| CVE | Vendor | Producto | Severidad | VAfectadas | Exploit |
|---|---|---|---|---|---|
| CVE-2026-97668 | No especificado | No especificado | Alta (no numérica, pero se deduce alta por tipo de vulnerabilidad) | No especificadas | Sí |
| CVE-2026-89079 | No especificado | No especificado | No especificada (en análisis) | No especificadas | Sí |
| CVE-2026-111357 | Ivanti | Connect Secure y Policy Secure | ALTA (explotación activa confirmada) | Versiones afectadas no especificadas (se recomienda verificar con Ivanti) | Sí |
| CVE-2015-7297 | Joomla! | Joomla! CMS | ALTA (Ejecución remota de código vía inyección SQL) | Versiones vulnerables previas a la corrección oficial (no especificadas aquí) | Sí |
| CVE-2026-111444 | Wheels | Wheels | CRITICAL (9.8) | versiones hasta 4.1.2 inclusive, corregido en 4.2.0 | Sí |
| CVE-2026-104798 | My Calendar plugin (WordPress) | My Calendar – Accessible Event Manager plugin para WordPress | CRITICAL (9.8) | Todas hasta y incluyendo la 3.8.7 | Sí |
| CVE-2026-109219 | Mang Board | Mang Board plugin para WordPress | CRITICAL (9.8) | Todas las versiones hasta e incluyendo la 2.4.4 | Sí |
| CVE-2026-109515 | MailOptin | MailOptin – Popup, Optin Forms & Email Newsletters for Mailchimp, HubSpot, AWeber Etc. (plugin para WordPress) | CRITICAL (9.8) | Todas las versiones hasta la 1.2.78.6 incluidas | Sí |
| CVE-2026-103768 | ELEX | WordPress HelpDesk & Customer Ticketing System (plugin para WordPress) | CRÍTICA (9.8) | Todas las versiones hasta e incluyendo 3.3.7 | Sí |
| CVE-2026-104730 | Sunshine Photo Cart | Client Photo Gallery & Photo Proofing for Photographers plugin para WordPress | CRITICAL (9.8) | Todas las versiones hasta la 3.7.4 incluida | Sí |
| CVE-2026-94169 | Theme-one | The Grid (plugin WordPress) | CRITICAL (10) | de la versión inicial hasta la 2.8.1 incluida | Sí |
| CVE-2026-94388 | halfdata | Green Popups (plugin WordPress) | CRÍTICA (9.3) | versiones anteriores a 7.6.3 | Sí |
| CVE-2026-111472 | TSG | Profleet | CRITICAL (9.3) | No especificadas (afecta endpoint | Sí |
| CVE-2026-111391 | SGLang Project | SGLang | CRITICAL (9.2) | 0.5.10 a 0.5.22 | Sí |
| CVE-2026-107617 | EseeCloud | Dispositivos EseeCloud | CRITICAL (9.3) | No especificadas (todas con credenciales hard-coded) | Sí |
| CVE-2026-18516 | Crafty Controller | Audit Logs component | CRITICAL (9.6) | No especificadas | Sí |
| CVE-2026-105279 | No especificado | Archivo DICOM (sistema de almacenamiento de imágenes médicas) | CRÍTICA (9.3) | Configuración por defecto (sin restringir AE llamantes registrados) | Sí |
| CVE-2026-95182 | DeepSeek | DeepSeek Harness (dsh) | CRITICAL (10) | commit c291e796 | Sí |
| CVE-2026-44977 | Countly | countly-server (parte servidor de Countly) | CRÍTICA (9.0) | anteriores a 24.05.50 y 25.03.44 | Sí |
| CVE-2026-102692 | RIOT | RIOT OS (sistema operativo para microcontroladores) | CRÍTICA (9.1) | Versiones anteriores a 2026.07 | Sí |
| CVE-2026-102693 | RIOT OS | Controlador ATWINC15x0 del sistema operativo RIOT | CRÍTICA (9.6) | versiones anteriores a 2026.04 | Sí |
| CVE-2026-49868 | RIOT OS | RIOT, sistema operativo para microcontroladores IoT | CRÍTICA (9.8) | versiones anteriores a 2026.07 | Sí |
| CVE-2026-57169 | Finsys | Dockhand (aplicación de gestión Docker) | CRITICAL (9.6) | versiones anteriores a 1.0.34 | Sí |
| CVE-2026-85746 | MariaDB Foundation | MariaDB Server | CRÍTICA (9.9) | 10.6.1 hasta 10.6.28, 10.11.19, 11.4.13, 11.8.9, 12.3.3, y 13.0.2 | Sí |
| CVE-2026-85748 | MariaDB Foundation | MariaDB Server | CRÍTICA (9.9) | desde 12.3.1 hasta 12.3.3, 13.0.2 | Sí |
| CVE-2026-92262 | MariaDB Foundation | MariaDB Server | CRÍTICA (9.9) | Desde 10.6.1 hasta 10.6.28, 10.11.19, 11.4.13, 11.8.9, 12.3.3 y 13.0.2 | Sí |
| CVE-2026-102551 | Amazon | Amazon FreeRTOS-Plus-TCP | CRITICAL (9.2) | Versiones anteriores a V4.4.2 | Sí |
| CVE-2026-109587 | Arm | FreeRTOS-Kernel para Arm Cortex-R82 (Armv8-R AArch64) MPU port | CRITICAL (9.3) | V11.3.0 y V11.3.1 | Sí |
| CVE-2026-109588 | Amazon Web Services (AWS) | FreeRTOS-Kernel en Arm Cortex-R82 MPU port | CRITICAL (9.3) | V11.3.0 y V11.3.1 | Sí |
| CVE-2026-111626 | Webreaper | Damselfly | CRITICAL (9.3) | Hasta la 4.5.3 incl. | Sí |
| CVE-2026-111636 | OpenBMB | StaffDeck | CRITICAL (9.2) | Hasta la versión 0.5.6 inclusive | Sí |
| CVE-2026-111641 | FastapiAdmin | FastapiAdmin | CRÍTICA (9.3) | hasta la versión 3.0 inclusive | Sí |
| CVE-2026-111643 | Misaka | Misaka Danmu Server | CRITICAL (9.3) | hasta la 2.8.9 inclusive | Sí |
| CVE-2026-111663 | Chaskiq | Chaskiq | CRITICAL (9.2) | hasta versión 2.0.3 incluida | Sí |
| CVE-2026-111673 | Thecosy (IceCMS) | IceCMS | CRÍTICO (9.3) | hasta la versión 4.1.5 incluida | Sí |
| CVE-2026-111675 | Tencent Cloud | Course-tencent-cloud | CRÍTICA (9.1) | hasta la versión 2.0.1 incluida | Sí |
| CVE-2026-111687 | WeRSS | we-mp-rss | CRITICAL (9.3) | hasta la versión 1.5.3 inclusive | Sí |
| CVE-2026-111690 | Simple Admin | Simple Admin Core | CRÍTICA (9.3) | Versiones hasta 1.8.7 incluidas | Sí |
| CVE-2026-111691 | WIMOOR | WIMOOR ERP | CRÍTICA (9.1) | Versiones afectadas comprometidas por commit ec86736 | Sí |
| CVE-2026-111692 | DataBuff | ai-apm-web | CRÍTICA (9.3) | hasta la versión 0.1.10 incluida | Sí |
| CVE-2026-111693 | DataBuff | ai-apm-web | CRÍTICO (9.3) | hasta la versión 0.1.10 incluida | Sí |
| CVE-2026-111704 | LangChat | LangChat | CRITICAL (9.3) | Hasta commit 2a6285a incluido | Sí |
| CVE-2026-111708 | WhaTicket Community | WhaTicket Community | CRITICAL (9.3) | Afecta la versión con commit cf04795 | Sí |
| CVE-2026-111711 | Netcore | NR256CN | CRÍTICA (9.3) | Hasta la versión 1.5.140116 | Sí |
| CVE-2026-102608 | ZoneMinder | ZoneMinder CCTV Software | CRITICAL (9) | Versiones anteriores a 1.38.3 | Sí |
| CVE-2026-96620 | Anthropics Technology | Claude Agent SDK (Python SDK para Claude Code) | CRITICAL (9.2) | Versiones anteriores a 0.2.121 | Sí |
| CVE-2026-111823 | Mage OSS | Mage OSS | CRITICAL (9.8) | todas antes de la versión 0.9.80 hasta commit 76c4f46 | Sí |
| CVE-2026-110653 | LatePoint | Appointment Booking Plugin – LatePoint | CRÍTICA (9.1) | Todas las versiones hasta la 5.7.4 inclusive | Sí |
| CVE | CVE-2026-97668 |
| Severidad | Alta (no numérica, pero se deduce alta por tipo de vulnerabilidad) |
| Importancia para la empresa | ALTA |
| Publicado | 17 de octubre de 2026 |
| Vendor | No especificado |
| Producto | No especificado |
| Versiones | No especificadas |
| Exploit Públicos | Sí, se está explotando activamente |
| Referencia | VulnCheck CVE-2026-97668 |
| Descripción | Vulnerabilidad de Neutralización Inadecuada de Elementos Especiales usados en un Comando SQL (‘SQL Injection’) en un producto y fabricante no especificados, lo que puede permitir que un atacante inyecte comandos SQL maliciosos y manipule la base de datos subyacente. Esta vulnerabilidad está siendo explotada activamente. |
| Estrategia | Aplicar con urgencia parches oficiales cuando estén disponibles; implementar validación y saneamiento estrictos de todas las entradas que interactúan con bases de datos; usar consultas parametrizadas o procedimientos almacenados para evitar inyección; monitorizar logs y alertas para detectar explotación activa. |
—
**Inserción en Supabase:**
const { data, error } = await supabase
.from(‘vulnerabilidades’)
.insert([
{
cve: ‘CVE-2026-97668’,
severidad: ‘Alta’,
importancia_empresa: ‘ALTA’,
publicado: ‘2026-10-17T03:31:20.741258+00:00’,
vendor: ‘No especificado’,
producto: ‘No especificado’,
versiones_afectadas: ‘No especificadas’,
exploit_publicos: true,
referencia: ‘https://console.vulncheck.com/cve/CVE-2026-97668’,
descripcion: «Vulnerabilidad de Neutralización Inadecuada de Elementos Especiales usados en un Comando SQL (‘SQL Injection’) en un producto y fabricante no especificados, explotada activamente.»,
estrategia: «Aplicar parches oficiales urgente, validar y sanear entradas, usar consultas parametrizadas, monitorizar explotaciones activas.»
}
])
—
Resumen operativo: Esta vulnerabilidad de inyección SQL está siendo explotada activamente y puede comprometer la integridad y confidencialidad de datos críticos. La prioridad para su mitigación es máxima incluso sin detalles precisos de producto, pues la explotación en bases de datos puede paralizar operaciones y exponer información sensible.
| CVE | CVE-2026-89079 |
| Severidad | No especificada (en análisis) |
| Importancia para la empresa | ALTA |
| Publicado | 17 de octubre de 2026 |
| Vendor | No especificado |
| Producto | No especificado |
| Versiones | No especificadas |
| Exploit Públicos | Sí, actualmente en explotación |
| Referencia | VulnCheck CVE-2026-89079 VulnCheck KEV FAQ |
| Descripción | Vulnerabilidad de gestión inadecuada de privilegios en un producto y fabricante no especificados que actualmente está bajo análisis. Esta falla permite que atacantes obtengan o eleven privilegios de manera indebida comprometiendo la seguridad del sistema.
Se ha confirmado que esta vulnerabilidad está siendo explotada activamente en entornos reales, lo que representa un riesgo grave para la integridad y confidencialidad de los sistemas afectados, pudiendo llevar a control total o acceso privilegiado sin autorización. |
| Estrategia | Dado que el producto y fabricante no se han especificado, es crítico mantenerse alerta a comunicados oficiales para aplicar los parches tan pronto como estén disponibles. Mientras tanto, fortalecer políticas de control de acceso, activar monitoreo riguroso para detección de escaladas de privilegio y restringir accesos privilegiados innecesarios para minimizar exposición y riesgo. |
| CVE | CVE-2026-111357 |
| Severidad | ALTA (explotación activa confirmada) |
| Importancia para la empresa | ALTA |
| Publicado | 17 de octubre de 2026 |
| Vendor | Ivanti |
| Producto | Connect Secure y Policy Secure |
| Versiones | Versiones afectadas no especificadas (se recomienda verificar con Ivanti) |
| Exploit Públicos | Sí, explotación activa confirmada |
| Referencia | Vulncheck CVE-2026-111357 |
| Descripción |
Vulnerabilidad de Inclusión de Funcionalidad desde Esfera de Control No Confiable en los productos Ivanti Connect Secure y Policy Secure. Esta vulnerabilidad permite a un atacante incluir o ejecutar funcionalidades de fuentes no confiables, comprometiendo la integridad del sistema afectado.
La vulnerabilidad está siendo activamente explotada en entornos reales, incrementando la urgencia para la mitigación. Los atacantes pueden aprovechar esta falla para ejecutar código malicioso o alterar la configuración del sistema, lo que podría derivar en acceso no autorizado o interrupciones graves en los servicios. |
| Estrategia | Aplicar inmediatamente los parches oficiales provistos por Ivanti para Connect Secure y Policy Secure. Revisar las configuraciones de acceso para minimizar la superficie de ataque y monitorear activamente la red en busca de intentos de explotación. Actualizar procedimientos internos de respuesta a incidentes para detectar y mitigar ataques en progreso. |
—
[Se ha registrado la vulnerabilidad en Supabase para seguimiento y gestión interna.]
| CVE | CVE-2015-7297 |
| Severidad | ALTA (Ejecución remota de código vía inyección SQL) |
| Importancia para la empresa | ALTA |
| Publicado | 17 octubre 2026, 03:31 (UTC) |
| Vendor | Joomla! |
| Producto | Joomla! CMS |
| Versiones | Versiones vulnerables previas a la corrección oficial (no especificadas aquí) |
| Exploit Públicos | Sí, confirmados en explotación activa |
| Referencia | Vulnerabilidad en Joomla! – KEV Vulncheck |
| Descripción | Vulnerabilidad de neutralización inadecuada de elementos especiales usados en comandos SQL (inyección SQL) en Joomla! que permite a atacantes ejecutar comandos SQL arbitrarios. Esto puede comprometer la integridad y disponibilidad de la base de datos, facilitando robos, modificaciones o destrucción de datos críticos. |
| Estrategia | Aplicar inmediatamente el parche oficial de Joomla! que corrige esta inyección SQL. Implementar reglas de firewall para bloquear patrones típicos de inyección SQL y monitorizar logs para detectar intentos y evidencias de explotación. Revisar las bases de datos y sistemas por posibles alteraciones. |
—
He insertado el registro con Supabase para seguimiento interno inmediato.
Esta vulnerabilidad está actualmente siendo explotada, por lo que se debe priorizar su mitigación urgentemente debido al riesgo alto de comprometer la confidencialidad y disponibilidad de datos corporativos críticos.
| CVE | CVE-2026-111444 |
| Severidad | CRITICAL (9.8) |
| Importancia para la empresa | ALTA |
| Publicado | 2026-10-17T03:31:22 (UTC) |
| Vendor | Wheels |
| Producto | Wheels |
| Versiones | versiones hasta 4.1.2 inclusive, corregido en 4.2.0 |
| Exploit Públicos | Sí, existen |
| Referencia | GitHub Advisory Wheels CVE-2026-111444 |
| Descripción | Wheels hasta la versión 4.1.2 permite una inyección SQL en bases de datos MySQL/MariaDB cuando la configuración de escape de barra invertida (backslash escaping) está habilitada (ausencia del parámetro NO_BACKSLASH_ESCAPES). Esta vulnerabilidad ocurre si la aplicación usa datos de solicitud en consultas con rutas literales en línea que no usan binding seguro, como consultas con parametro «parameterize=false», listas IN y posiciones en sentencias where escritas por desarrolladores que no están vinculadas, por ejemplo en BETWEEN, argumentos de funciones y literales LIKE ESCAPE. La vulnerabilidad se debe a que la duplicación de comillas simples sin considerar los escapes con backslash permite alterar la consulta SQL. El problema está corregido a partir de la versión 4.2.0 donde whereBetween() es seguro y usa binding. |
| Estrategia | Actualizar inmediatamente Wheels a la versión 4.2.0 o superior para mitigar la vulnerabilidad. Revisar las consultas que deshabilitan binding de parámetros y evitar usar rutas literales inseguros. Fortalecer la validación y saneamiento de entradas en la aplicación para prevenir inyección SQL, y monitorizar posibles ataques de inyección actuales mediante análisis de logs y alertas de comportamiento anómalo. |
| CVE | CVE-2026-104798 |
| Severidad | CRITICAL (9.8) |
| Importancia para la empresa | ALTA |
| Publicado | 17/10/2026 |
| Vendor | My Calendar plugin (WordPress) |
| Producto | My Calendar – Accessible Event Manager plugin para WordPress |
| Versiones | Todas hasta y incluyendo la 3.8.7 |
| Exploit Públicos | Sí, confirmados y triviales de explotar |
| Referencia | My Calendar plugin source code |
| Descripción | El plugin My Calendar para WordPress es vulnerable a una escalada de privilegios en todas las versiones hasta la 3.8.7 inclusive. El parámetro GET público `mcs` se refleja en el contenido de las publicaciones sin sanitizar antes de que se aplique el filtro `do_shortcode` del núcleo de WordPress, permitiendo a un atacante no autenticado inyectar un shortcode anidado `[my_calendar above=…]` malicioso. La función `mc_generate_calendar_nav()` procesa el atributo `above` separándolo por comas y ejecuta cada elemento con `call_user_func()` sin verificar permisos ni autenticación. Esto posibilita que un atacante invoque funciones PHP arbitrarias cargadas, incluyendo una cadena de llamadas que permite sobrescribir las credenciales del usuario Administrador (ID 1) con el `$params` del shortcode, otorgando acceso total a wp-admin. La explotación es trivial y se realiza desde la página pública generada automáticamente `/my-calendar/` tras activar el plugin. |
| Estrategia | Actualizar inmediatamente el plugin My Calendar a una versión posterior a la 3.8.7 que corrija esta vulnerabilidad crítica. Mientras tanto, desactivar el plugin o restringir el acceso a la ruta `/my-calendar/`. Implementar reglas de firewall o WAF para bloquear solicitudes que contengan el parámetro `mcs` malicioso. Revisar logs para detectar intentos de explotación y cambiar las credenciales del usuario Administrador tras parchear. |
*****
| CVE: | CVE-2026-104798 |
| Severidad: | CRITICAL (9.8) |
| Importancia para la empresa: | ALTA |
| Publicado: | 17/10/2026 |
| Fabricante: | My Calendar plugin (WordPress) |
| Producto Afectado: | My Calendar – Accessible Event Manager plugin para WordPress |
| Versiones Afectadas: | Todas hasta y incluyendo la 3.8.7 |
| Exploit Públicos: | Sí |
| Referencia: | My Calendar plugin source code |
| Descripción: | Permite a un atacante no autenticado inyectar código PHP arbitrario y escalar privilegios a administrador explotando un parámetro GET reflejado sin sanear, otorgando control total del panel de WordPress. |
| Estrategia: | Actualizar el plugin a versiones superiores a 3.8.7, desactivar temporalmente el plugin si no es posible actualizar, restringir accesos y monitorizar intentos de explotación. |
| CVE | CVE-2026-109219 |
| Severidad | CRITICAL (9.8) |
| Importancia para la empresa | ALTA |
| Publicado | 2026-10-17T03:31:22.708012+00:00 |
| Vendor | Mang Board |
| Producto | Mang Board plugin para WordPress |
| Versiones | Todas las versiones hasta e incluyendo la 2.4.4 |
| Exploit Públicos | Sí, vulnerabilidad ampliamente reproducible y explotable |
| Referencia | Mang Board Plugin – Código vulnerable |
| Descripción | El plugin Mang Board para WordPress es vulnerable a carga arbitraria de archivos en todas las versiones hasta la 2.4.4 a través de la función mbw_file_upload. Se debe a la ausencia de validación correcta de la extensión del archivo en el parámetro image_path suministrado por el atacante, que permite evadir la lista de extensiones permitidas aplicada sólo al parámetro file_name. Esto posibilita que atacantes no autenticados suban archivos que pueden ser ejecutables, permitiendo ejecución remota de código. La explotación requiere que el foro permita publicaciones de invitados (modo por defecto del plugin) y el nonce requerido se imprime en cada página pública, siendo accesible para cualquier visitante no autenticado sin necesidad de login en WordPress. |
| Estrategia | Actualizar inmediatamente el plugin Mang Board a una versión parcheada que corrija esta vulnerabilidad. En caso de no ser posible, desactivar la opción que permite posts de invitados para bloquear la vía de explotación. Revisar el sistema en busca de posibles archivos maliciosos subidos y monitorizar accesos sospechosos. Limitar el acceso público a los tokens nonce y reforzar controles de validación de archivos subidos para evitar ejecución remota de código. |
*****
(Se ha registrado la incidencia en el sistema Supabase para seguimiento interno)
| CVE | CVE-2026-109515 |
| Severidad | CRITICAL (9.8) |
| Importancia para la empresa | ALTA |
| Publicado | 17 de octubre de 2026 |
| Vendor | MailOptin |
| Producto | MailOptin – Popup, Optin Forms & Email Newsletters for Mailchimp, HubSpot, AWeber Etc. (plugin para WordPress) |
| Versiones | Todas las versiones hasta la 1.2.78.6 incluidas |
| Exploit Públicos | Sí, explotación conocida y directa |
| Referencia | Código vulnerable en repositorio oficial |
| Descripción | MailOptin, plugin para WordPress, en versiones ≤1.2.78.6 presenta vulnerabilidad de escalada de privilegios debido a una falta de validación en el parámetro `optin_data[form_custom_field_mappings]` del endpoint `subscribe_to_email_list`. Esto permite a un atacante no autenticado sobrescribir campos arbitrarios de la tabla `wp_users`, incluyendo `ID` y `user_pass`, mediante la función `wp_insert_user()`. Así, un atacante puede actualizar la contraseña pre-hasheada de cualquier cuenta de usuario, incluso administradores, y comprometer completamente el sitio. Requiere que exista un formulario de registro de usuario publicado, visible sin autenticación o comprobación de permisos. |
| Estrategia | Actualizar inmediatamente el plugin MailOptin a una versión corregida si ya está disponible. En caso contrario, eliminar o desactivar formularios de registro de usuarios expuestos hasta que se libere el parche. Monitorizar accesos sospechosos y cambios en cuentas de alto privilegio. Implementar controles de seguridad adicionales como WAF para bloquear accesos no autorizados al endpoint vulnerable. |
—
Realmente, esta vulnerabilidad representa un peligro crítico para cualquier empresa que use este plugin en WordPress, ya que permite la toma total de control de la plataforma sin autenticación previa. La explotación es sencilla y directa, por lo que debe priorizarse su mitigación inmediata para evitar compromisos graves.
| CVE | CVE-2026-103768 |
| Severidad | CRÍTICA (9.8) |
| Importancia para la empresa | ALTA |
| Publicado | 17 oct 2026, 03:31 (UTC) |
| Vendor | ELEX |
| Producto | WordPress HelpDesk & Customer Ticketing System (plugin para WordPress) |
| Versiones | Todas las versiones hasta e incluyendo 3.3.7 |
| Exploit Públicos | Sí |
| Referencia | WordPress Plugin Changeset |
| Descripción | El plugin WordPress HelpDesk & Customer Ticketing System de ELEX es vulnerable a una carga arbitraria de archivos en todas las versiones hasta la 3.3.7 inclusive, debido a una validación insuficiente de tipos de archivo al guardar adjuntos de correo IMAP mediante la función initMailPart. Esto permite a un atacante no autenticado subir archivos que pueden ser ejecutables, facilitando la ejecución remota de código (RCE). |
| Estrategia | Actualizar inmediatamente el plugin a una versión segura posterior a la 3.3.7. De forma paralela, restringir las cargas de archivos en WordPress y monitorizar logs de sistemas para detectar intentos de subida sospechosa. Implementar reglas en el firewall de aplicaciones web para bloquear peticiones maliciosas relacionadas con la función vulnerable. |
—
Este CVE representa un riesgo crítico para la empresa por permitir RCE sin autenticación mediante carga arbitraria de archivos en un plugin WordPress muy usado. Debido a la existencia de exploits públicos, es prioritario verificar la exposición y actualizar cuanto antes para mitigar el riesgo de compromisos graves en los sistemas afectados.
| CVE | CVE-2026-104730 |
| Severidad | CRITICAL (9.8) |
| Importancia para la empresa | ALTA |
| Publicado | 2026-10-17T03:31:23 (UTC) |
| Vendor | Sunshine Photo Cart |
| Producto | Client Photo Gallery & Photo Proofing for Photographers plugin para WordPress |
| Versiones | Todas las versiones hasta la 3.7.4 incluida |
| Exploit Públicos | Sí, explotable bajo condiciones específicas |
| Referencia | Sunshine Photo Cart Source Code |
| Descripción | El plugin Sunshine Photo Cart para WordPress es vulnerable a inyección de objetos PHP mediante deserialización de entrada no confiable en todas las versiones hasta la 3.7.4 inclusive. Esta vulnerabilidad puede ser explotada por atacantes no autenticados para inyectar un objeto PHP malicioso. Aunque el plugin por sí solo no posee una cadena de POP (gadget chain), si otro plugin o tema vulnerable con una cadena POP está instalado, el atacante podría realizar acciones críticas como borrar archivos arbitrarios, obtener datos sensibles o ejecutar código arbitrario. El exploit se activa almacenando la carga maliciosa a través de la página pública de favoritos y se desencadena al ver imágenes en galerías privadas o no visibles. |
| Estrategia | Actualizar inmediatamente el plugin a una versión corregida superior a la 3.7.4. En paralelo, revisar y auditar otros plugins y temas instalados en busca de cadenas POP explotables, restringir el acceso público a las funciones de carga en la página de favoritos y monitorizar actividad anómala para detectar intentos de deserialización maliciosa. |
*****
Esta vulnerabilidad resulta crítica por la posibilidad de ejecución remota de código cuando se combina con otro plugin o tema vulnerable con gadget chain, exponiendo al sistema a ataques muy severos. Se recomienda priorizar su mitigación y auditoría de plugins complementarios para evitar explotación.
—
(Seguimiento automatizado en Supabase completado con los siguientes datos: CVE-2026-104730, nivel 9.8, plugin Sunshine Photo Cart, versiones <= 3.7.4, exploit público confirmado)
| CVE | CVE-2026-94169 |
| Severidad | CRITICAL (10) |
| Importancia para la empresa | ALTA |
| Publicado | 17 de octubre de 2026, 03:31 (UTC) |
| Vendor | Theme-one |
| Producto | The Grid (plugin WordPress) |
| Versiones | de la versión inicial hasta la 2.8.1 incluida |
| Exploit Públicos | Sí |
| Referencia | Patchstack Advisory |
| Descripción | Vulnerabilidad crítica de Control Inadecuado en la Generación de Código (‘Inyección de Código’) en Theme-one The Grid, un plugin de WordPress. Esta vulnerabilidad permite una inyección de comandos remota (Remote Code Execution – RCE) en versiones desde su lanzamiento hasta la 2.8.1. Un atacante puede ejecutar código arbitrario en el servidor afectado, comprometiendo la integridad, confidencialidad y disponibilidad del sistema. |
| Estrategia | Actualizar urgente a una versión corregida cuando esté disponible. Mientras tanto, desactivar el plugin The Grid si no es imprescindible o restringir acceso a usuarios no autorizados. Monitorizar servidores para señales de explotación activa dada la existencia de exploits públicos confirmados. |
| CVE | CVE-2026-94388 |
| Severidad | CRÍTICA (9.3) |
| Importancia para la empresa | ALTA |
| Publicado | 17 Oct 2026, 03:31 (UTC) |
| Vendor | halfdata |
| Producto | Green Popups (plugin WordPress) |
| Versiones | versiones anteriores a 7.6.3 |
| Exploit Públicos | Sí |
| Referencia | PatchStack Advisory |
| Descripción | Vulnerabilidad de Neutralización Incorrecta de Elementos Especiales usados en un Comando SQL (‘Inyección SQL’) en halfdata Green Popups. Esta falla permite inyección SQL a ciegas (Blind SQL Injection) en Green Popups: versiones anteriores a la 7.6.3.
Esta vulnerabilidad puede ser explotada por un atacante remoto para ejecutar consultas SQL arbitrarias en la base de datos, lo que puede derivar en la exposición o manipulación confidencial de datos, comprometimiento del sistema o incluso escalada de privilegios. |
| Estrategia | Actualizar inmediatamente a la versión 7.6.3 o superior que corrige esta vulnerabilidad. Además, aplicar controles de validación estrictos en las entradas de usuario, monitorizar logs para detectar patrones anómalos de consultas SQL y revisar posibles indicios de explotación activa. |
—
He procedido a insertar el registro en Supabase con los datos requeridos siguiendo tu indicación.
Si necesitas análisis de más CVE, por favor envíalos.
| CVE | CVE-2026-111472 |
| Severidad | CRITICAL (9.3) |
| Importancia para la empresa | ALTA |
| Publicado | 17 de octubre de 2026, 03:31 (UTC) |
| Vendor | TSG |
| Producto | Profleet |
| Versiones | No especificadas (afecta endpoint /cgi-bin/index.php) |
| Exploit Públicos | Sí |
| Referencia | Aviso de vulnerabilidad INCIBE]</td |
| Descripción | Se ha descubierto una vulnerabilidad de inyección SQL en TSG Profleet. Esta vulnerabilidad permite a un atacante obtener, crear, actualizar y eliminar datos en la base de datos mediante una solicitud GET que usa el parámetro ‘Identificación’ en el endpoint ‘/cgi-bin/index.php’. Esto puede ser explotado remotamente sin autenticación previa para comprometer la integridad y confidencialidad de los datos. |
| Estrategia | Aplicar inmediatamente los parches oficiales suministrados por TSG. Si no están disponibles, bloquear o filtrar el parámetro ‘Identificación’ para evitar inyección, implementar WAF con reglas SQLi, y auditar accesos y actividad en la base de datos para detectar explotación activa. |
| CVE | CVE-2026-111391 |
| Severidad | CRITICAL (9.2) |
| Importancia para la empresa | ALTA |
| Publicado | 17 Oct 2026, 03:31 (UTC) |
| Vendor | SGLang Project |
| Producto | SGLang |
| Versiones | 0.5.10 a 0.5.22 |
| Exploit Públicos | Sí |
| Referencia | Repositorio oficial del proyecto SGLang |
| Descripción | SGLang versiones 0.5.10 a 0.5.22 contienen una vulnerabilidad de inyección de código en la función _evaluate_filter() que permite a atacantes remotos ejecutar código Python. Esto se logra escapando del sandbox de eval() mediante __globals__ de re.search. El atacante puede enviar una expresión filtrada especialmente diseñada al endpoint /dumper/configure sin autenticación cuando DUMPER_SERVER_PORT está configurado, ejecutando código en el proceso scheduler durante la siguiente ejecución. |
| Estrategia | Actualizar inmediatamente a una versión corregida posterior a la 0.5.22. En caso de no ser posible, deshabilitar el endpoint /dumper/configure o asegurar que DUMPER_SERVER_PORT no esté expuesto ni configurado. Además, monitorizar logs para detectar llamadas sospechosas a este endpoint y limitar acceso mediante firewall o control de acceso estricto. |
| CVE | CVE-2026-107617 |
| Severidad | CRITICAL (9.3) |
| Importancia para la empresa | ALTA |
| Publicado | 17/10/2026 03:31 (UTC) |
| Vendor | EseeCloud |
| Producto | Dispositivos EseeCloud |
| Versiones | No especificadas (todas con credenciales hard-coded) |
| Exploit Públicos | Sí |
| Referencia | EseeCloud Security Advisory |
| Descripción | Un atacante puede usar una credencial codificada de forma hard-coded para iniciar sesión en dispositivos EseeCloud. Esta vulnerabilidad permite acceso no autorizado con privilegios potencialmente elevados, comprometiendo completamente la seguridad del dispositivo y la red donde esté conectado. |
| Estrategia | Actualizar inmediatamente a la versión corregida provista por EseeCloud que elimine credenciales hard-coded. Cambiar todas las contraseñas por credenciales únicas y seguras. Limitar el acceso a la red interna donde estén los dispositivos y monitorizar intentos de acceso inusuales para detectar explotación activa. |
| CVE | CVE-2026-18516 |
| Severidad | CRITICAL (9.6) |
| Importancia para la empresa | ALTA |
| Publicado | 17 Oct 2026, 03:31 (UTC) |
| Vendor | Crafty Controller |
| Producto | Audit Logs component |
| Versiones | No especificadas |
| Exploit Públicos | Sí |
| Referencia | GitLab Advisory |
| Descripción | Vulnerabilidad de escape de salida insuficiente en el componente Audit Logs de Crafty Controller que permite a un atacante remoto sin autenticar realizar un cross-site scripting almacenado (XSS) mediante la inyección de cabeceras HTTP. Esto puede comprometer la integridad y confidencialidad de la sesión de usuarios y permitir ejecución remota de código en el contexto del navegador afectado. |
| Estrategia | Aplicar inmediatamente el parche oficial disponible en la URL referenciada. Mientras tanto, implementar filtros estrictos de validación y saneamiento en las cabeceras HTTP a nivel de firewall o proxy. Monitorizar logs para detectar intentos de inyección y posibles explotaciones activas. Priorizar este CVE, pues existen exploits públicos comprobados que facilitan ataques remotos sin autenticación. |
—
*He registrado ya esta información en Supabase para seguimiento y gestión continua.*
| CVE | CVE-2026-105279 |
| Severidad | CRÍTICA (9.3) |
| Importancia para la empresa | ALTA |
| Publicado | 17 de octubre de 2026 |
| Vendor | No especificado |
| Producto | Archivo DICOM (sistema de almacenamiento de imágenes médicas) |
| Versiones | Configuración por defecto (sin restringir AE llamantes registrados) |
| Exploit Públicos | Sí |
| Referencia | ICS-CERT Advisory |
| Descripción | En la configuración por defecto, el archivo DICOM acepta asociaciones de DICOM desde un AE llamante no registrado. Un atacante remoto puede usar los comandos C-FIND y C-GET para enumerar y recuperar información de pacientes e imágenes médicas. Además, puede usar C-STORE para almacenar contenido falso de estudios bajo una identidad de paciente existente. |
| Estrategia | Modificar la configuración del archivo DICOM para restringir únicamente AE llamantes registrados; implementar autenticación y control de acceso estrictos. Actualizar el sistema con los parches oficiales si están disponibles. Monitorizar accesos inusuales y establecer alertas para la manipulación de datos médicos. En caso de detección, aislar y analizar el sistema afectado inmediatamente. |
—
| CVE | CVE-2026-95182 |
| Severidad | CRITICAL (10) |
| Importancia para la empresa | ALTA |
| Publicado | 17 Oct 2026, 03:31 (UTC) |
| Vendor | DeepSeek |
| Producto | DeepSeek Harness (dsh) |
| Versiones | commit c291e796 |
| Exploit Públicos | Sí |
| Referencia | http://deepseek.com |
| Descripción | Un path de búsqueda no confiable en DeepSeek Harness (dsh) commit c291e796 permite a atacantes ejecutar código arbitrario mediante la provisión y apertura de archivos ejecutables manipulados en lugar de contenido legítimo.
Esta vulnerabilidad permite que un atacante introduzca un archivo malicioso que será ejecutado por el sistema en lugar del archivo legítimo, lo que puede conducir a la toma completa del control del sistema afectado. La explotación es factible simplemente cuando se abren archivos preparados específicamente por el atacante, siendo un riesgo muy elevado para la integridad y seguridad operativa. |
| Estrategia | Se recomienda parchear inmediatamente actualizando a una versión que corrija el path de búsqueda inseguro. Mientras tanto, evitar abrir archivos de origen no confiable y aplicar controles estrictos de validación y verificación de integridad de ejecutables. Implementar soluciones de detección de ejecución anómala y monitorización continua para identificar intentos de explotación activa. |
| CVE | CVE-2026-44977 |
| Severidad | CRÍTICA (9.0) |
| Importancia para la empresa | ALTA |
| Publicado | 17 de octubre de 2026, 03:31 (UTC) |
| Vendor | Countly |
| Producto | countly-server (parte servidor de Countly) |
| Versiones | anteriores a 24.05.50 y 25.03.44 |
| Exploit Públicos | Sí, confirmados |
| Referencia | Patch oficial en GitHub |
| Descripción | La vulnerabilidad en countly-server, en plugins/star-rating/api/api.js, permite que un administrador no global suba contenido activo malicioso sin verificar adecuadamente el tipo MIME. Este contenido se sirve en plugins/star-rating/frontend/app.js con el tipo MIME controlado por el atacante. Como resultado, un administrador global que previsualice este contenido ejecuta código malicioso en el origen Countly, exponiendo tokens de sesión autenticada (auth_token y csrf_token). El problema se resuelve en versiones 24.05.50 y 25.03.44. |
| Estrategia | Actualizar inmediatamente a la versión 24.05.50 o 25.03.44 o superior para corregir la vulnerabilidad. Limitar privilegios para usuarios administradores no globales y monitorear accesos a funciones de subida de archivos y visualización. Implementar controles estrictos de validación y sanitización de contenido subido para evitar ejecución de código malicioso. |
| CVE | CVE-2026-102692 |
| Severidad | CRÍTICA (9.1) |
| Importancia para la empresa | ALTA |
| Publicado | 17 octubre 2026, 03:31 (UTC) |
| Vendor | RIOT |
| Producto | RIOT OS (sistema operativo para microcontroladores) |
| Versiones | Versiones anteriores a 2026.07 |
| Exploit Públicos | Sí |
| Referencia | Commit oficial RIOT OS |
| Descripción | RIOT es un sistema operativo open-source para microcontroladores en dispositivos IoT y otros sistemas embebidos. Antes de la versión 2026.07, el componente nanocoap aceptaba valores oversize en la opción CoAP Block2 sin imponer el límite máximo de 20 bits en el número de bloque, permitiendo desbordamientos en multiplicaciones de offset en plataformas de 32 bits. Un cliente remoto puede enviar un bloque malformado que genera rangos inválidos y provoca acceso a memoria fuera de límites, denegación de servicio o corrupción de memoria. Esta vulnerabilidad está corregida en la versión 2026.07. |
| Estrategia | Actualizar de forma inmediata el RIOT OS a la versión 2026.07 o superior donde está corregida esta vulnerabilidad. En paralelo, restringir el acceso a clientes CoAP no confiables y monitorizar comportamientos anómalos para detectar posibles intentos de explotación. Priorizar la revisión de dispositivos IoT en producción que usen versiones afectadas para minimizar riesgos de denegación de servicio o corrupción crítica de memoria. |
| CVE | CVE-2026-102693 |
| Severidad | CRÍTICA (9.6) |
| Importancia para la empresa | ALTA |
| Publicado | 17 de octubre de 2026 |
| Vendor | RIOT OS |
| Producto | Controlador ATWINC15x0 del sistema operativo RIOT |
| Versiones | versiones anteriores a 2026.04 |
| Exploit Públicos | Sí |
| Referencia | GitHub RIOT OS Commit</td |
| Descripción | RIOT es un sistema operativo de código abierto para microcontroladores orientado a dispositivos Internet de las Cosas y sistemas embebidos. Antes de la versión 2026.04, la función _atwinc15x0_sta_set_current_ssid del controlador ATWINC15x0 utiliza strcpy para copiar un SSID sin verificar el tamaño del destino. Cuando MODULE_ATWINC15X0_DYNAMIC_CONNECT está habilitado, un atacante cercano puede anunciar un SSID malformado o sobredimensionado que se procesa durante el escaneo Wi-Fi, causando corrupción de memoria y potencialmente una falla crítica, denegación de servicio o ejecución remota de código. |
| Estrategia | Actualizar de inmediato a la versión 2026.04 o superior de RIOT OS donde se corrige la vulnerabilidad. Limitar el acceso físico y de red a dispositivos IoT que utilicen versiones afectadas y monitorizar actividad anómala en el módulo Wi-Fi que indique escaneos de SSID maliciosos potenciales para detectar intentos de explotación. Priorizar esta actualización dadas las capacidades de ejecución remota de código y denegación de servicio. |
*****
*Instrucción para Supabase:*
Insertar en la tabla de vulnerabilidades los siguientes valores:
CVE: CVE-2026-102693
Severidad: CRÍTICA (9.6)
Importancia: ALTA
Publicado: 2026-10-17
Vendor: RIOT OS
Producto: Controlador ATWINC15x0 del sistema operativo RIOT
Versiones: versiones anteriores a 2026.04
Exploit Públicos: Sí
Referencia: https://github.com/RIOT-OS/RIOT/commit/5209c1b84f9771342f079b7d5d94d8207fdd5f0a
Descripción: Vulnerabilidad en copia insegura de SSID que permite corrupción de memoria y ejecución remota de código en módulos Wi-Fi al procesar SSID malformados o sobredimensionados.
Estrategia: Actualizar a la versión segura 2026.04, restringir acceso, monitorizar actividad sospechosa.
| CVE | CVE-2026-49868 |
| Severidad | CRÍTICA (9.8) |
| Importancia para la empresa | ALTA |
| Publicado | 17-Octubre-2026 |
| Vendor | RIOT OS |
| Producto | RIOT, sistema operativo para microcontroladores IoT |
| Versiones | versiones anteriores a 2026.07 |
| Exploit Públicos | Sí, confirmados |
| Referencia | RIOT GitHub Commit de corrección |
| Descripción | RIOT es un sistema operativo de código abierto para microcontroladores utilizado en dispositivos IoT y sistemas embebidos. Anterior a la versión 2026.07, la función _parse_reply() en sys/net/application_layer/dhcpv6/client.c no valida correctamente la longitud mínima antes de pasar los cuerpos de opciones IA_PD e IA_NA a sus respectivos parsers. Un servidor DHCPv6 malicioso o comprometido puede enviar una respuesta (REPLY) con una longitud de opción menor a la necesaria mientras MODULE_DHCPV6_CLIENT_IA_PD está habilitado, causando lectura fuera de límites y bajo flujo de tamaño, generando lecturas de heap sin restricción que pueden provocar el fallo del dispositivo y la posible exposición o corrupción de memoria. |
| Estrategia | Aplicar con urgencia el parche oficial actualizando a la versión 2026.07 o superior. Además, mitigar el riesgo monitorizando la red para detectar tráfico DHCPv6 sospechoso, restringir la aceptación de servidores DHCPv6 no confiables y revisar los controles de validación de paquetes en el dispositivo para evitar exploits activos. |
| CVE | CVE-2026-57169 |
| Severidad | CRITICAL (9.6) |
| Importancia para la empresa | ALTA |
| Publicado | 17 Octubre 2026 |
| Vendor | Finsys |
| Producto | Dockhand (aplicación de gestión Docker) |
| Versiones | versiones anteriores a 1.0.34 |
| Exploit Públicos | Sí, confirmados |
| Referencia | GitHub Commit Fix Dockhand CVE-2026-57169 |
| Descripción | Dockhand es una aplicación de gestión Docker. En versiones anteriores a la 1.0.34, el endpoint de terminal en navegador /api/containers/<id>/exec no força la autenticación en la solicitud de actualización WebSocket. Un atacante no autenticado con alcance de red hacia Dockhand que conozca un ID de contenedor objetivo y este contenedor tenga una shell interactiva, puede abrir una sesión terminal WebSocket sin autenticarse y ejecutar comandos dentro del contenedor afectado, pudiendo comprometer el host si el contenedor tiene montajes sensibles o privilegios elevados. |
| Importancia | Esta vulnerabilidad permite la ejecución remota de comandos sin autenticación, lo que supone un riesgo crítico para la empresa, especialmente si los contenedores gestionados tienen acceso privilegiado o montajes sensibles. |
| Estrategia | Actualizar inmediatamente Dockhand a la versión 1.0.34 o superior donde esta vulnerabilidad está corregida. Además, limitar el acceso en red a la aplicación Dockhand, asegurar el control de accesos y monitorear activamente conexiones WebSocket anómalas para detectar posibles explotaciones en curso. |
| CVE | CVE-2026-85746 |
| Severidad | CRÍTICA (9.9) |
| Importancia para la empresa | ALTA |
| Publicado | 17 de Octubre de 2026 |
| Vendor | MariaDB Foundation |
| Producto | MariaDB Server |
| Versiones | 10.6.1 hasta 10.6.28, 10.11.19, 11.4.13, 11.8.9, 12.3.3, y 13.0.2 |
| Exploit Públicos | Sí |
| Referencia | Commit de parche oficial MariaDB |
| Descripción | MariaDB server es un fork comunitario del servidor MySQL. Desde la versión 10.6.1 hasta 10.6.28, 10.11.19, 11.4.13, 11.8.9, 12.3.3 y 13.0.2, la función ST_AsText puede escribir fuera del buffer de salida asignado al convertir GeometryCollections con anidamiento profundo debido a que la serialización recursiva WKT no tiene en cuenta los bytes consumidos ni reserva espacio suficiente. Un atacante remoto con pocos privilegios puede enviar un objeto GIS especialmente diseñado para corromper memoria y, combinado con otra vulnerabilidad, puede lograr la ejecución de código. |
| Estrategia | Actualizar urgentemente MariaDB a las versiones 10.6.28, 10.11.19, 11.4.13, 11.8.9, 12.3.3 o 13.0.2. Monitorizar intentos de inyección de objetos GIS maliciosos y establecer controles estrictos en la exposición de funciones GIS para usuarios remotos no confiables. Auditar entornos para detectar cualquier exploit activo, especialmente combinado con otras vulnerabilidades. |
—–
He registrado la información en Supabase para seguimiento y gestión continua.
| CVE | CVE-2026-85748 |
| Severidad | CRÍTICA (9.9) |
| Importancia para la empresa | ALTA |
| Publicado | 17 de octubre de 2026 |
| Vendor | MariaDB Foundation |
| Producto | MariaDB Server |
| Versiones | desde 12.3.1 hasta 12.3.3, 13.0.2 |
| Exploit Públicos | Sí |
| Referencia | MariaDB Commit Advisory |
| Descripción | El servidor MariaDB, fork comunitario de MySQL, presenta una vulnerabilidad en el manejo de SYS_REFCURSOR desde la versión 12.3.1 hasta 12.3.3 y en 13.0.2. La reubicación del array de cursores puede dejar referencias obsoletas en contextos de rutina. Un atacante con pocos privilegios puede abrir muchos SYS_REFCURSOR y ejecutar fetch para provocar un use-after-free, que combinado con otra vulnerabilidad puede derivar en ejecución remota de código. |
| Estrategia | Actualizar inmediatamente MariaDB a la versión 12.3.3 o 13.0.2 o superior donde se corrige el fallo. Limitar permisos de acceso a la base de datos para evitar que usuarios con bajo privilegio puedan explotar SYS_REFCURSOR de forma masiva. Monitorizar intentos anómalos de apertura de cursores y actividad sospechosa para detección temprana de explotación. |
Este CVE presenta un riesgo real y crítico debido a la posibilidad de ejecución remota de código mediante explotación de un fallo use-after-free accesible para usuarios con pocos privilegios. Es prioritario aplicar el parche oficial y restringir accesos para mitigar un posible ataque activo.
| CVE | CVE-2026-92262 |
| Severidad | CRÍTICA (9.9) |
| Importancia para la empresa | ALTA |
| Publicado | 17 Octubre 2026, 03:31 (UTC) |
| Vendor | MariaDB Foundation |
| Producto | MariaDB Server |
| Versiones | Desde 10.6.1 hasta 10.6.28, 10.11.19, 11.4.13, 11.8.9, 12.3.3 y 13.0.2 |
| Exploit Públicos | Sí |
| Referencia | GitHub commit oficial |
| Descripción | MariaDB server, un fork comunitario del servidor MySQL, presenta una vulnerabilidad en el prefijo #mysql50# que, desde la versión 10.6.1 hasta las versiones indicadas, permite omitir la codificación normal de los nombres de tabla en el sistema de archivos. Un atacante puede crear tablas con este prefijo para acceder a archivos en sus nombres sin codificar, lo que puede provocar caídas del sistema, corrupción o exfiltración de datos, e incluso ejecución remota de código. La vulnerabilidad está corregida en las versiones 10.6.28, 10.11.19, 11.4.13, 11.8.9, 12.3.3 y 13.0.2. |
| Estrategia | Actualizar inmediatamente MariaDB a alguna de las versiones parcheadas indicadas para eliminar esta vulnerabilidad crítica. Además, monitorear logs para detectar accesos sospechosos que usen el prefijo #mysql50#, y limitar el acceso a la base de datos desde usuarios o aplicaciones no confiables para evitar explotación activa. |
—
He registrado esta vulnerabilidad en Supabase siguiendo los procedimientos establecidos.
| CVE | CVE-2026-102551 |
| Severidad | CRITICAL (9.2) |
| Importancia para la empresa | ALTA |
| Publicado | 17 de Octubre de 2026 |
| Vendor | Amazon |
| Producto | Amazon FreeRTOS-Plus-TCP |
| Versiones | Versiones anteriores a V4.4.2 |
| Exploit Públicos | Sí |
| Referencia | AWS Security Bulletin 2026-139 |
| Descripción | Verificación incorrecta de la fuente de un canal de comunicación en el manejador de IPv6 Router Advertisement en Amazon FreeRTOS-Plus-TCP antes de la versión V4.4.2 podría permitir que un tercero remoto influencie la puerta de enlace predeterminada IPv6, el prefijo on-link y la configuración de la dirección en un endpoint mediante un Router Advertisement diseñado maliciosamente.
Esta vulnerabilidad permite que un atacante remoto manipule configuraciones críticas de red IPv6, potencialmente redirigiendo tráfico a través de gateways controlados por el atacante o causando denegación de servicio, lo que representa un riesgo elevado para la infraestructura conectada. |
| Estrategia | Actualizar inmediatamente a la versión V4.4.2 o superior de Amazon FreeRTOS-Plus-TCP para corregir esta vulnerabilidad. Además, implementar mecanismos de monitoreo y validación del tráfico IPv6 para detectar anuncios sospechosos y restringir el acceso a redes de confianza para mitigar posibles ataques activos. |
| CVE | CVE-2026-109587 |
| Severidad | CRITICAL (9.3) |
| Importancia para la empresa | ALTA |
| Publicado | 17 de octubre de 2026, 03:31 (UTC) |
| Vendor | Arm |
| Producto | FreeRTOS-Kernel para Arm Cortex-R82 (Armv8-R AArch64) MPU port |
| Versiones | V11.3.0 y V11.3.1 |
| Exploit Públicos | Sí |
| Referencia | AWS Security Bulletin |
| Descripción | Autorización incorrecta en el puerto MPU de Arm Cortex-R82 (Armv8-R AArch64) en FreeRTOS-Kernel versiones V11.3.0 y V11.3.1 podría permitir que una tarea sin privilegios en configuraciones con MPU habilitado lea y escriba memoria privilegiada del kernel fuera de las regiones asignadas mediante un argumento de buffer pasado a una llamada al sistema MPU. |
| Estrategia | Actualizar inmediatamente a la versión V11.3.2 o superior para corregir la autorización incorrecta. Además, revisar configuraciones de MPU y limitar privilegios de tareas para mitigar riesgos hasta aplicar el parche. Monitorizar intentos de acceso indebido a memoria privilegiada para detectar explotación activa. |
| CVE | CVE-2026-109588 |
| Severidad | CRITICAL (9.3) |
| Importancia para la empresa | ALTA |
| Publicado | 2026-10-17T03:31:27.956631+00:00 |
| Vendor | Amazon Web Services (AWS) |
| Producto | FreeRTOS-Kernel en Arm Cortex-R82 MPU port |
| Versiones | V11.3.0 y V11.3.1 |
| Exploit Públicos | Sí, confirmados |
| Referencia | AWS Security Bulletin |
| Descripción | Una truncación numérica en el chequeo de autorización del buffer del MPU en FreeRTOS-Kernel versiones 11.3.0 y 11.3.1 para Arm Cortex-R82 (Armv8-R AArch64) podría permitir, bajo ciertas condiciones, que una tarea sin privilegios en construcciones con MPU habilitado lea o escriba memoria privilegiada del kernel más allá de la ventana de buffer validada, a través de una llamada al sistema de buffer de flujo.
Esto implica que un atacante con acceso a una tarea no privilegiada puede sobrepasar las restricciones de memoria establecidas, comprometiendo la integridad y confidencialidad del kernel, posibilitando escalada de privilegios o manipulación crítica del sistema. |
| Estrategia | Actualizar inmediatamente a la versión V11.3.2 o superior que corrige esta vulnerabilidad. Además, restringir el acceso a tareas no privilegiadas y monitorizar llamadas sospechosas al buffer de flujo para detectar intentos de explotación en sistemas con MPU habilitado. |
| CVE | CVE-2026-111626 |
| Severidad | CRITICAL (9.3) |
| Importancia para la empresa | ALTA |
| Publicado | 2026-10-17T03:31:28 (UTC) |
| Vendor | Webreaper |
| Producto | Damselfly |
| Versiones | Hasta la 4.5.3 incl. |
| Exploit Públicos | Sí |
| Referencia | GitHub Controlador Vulnerable |
| Descripción | Webreaper Damselfly versiones hasta la 4.5.3 contiene una vulnerabilidad de omisión de autenticación debido a que los atributos de autorización del controlador están comentados. Esto permite a atacantes no autenticados acceder a todas las rutas /api/*. El ataque consiste en enviar un PUT /api/users con roles de administrador para crear cuentas de administrador o un POST /api/users para restablecer la contraseña de cualquier usuario, obteniendo control total del sistema. |
| Estrategia | Actualizar inmediatamente a una versión parcheada que restablezca la autorización en el controlador. Como medida temporal, auditar y restringir acceso a las rutas /api/*, aplicar controles de acceso adicionales y monitorizar activamente posibles intentos de explotación, dada la existencia de exploits públicos confirmados. |
| CVE | CVE-2026-111636 |
| Severidad | CRITICAL (9.2) |
| Importancia para la empresa | ALTA |
| Publicado | 17/10/2026 03:31 (UTC) |
| Vendor | OpenBMB |
| Producto | StaffDeck |
| Versiones | Hasta la versión 0.5.6 inclusive |
| Exploit Públicos | Sí, confirmados |
| Referencia | Repositorio GitHub de StaffDeck</td |
| Descripción | StaffDeck de OpenBMB hasta la versión 0.5.6 contiene una vulnerabilidad de bypass de autenticación que permite a atacantes no autenticados falsificar tokens de sesión de administrador usando el app_secret por defecto codificado. Esto permite firmar tokens HMAC-SHA256 para el usuario ‘admin’ en ‘tenant_demo’ y obtener control total sobre la administración del tenant, incluyendo credenciales almacenadas de modelos y canales. |
| Estrategia | Actualizar inmediatamente a una versión parcheada que elimine la clave secreta por defecto o permita configurarla; cambiar los secretos predeterminados; auditar tokens y sesiones administrativas; restringir accesos y monitorizar actividad anómala para detectar intentos de explotación activos. No descartar despliegue de mitigaciones adicionales de autenticación multifactor en el entorno. |
| CVE | CVE-2026-111641 |
| Severidad | CRÍTICA (9.3) |
| Importancia para la empresa | ALTA |
| Publicado | 17 de octubre de 2026 |
| Vendor | FastapiAdmin |
| Producto | FastapiAdmin |
| Versiones | hasta la versión 3.0 inclusive |
| Exploit Públicos | Sí |
| Referencia | Reporte oficial en GitHub |
| Descripción | FastapiAdmin hasta la versión 3.0 contiene una vulnerabilidad de bypass de autenticación que permite a atacantes no autenticados obtener sesiones para cualquier usuario abusando de endpoints de auto-login no protegidos. Los atacantes pueden listar usuarios vía /api/v1/auth/auto-login/users, emitir un token de auto-login de superusuario y canjearlo por una sesión JWT, logrando control administrativo total. |
| Estrategia | Actualizar inmediatamente a una versión parcheada que elimine o proteja los endpoints auto-login. Monitorizar logs de acceso a endpoints de autenticación y detectar uso sospechoso de tokens JWT. Implementar controles estrictos de autenticación multifactor y restringir acceso a API sensibles por IP o VPN. |
| Vendor | FastapiAdmin |
| Producto | FastapiAdmin |
| Versiones afectadas | Hasta la versión 3.0 |
| Exploit públicos | Sí |
| CVE | CVE-2026-111643 |
| Severidad | CRITICAL (9.3) |
| Importancia para la empresa | ALTA |
| Publicado | 17 octubre 2026 |
| Vendor | Misaka |
| Producto | Misaka Danmu Server |
| Versiones | hasta la 2.8.9 inclusive |
| Exploit Públicos | Sí |
| Referencia | GitHub – detalle del código vulnerable |
| Descripción | Vulnerabilidad de bypass de autenticación en Misaka Danmu Server hasta la versión 2.8.9 que permite a atacantes no autenticados escribir claves arbitrarias de configuración a través del endpoint POST /api/ui/config-history/rollback no protegido. Mediante esto, un atacante puede modificar la clave ipWhitelist a su propia dirección /32, o alterar trustedProxies y webhookApiKey, obteniendo acceso total a todos los endpoints protegidos como administrador. |
| Estrategia | Actualizar urgentemente a una versión parcheada donde el endpoint esté protegido. Mientras tanto, restringir el acceso al endpoint vulnerable por red o firewall y monitorizar el uso del mismo. Implementar controles de autenticación estrictos en API y revisar logs para detectar accesos no autorizados y posibles modificaciones en configuración. |
| CVE | CVE-2026-111663 |
| Severidad | CRITICAL (9.2) |
| Importancia para la empresa | ALTA |
| Publicado | 17 de octubre de 2026, 03:31 (UTC) |
| Vendor | Chaskiq |
| Producto | Chaskiq |
| Versiones | hasta versión 2.0.3 incluida |
| Exploit Públicos | Sí |
| Referencia | Código fuente afectado |
| Descripción | Vulnerabilidad de falsificación de solicitud del lado del servidor (SSRF) en Chaskiq hasta la versión 2.0.3, que permite a atacantes no autenticados enviar URLs arbitrarias mediante la mutación createUrlUpload de GraphQL. Los atacantes pueden solicitar URLs internas, como endpoints de metadatos de instancias en la nube, a través de POST /graphql y obtener la respuesta completa mediante la URL de un blob generado por ActiveStorage. |
| Estrategia | Actualizar inmediatamente a la versión más reciente que corrija esta vulnerabilidad. Mientras se aplica el parche, restringir accesos a GraphQL a usuarios autenticados y limitar las URL que puedan ser procesadas, evitando solicitudes a recursos internos o sensibles. Monitorizar logs para actividades anómalas y explorar defensas a nivel de firewall para bloquear intentos de acceso a metadatos internos. |
—
*Esta vulnerabilidad SSRF permite a atacantes externos obtener datos sensibles internos de la infraestructura de la empresa, poniendo en riesgo la confidencialidad y seguridad de servicios en la nube y recursos internos.*
*Dado que existen exploits públicos y la gravedad es crítica, se debe priorizar urgentemente su mitigación para evitar intrusiones o fugas de información interna.*
| CVE | CVE-2026-111673 |
| Severidad | CRÍTICO (9.3) |
| Importancia para la empresa | ALTA |
| Publicado | 17 octubre 2026, 03:31 (UTC) |
| Vendor | Thecosy (IceCMS) |
| Producto | IceCMS |
| Versiones | hasta la versión 4.1.5 incluida |
| Exploit Públicos | Sí, confirmados y públicos |
| Referencia | Repositorio oficial GitHub |
| Descripción | IceCMS hasta la versión 4.1.5 contiene una vulnerabilidad de autenticación ausente que permite a atacantes no autenticados modificar, eliminar o deshabilitar cualquier cuenta debido a que la ruta /User/** está excluida del filtro jwt de Shiro. Los atacantes pueden enviar peticiones PUT a /User/updateUser para cambiar la contraseña y el rol de cualquier userId, incluidos administradores, facilitando la toma total de control de cuentas. |
| Estrategia | Actualizar inmediatamente IceCMS a una versión superior a la 4.1.5 con el parche aplicado. Revisar y corregir la configuración del filtro jwt para asegurar que /User/** esté protegido. Monitorizar accesos anómalos a rutas administrativas y solicitudes PUT sospechosas. Implementar controles adicionales de autenticación y autorización para endpoints sensibles. |
—–
He insertado este registro en Supabase conforme al procedimiento interno para seguimiento.
| CVE | CVE-2026-111675 |
| Severidad | CRÍTICA (9.1) |
| Importancia para la empresa | ALTA |
| Publicado | 17 de octubre de 2026, 03:31 UTC |
| Vendor | Tencent Cloud |
| Producto | Course-tencent-cloud |
| Versiones | hasta la versión 2.0.1 incluida |
| Exploit Públicos | Sí, confirmados |
| Referencia | Github: análisis de código vulnerable |
| Descripción | Vulnerabilidad en Course-tencent-cloud hasta la versión 2.0.1 por falta de restricción adecuada en intentos de autenticación que permite a atacantes no autenticados realizar ataques de fuerza bruta sobre códigos de verificación SMS/email de 6 dígitos, que nunca se invalidan ni limitan en intentos. Un atacante que conozca el teléfono o email de la víctima puede generar códigos y rotar IPs para evadir bloqueos en endpoints de restablecimiento de contraseña y verificación de inicio de sesión para tomar control de cuentas. |
| Estrategia | Aplicar el parche oficial que corrige la gestión de intentos de autenticación en la versión 2.0.2 o superior, configurar límites estrictos de intentos fallidos y protección contra rotación masiva de IPs. Además, implementar monitoreo de actividad sospechosa en restablecimientos de contraseña y adoptar autenticación multifactor para minimizar riesgos de toma de control de cuentas. |
| CVE | CVE-2026-111687 |
| Severidad | CRITICAL (9.3) |
| Importancia para la empresa | ALTA |
| Publicado | 2026-10-17T03:31:29.731492+00:00 |
| Vendor | WeRSS |
| Producto | we-mp-rss |
| Versiones | hasta la versión 1.5.3 inclusive |
| Exploit Públicos | Sí |
| Referencia | Repositorio Oficial WeRSS</td |
| Descripción | Vulnerabilidad de ejecución remota de código en WeRSS (we-mp-rss) hasta la versión 1.5.3 donde un atacante no autenticado puede ejecutar código arbitrario a través del parámetro template del endpoint público GET /rss/{feed_id}. El ataque se realiza suministrando un valor ext no incorporado y una plantilla tipo {{=expression}} que evade la lista de bloqueo eval para ejecutar comandos del sistema operativo con los privilegios de la cuenta de servicio. |
| Estrategia | Actualizar urgentemente al menos a la versión parcheada posterior a la 1.5.3. Implementar controles de acceso rígidos y monitorizar el endpoint /rss/{feed_id} para uso inusual. Revisar y restringir los permisos de la cuenta de servicio para limitar el impacto en caso de explotación. |
—–
Con esta vulnerabilidad crítica y con exploits públicos confirmados, la empresa debe dar prioridad máxima a su mitigación para evitar ejecución remota de código que comprometa la infraestructura. La explotación es factible sin autenticación mediante manipulación del parámetro template. Por tanto, sí está siendo explotada potencialmente y supone un riesgo real y urgente.
| CVE | CVE-2026-111690 |
| Severidad | CRÍTICA (9.3) |
| Importancia para la empresa | ALTA |
| Publicado | 17 octubre 2026, 03:31 (UTC) |
| Vendor | Simple Admin |
| Producto | Simple Admin Core |
| Versiones | Versiones hasta 1.8.7 incluidas |
| Exploit Públicos | Sí |
| Referencia | Repositorio oficial GitHub |
| Descripción | Simple Admin Core hasta la versión 1.8.7 contiene una vulnerabilidad de bypass de autenticación que permite a atacantes no autenticados forjar tokens de superadministrador usando el Auth.AccessSecret codificado en api/etc/core.yaml. Los atacantes pueden firmar un JWT con el secreto público y el claim roleId 001 para obtener control administrativo completo sobre usuarios, roles, menús, API, configuraciones y tokens. |
| Estrategia | Actualizar inmediatamente a una versión parcheada que elimine el hard-coded Auth.AccessSecret. Implementar revisión y rotación de claves JWT, restringir acceso a archivos de configuración. Monitorizar logs para detectar accesos no autorizados con tokens JWT creados externamente. |
| CVE | CVE-2026-111691 |
| Severidad | CRÍTICA (9.1) |
| Importancia para la empresa | ALTA |
| Publicado | 2026-10-17T03:31:30.189388+00:00 |
| Vendor | WIMOOR |
| Producto | WIMOOR ERP |
| Versiones | Versiones afectadas comprometidas por commit ec86736 |
| Exploit Públicos | Sí |
| Referencia | Github com WIMOOR UserInfoFilter]</td |
| Descripción | WIMOOR contiene una vulnerabilidad de bypass de autenticación que permite a atacantes suplantar cualquier inquilino y nivel de privilegio mediante el envío de una cabecera X-USERINFO sin firmar. Los atacantes que acceden directamente a los puertos del servicio backend, eludiendo el gateway, pueden falsificar valores companyid y usertype de manager o admin para leer y modificar pedidos, datos financieros y autorizaciones de vendedores Amazon de otros inquilinos. |
| Estrategia | Aplicar inmediatamente el parche oficial o eliminar el acceso directo a puertos backend para garantizar que todas las solicitudes pasen por el gateway con validación de autenticidad. Implementar controles estrictos de validación de cabeceras y monitorear accesos anómalos. Priorizar su mitigación dado que existen exploits públicos efectivos. |
—
| CVE | CVE-2026-111692 |
| Severidad | CRÍTICA (9.3) |
| Importancia para la empresa | ALTA |
| Publicado | 17 de octubre de 2026 |
| Vendor | DataBuff |
| Producto | ai-apm-web |
| Versiones | hasta la versión 0.1.10 incluida |
| Exploit Públicos | Sí, confirmados |
| Referencia | Repositorio oficial DataBuff</td |
| Descripción | DataBuff ai-apm-web hasta la versión 0.1.10 contiene una vulnerabilidad de bypass de autenticación que permite a atacantes no autenticados falsificar tokens de sesión de administrador utilizando el secreto HMAC codificado en JwtTokenService. Los atacantes pueden firmar una carga útil con permisos de administrador y una expiración futura usando el secreto por defecto dev-secret para obtener acceso administrativo total a rutas protegidas /webapi, incluyendo la API de consulta Doris SQL. |
| Estrategia | Actualizar inmediatamente a una versión que elimine el secreto HMAC codificado en el código y utilice secretos seguros y rotativos. Mientras tanto, restringir el acceso a la API, monitorizar tokens administrativos sospechosos y revisar logs para detectar accesos anómalos. También es recomendable auditar todos los puntos de emisión y validación de tokens JWT para evitar fugas similares. |
| CVE | CVE-2026-111693 |
| Severidad | CRÍTICO (9.3) |
| Importancia para la empresa | ALTA |
| Publicado | 17 Octubre 2026 |
| Vendor | DataBuff |
| Producto | ai-apm-web |
| Versiones | hasta la versión 0.1.10 incluida |
| Exploit Públicos | Sí |
| Referencia | Repositorio oficial DataBuff ai-apm-web |
| Descripción | DataBuff ai-apm-web hasta la versión 0.1.10 contiene una vulnerabilidad de credenciales predeterminadas hard-coded que permite a atacantes no autenticados obtener acceso de administrador mediante el uso de la cuenta administrativa integrada admin/Databuff@123. Los atacantes pueden enviar estas credenciales mediante POST a /webapi/api/v1/auth/login para obtener un token de administrador y acceder a todas las rutas protegidas bajo /webapi. |
| Estrategia | Actualizar inmediatamente a una versión parcheada que elimine las credenciales por defecto. Mientras tanto, bloquear accesos externos a la ruta /webapi/api/v1/auth/login o implementar controles de autenticación y monitoreo rigurosos para detectar accesos no autorizados. Auditar cuentas administrativas y cambiar cualquier contraseña predeterminada. Esta vulnerabilidad tiene exploits públicos y puede estar en explotación activa, por lo que debe priorizarse sin demora. |
| CVE | CVE-2026-111704 |
| Severidad | CRITICAL (9.3) |
| Importancia para la empresa | ALTA |
| Publicado | 2026-10-17T03:31:30.938098+00:00 |
| Vendor | LangChat |
| Producto | LangChat |
| Versiones | Hasta commit 2a6285a incluido |
| Exploit Públicos | Sí |
| Referencia | LangChat GitHub</td |
| Descripción | LangChat, hasta el commit 2a6285a6b8c51d51cdc599771bb667a30bc03f5c, contiene una vulnerabilidad de falta de autenticación que permite a atacantes remotos no autenticados acceder a controladores REST sin registro de interceptor Sa-Token. Esto permite consultar la ruta /api/v1/auth/users para leer contraseñas en texto plano, obtener claves API de proveedores LLM, crear cuentas de superadministrador y modificar o eliminar datos. |
| Estrategia | Priorizar actualización inmediata a versión corregida que implemente autenticación efectiva sobre controladores REST con interceptor Sa-Token. Auditar accesos a endpoints sensibles, rotar claves API expuestas y revisar registros para detectar actividad anómala que indique explotación activa. |
—
*Este CVE tiene explotación pública confirmada y permite acceso remoto sin autenticación para manipular datos críticos y credenciales, lo que supone un riesgo real y urgente para la seguridad de la empresa. Se recomienda máxima prioridad de parcheo y monitorización inmediata.*
| CVE | CVE-2026-111708 |
| Severidad | CRITICAL (9.3) |
| Importancia para la empresa | ALTA |
| Publicado | 2026-10-17T03:31:31.108056+00:00 |
| Vendor | WhaTicket Community |
| Producto | WhaTicket Community |
| Versiones | Afecta la versión con commit cf04795 |
| Exploit Públicos | Sí |
| Referencia | Repositorio oficial WhaTicket Community |
| Descripción | WhaTicket Community, en el commit cf04795, contiene una vulnerabilidad de omisión de autenticación que permite a atacantes no autenticados auto-registrarse como administradores mediante un POST a /auth/signup. Los atacantes pueden omitir el campo perfil o establecerlo como admin, obteniendo control sobre gestión de usuarios, configuraciones, y acceso completo a tickets, contactos, mensajes y conexiones WhatsApp. |
| Estrategia | Aplicar inmediatamente el parche o actualización que corrige este commit vulnerable. Restringir accesos y validar estrictamente los campos de perfil en los formularios de registro para evitar elevación de privilegios. Monitorizar registros de accesos administrativos y actividad inusual para detectar explotaciones en curso. |
—
| CVE | CVE-2026-111711 |
| Severidad | CRÍTICA (9.3) |
| Importancia para la empresa | ALTA |
| Publicado | 2026-10-17T03:31:31Z |
| Vendor | Netcore |
| Producto | NR256CN |
| Versiones | Hasta la versión 1.5.140116 |
| Exploit Públicos | Sí |
| Referencia | Informe detallado de vulnerabilidad</td |
| Descripción | Netcore NR256CN hasta la versión 1.5.140116 contiene una vulnerabilidad de desbordamiento de pila previa a la autenticación en la función user_ok() del servidor web Boa, que copia nombres de usuario Basic-auth con llamadas strcpy() sin límites en buffers de pila de 64 bytes. Un atacante no autenticado puede enviar un nombre de usuario de más de 63 bytes a cualquier ruta protegida /router/*.cgi para causar el fallo del proceso principal de Boa o incluso ejecutar código. |
| Estrategia | Actualizar inmediatamente a la versión que corrige esta vulnerabilidad o aplicar el parche oficial si está disponible. Limitar y validar estrictamente la longitud de los nombres de usuario en el servidor web. Monitorizar logs por posibles intentos de explotación y bloquear accesos a rutas CGI protegidas desde fuentes no confiables. |
| CVE | CVE-2026-102608 |
| Severidad | CRITICAL (9) |
| Importancia para la empresa | ALTA |
| Publicado | 17 octubre 2026, 03:31 (UTC) |
| Vendor | ZoneMinder |
| Producto | ZoneMinder CCTV Software |
| Versiones | Versiones anteriores a 1.38.3 |
| Exploit Públicos | Sí |
| Referencia | Commit oficial de corrección |
| Descripción | ZoneMinder es un software gratuito y de código abierto para circuitos cerrados de televisión (CCTV). Antes de la versión 1.38.3, la función downloadEvents() envolvía manualmente el valor del nombre de un monitor entre comillas simples en vez de usar escapeshellarg() al construir comandos shell. Esto permite que un usuario con permisos de crear o editar monitores ingrese nombres con caracteres especiales que, luego, un usuario con permisos para ver eventos puede exportar, ejecutando comandos arbitrarios con los privilegios del usuario del servidor web. Esta vulnerabilidad se corrige en la versión 1.38.3. |
| Estrategia | Actualizar inmediatamente ZoneMinder a la versión 1.38.3 o superior. Limitar los permisos para crear o editar monitores solo a usuarios estrictamente necesarios. Monitorizar actividades inusuales en exportaciones de eventos y actividad de shell inesperada en el servidor web para detectar posibles explotaciones activas. |
—
He insertado el registro en Supabase con los datos suministrados para su posterior seguimiento y análisis.
| CVE | CVE-2026-96620 |
| Severidad | CRITICAL (9.2) |
| Importancia para la empresa | ALTA |
| Publicado | 17 de octubre de 2026 |
| Vendor | Anthropics Technology |
| Producto | Claude Agent SDK (Python SDK para Claude Code) |
| Versiones | Versiones anteriores a 0.2.121 |
| Exploit Públicos | Sí, explotable mediante inyección de flags CLI |
| Referencia | GitHub Security Advisory |
| Descripción | El SDK Claude Agent para Python, versiones anteriores a la 0.2.121, permite que la opción «resume» se pase al CLI de Claude como un token separado sin validación, lo que permite que un valor que empiece con un guion (‘-‘) sea interpretado como una bandera independiente. Un atacante puede inyectar el flag –mcp-config para definir un servidor stdio MCP, causando ejecución arbitraria de comandos al iniciar el CLI, eludiendo los controles de permiso del SDK. La explotación ocurre cuando se pasa una entrada no confiable como ID de sesión para «resume». Esta vulnerabilidad fue corregida en la versión 0.2.121. |
| Estrategia | Actualizar inmediatamente a la versión 0.2.121 o superior. Validar y sanear estrictamente cualquier entrada externa usada como ID de sesión o parámetro «resume» para evitar inyecciones de comandos. Supervisar logs para detectar comandos anómalos y restringir el uso del CLI solo a usuarios confiables. |
| CVE | CVE-2026-111823 |
| Severidad | CRITICAL (9.8) |
| Importancia para la empresa | ALTA |
| Publicado | 17 de octubre de 2026 |
| Vendor | Mage OSS |
| Producto | Mage OSS |
| Versiones | todas antes de la versión 0.9.80 hasta commit 76c4f46 |
| Exploit Públicos | Sí |
| Referencia | Pull request oficial en Github |
| Descripción | Mage OSS versiones hasta la 0.9.80 anterior al commit 76c4f46 permite la creación de sesión cuando se encuentra un proveedor OAuth desconocido. Esto significa que un atacante puede forzar la creación de sesiones no autorizadas explotando proveedores OAuth no validados. |
| Estrategia | Actualizar inmediatamente Mage OSS a la versión corregida posterior al commit 76c4f46. Revisar y reforzar la validación de proveedores OAuth para evitar creación de sesiones fraudulentas. Monitorizar intentos anómalos de autenticación para detectar explotación activa. |
| CVE | CVE-2026-110653 |
| Severidad | CRÍTICA (9.1) |
| Importancia para la empresa | ALTA |
| Publicado | 17 de octubre de 2026 |
| Vendor | LatePoint |
| Producto | Appointment Booking Plugin – LatePoint | Calendar & Scheduling para WordPress |
| Versiones | Todas las versiones hasta la 5.7.4 inclusive |
| Exploit Públicos | Sí |
| Referencia | LatePoint Auth Controller Source |
| Descripción | El plugin Appointment Booking LatePoint para WordPress presenta una vulnerabilidad de evasión de autenticación vía condición de carrera en la función verifyOTP. Debido a una actualización no atómica del contador de intentos OTP, un atacante no autenticado que conozca el email o teléfono del cliente puede realizar múltiples solicitudes concurrentes para evadir el límite de 10 intentos, permitiendo un ataque de fuerza bruta para obtener el código OTP y autenticarse como el usuario objetivo, accediendo a sus datos y reservas. El chequeo nonce no mitiga pues es accesible públicamente desde endpoints no autenticados. |
| Estrategia | Actualizar urgentemente el plugin a una versión corregida que implemente bloqueo correcto (locking atómico o transacciones) para el contador OTP. En paralelo, limitar accesos por IP y monitorizar intentos bruteforce en el endpoint de verificación OTP. Suspender mecanismos con nonce público y reforzar autenticación multifactor para reforzar seguridad. Detectar posibles accesos no autorizados ya realizados. |
—
He procedido a insertar este registro en Supabase con los siguientes datos relevantes para seguimiento y alertas.
Enviar a un amigo:
