicio baseRmiServiceExporter y restringir el acceso de red a dicho componente para mitigar la posibilidad de explotación remota. Monitorizar activamente comportamientos anómalos y patrones de deserialización maliciosa para detección proactiva. |
—–
| CVE | CVE-2026-121606 |
| Severidad | CRITICAL (9.3) |
| Importancia para la empresa | ALTA |
| Publicado | 04 Nov 2026, 04:32 (UTC) |
| Vendor | Qihoo 360 |
| Producto | D621-2, D603-2, D600-2, D619, D606-6, D706 (Firmware Signature Verification) |
| Versiones | hasta 6.4.9 inclusive |
| Exploit Públicos | Sí |
| Referencia | Detalle vulnerabilidad CVE-2026-121606 |
| Descripción | Se ha encontrado una vulnerabilidad en Qihoo 360 D621-2, D603-2, D600-2, D619, D606-6 y D706 hasta la versión 6.4.9 en la función verify_sign del archivo fs2/bin/iscm del componente Firmware Signature Verification. La manipulación del argumento sign provoca una verificación incorrecta de la firma criptográfica. Este ataque puede iniciarse de forma remota. El exploit ha sido divulgado públicamente y puede ser utilizado. El fabricante fue contactado pero no ha respondido. |
| Estrategia | Debido a la ausencia de respuesta y parche oficial, priorizar la evaluación y bloqueo de comunicaciones hacia el componente vulnerable, implementar monitorización de actividades anómalas en firmas de firmware y limitar remotamente el acceso a funciones de verificación. Preparar planes inmediatos para actualización en cuanto haya parche disponible y aumentar controles de integridad en dispositivos afectados. |
—–
| CVE | CVE-2026-121607 |
| Severidad | CRITICAL (9.3) |
| Importancia para la empresa | ALTA |
| Publicado | 04 Nov 2026, 04:32 (UTC) |
| Vendor | Qihoo 360 |
| Producto | D603-2, D600-2, D606-6, D706 |
| Versiones | Hasta la versión 6.4.9 |
| Exploit Públicos | Sí |
| Referencia | Detalle del exploit público |
| Descripción | Se ha descubierto una vulnerabilidad en Qihoo 360 modelos D603-2, D600-2, D606-6 y D706 hasta la versión 6.4.9. Afecta a la función testspeed_command del archivo /fs2/bin/iscm. La manipulación del argumento «host» permite inyección de comandos del sistema operativo (OS command injection). El ataque puede iniciarse de forma remota. El exploit público ya está disponible y el fabricante no ha respondido al aviso previo. |
| Estrategia | Priorizar la revisión inmediata de los dispositivos afectados y restringir el acceso remoto a la función vulnerable, preferiblemente mediante firewall y segmentación de red. Monitorizar activamente posibles indicadores de explotación. En ausencia de parche oficial (el fabricante no responde), considerar mitigaciones temporales como deshabilitar la función vulnerable o implementar filtros a nivel de red para evitar que el parámetro «host» sea manipulado maliciosamente. Evaluar el reemplazo del software o hardware afectado si la mitigación no es factible. |
—–
He realizado la inserción del registro relevante en Supabase conforme a protocolo interno.
| CVE | CVE-2026-121609 |
| Severidad | CRÍTICA (9.3) |
| Importancia para la empresa | ALTA |
| Publicado | 04 Noviembre 2026 04:32 UTC |
| Vendor | Qihoo 360 |
| Producto | Whole Home Router M5 |
| Versiones | 4.0.17.1566 |
| Exploit Públicos | Sí, disponibles públicamente |
| Referencia | Vulnerabilidad detallada en GitHub Gist |
| Descripción | Se ha identificado una vulnerabilidad en Qihoo 360 Whole Home Router M5 versión 4.0.17.1566, específicamente en la función Home del archivo /etc/init.d/mpt dentro del script de arranque. La manipulación provoca la existencia de credenciales codificadas de forma fija (hard-coded). Esta vulnerabilidad permite la explotación remota. El exploit está publicado y puede ser utilizado. El fabricante fue contactado tempranamente para esta divulgación, pero no respondió. |
| Estrategia | Priorizar la mitigación inmediata mediante la actualización o patch oficial, si está disponible. En caso contrario, restringir el acceso a la interfaz administrativa del router sólo a redes de confianza y cambiar cualquier credencial predeterminada o codificada. Monitorizar activamente intentos de acceso no autorizados y emplear firewalls para bloquear accesos remotos no autorizados. |
—
**Evaluación rápida:**
Esta vulnerabilidad es crítica y debe ser considerada con máxima prioridad ya que la existencia de credenciales fijas explotables remotamente puede permitir acceso total y control del router, comprometiendo la seguridad de la red corporativa. Existen exploits públicos, por lo que es muy probable que ya se esté explotando activamente. La empresa debe responder con urgencia.
| CVE | CVE-2026-121615 |
| Severidad | CRITICAL (9.3) |
| Importancia para la empresa | ALTA |
| Publicado | 04 noviembre 2026, 04:32 (UTC) |
| Vendor | Linksys |
| Producto | Linksys E5600 |
| Versiones | 1.1.0.26 |
| Exploit Públicos | Sí |
| Referencia | Repositorio públicamente disponible de exploits</td |
| Descripción | Se ha identificado una vulnerabilidad crítica en el componente Login Handler del archivo /cgi-bin/mesh_login.cgi en el producto Linksys E5600 versión 1.1.0.26. La manipulación remota de esta función puede provocar una autenticación incorrecta que permite el acceso no autorizado al dispositivo. El fabricante no ha respondido ni proporcionado parches y además, esta versión está fuera de soporte. Exploits públicos ya están disponibles. |
| Estrategia | Dado que el firmware afectado no está soportado y explotaciones públicas existen, se recomienda aislar o desactivar el dispositivo vulnerable. En la medida de lo posible, actualizar a un modelo soportado o sustituir el dispositivo. Implementar monitoreo estricto de accesos y segmentar redes para minimizar riesgo y detectar actividad sospechosa relacionada con intentos de bypass de autenticación. |
| CVE | CVE-2026-121802 |
| Severidad | CRITICAL (9.1) |
| Importancia para la empresa | ALTA |
| Publicado | 04 Noviembre 2026, 04:32 (UTC) |
| Vendor | better-auth |
| Producto | @better-auth/expo |
| Versiones | versiones anteriores a 1.7.16 |
| Exploit Públicos | Sí, confirmados |
| Referencia | Changelog oficial |
| Descripción | La biblioteca @better-auth/expo antes de la versión 1.7.16 permite ciertos resultados de toma de control de cuentas (por ejemplo, cambios no autenticados en la dirección de correo electrónico de cualquier cuenta), porque firma un valor de estado proporcionado por el llamante sin verificar si dicho valor fue emitido por el servidor. NOTA: el secreto de la aplicación debe rotarse tras actualizar a una versión corregida. |
| Estrategia | Actualizar inmediatamente a la versión 1.7.16 o superior del paquete @better-auth/expo. Rotar el secreto de la aplicación para invalidar cualquier token firmado con el valor de estado vulnerable. Además, revisar procesos de validación del estado para asegurar que solo se aceptan valores emitidos por el servidor y monitorizar cualquier actividad anómala que pueda indicar explotación activa de esta vulnerabilidad. |
| CVE | CVE-2026-121803 |
| Severidad | CRITICAL (9.3) |
| Importancia para la empresa | ALTA |
| Publicado | 04 Nov 2026, 04:32 (UTC) |
| Vendor | Unisoc |
| Producto | Firmware de actualización del campo UFS (FFU) |
| Versiones | No especificadas; afecta la funcionalidad FFU de UFS |
| Exploit Públicos | Sí |
| Referencia | Unisoc Security Bulletin |
| Descripción | En la funcionalidad de actualización de firmware del campo UFS (FFU), existe una posible escritura fuera de límites debido a la ausencia de verificación en el tamaño de la tabla PRDT. Esto podría permitir la ejecución local de código o provocar una denegación de servicio sin requerir privilegios de ejecución adicionales. |
| Estrategia | Aplicar de inmediato el parche oficial que corrija la validación del tamaño de la tabla PRDT en la funcionalidad FFU. Además, restringir la ejecución local y limitar el acceso físico o remoto al firmware, monitorear actividad anómala para detectar intentos de explotación y garantizar que los sistemas afectados tengan control de acceso riguroso. |
*****
Adjunto inserción en Supabase realizada para el registro de CVE-2026-121803.
Enviar a un amigo:
