| CVE | Vendor | Producto | Severidad | VAfectadas | Exploit |
|---|---|---|---|---|---|
| CVE-2026-96655 | Plex | Media Server | Alta | No especificadas (afecta versión actual de Plex Media Server) | Sí |
| CVE-2026-96652 | Plex, Inc. | Plex Media Server | ALTA (No especificada, SSRF suele ser crítica) | No especificadas; se recomienda revisar la versión afectada en la documentación oficial | Sí |
| CVE-2026-96654 | Plex, Inc. | plex media_server | No especificado (alto riesgo implícito por explotación activa) | Versiones no especificadas; afecta versiones con vulnerabilidad en neutralización incorrecta de esquemas URI codificados en web | Sí |
| CVE-2026-96656 | Plex, Inc. | Plex Media Server | ALTA (No especificada en el CVE, inferida por explotación activa) | Versiones afectadas no especificadas, revisar última versión disponible | Sí |
| CVE-2026-109894 | Arraytics | Booktics | CRÍTICA (9.3) | Todas hasta la 1.0.29 incluidas | Sí |
| CVE-2026-110372 | Brainstorm Force | OttoKit (plugin suretriggers) | CRITICAL (9.8) | desde n | Sí |
| CVE-2026-110886 | QuantumCloud | Conversational Forms for ChatBot | CRÍTICA (9.8) | desde versiones iniciales hasta 1.5.1 | Sí |
| CVE-2026-111998 | Vanus Labs | Vanus | CRITICAL (9.3) | 0.8.0 hasta 0.9.0 | Sí |
| CVE-2026-112005 | WhoDB | WhoDB | CRITICAL (9.2) | anterior a 0.135.0 (incluye 0.104.0 a 0.134.0) | Sí |
| CVE-2026-108983 | GeoVision | GeoWebServer.exe (Servidor Web) | CRÍTICA (9.8) | No especificadas — defecto en puertos de conexión por defecto | Sí |
| CVE-2026-102503 | OSS Agent Mesh (SAM) | CRITICAL (9.3) | 0.1.0-alpha.1 a 0.1.0-alpha.2 | Sí | |
| CVE-2026-103091 | Google OSS Agent Mesh (SAM) | CRITICAL (9.3) | 0.1.0-alpha.1 a 0.1.0-alpha.8 | Sí |
| CVE | CVE-2026-96655 |
| Severidad | Alta |
| Importancia para la empresa | ALTA |
| Publicado | 19 Oct 2026, 03:31 (UTC) |
| Vendor | Plex |
| Producto | Media Server |
| Versiones | No especificadas (afecta versión actual de Plex Media Server) |
| Exploit Públicos | Sí, confirmados – la vulnerabilidad está siendo explotada activamente |
| Referencia | Vulncheck CVE-2026-96655 |
| Descripción | Vulnerabilidad de Server-Side Request Forgery (SSRF) en Plex Media Server que permite a atacantes inducir al servidor a realizar peticiones HTTP a dominios arbitrarios.
Esto expone a la compañía a ataques que pueden eludir controles de red, acceder a servicios internos o externos no autorizados, y potencialmente comprometer la red interna al usar Plex como pivote. La explotación activa confirma un riesgo real inmediato. |
| Estrategia | Aplicar el parche oficial que mitigue esta vulnerabilidad lo antes posible. Restringir el acceso del Plex Media Server a redes internas mediante segmentación y firewalls. Monitorizar logs por actividades anómalas de solicitudes HTTP desde el servidor. Considerar bloqueo temporal del servicio si no es crítico para la operación hasta la actualización. |
| CVE | CVE-2026-96652 |
| Severidad | ALTA (No especificada, SSRF suele ser crítica) |
| Importancia para la empresa | ALTA |
| Publicado | 19 de octubre de 2026 |
| Vendor | Plex, Inc. |
| Producto | Plex Media Server |
| Versiones | No especificadas; se recomienda revisar la versión afectada en la documentación oficial |
| Exploit Públicos | Sí, se está explotando activamente |
| Referencia | Vulncheck CVE-2026-96652 |
| Descripción | Vulnerabilidad Server-Side Request Forgery (SSRF) en Plex Media Server que permite a un atacante inducir solicitudes HTTP arbitrarias desde el servidor vulnerable, explotable para acceder o interactuar con servicios internos que normalmente estarían protegidos. |
| Estrategia | Actualizar Plex Media Server a la última versión publicada que corrige esta vulnerabilidad. Implementar controles de red restrictivos que limiten las conexiones salientes del servidor y monitorizar tráfico inusual. Priorizar esta mitigación dado que ya existen exploits activos. |
*****
[Se realiza inserción en Supabase con datos: CVE-2026-96652, Severidad ALTA, Importancia ALTA, Fecha 2026-10-19, Vendor Plex, Producto Plex Media Server, Versión afectada no especificada, Exploit activos: Sí.]
| CVE | CVE-2026-96654 |
| Severidad | No especificado (alto riesgo implícito por explotación activa) |
| Importancia para la empresa | ALTA |
| Publicado | 19 de octubre de 2026 |
| Vendor | Plex, Inc. |
| Producto | plex media_server |
| Versiones | Versiones no especificadas; afecta versiones con vulnerabilidad en neutralización incorrecta de esquemas URI codificados en web |
| Exploit Públicos | Sí, explotación activa confirmada |
| Referencia | Vulncheck CVE-2026-96654, KEV Vulns, Vulncheck FAQ |
| Descripción | Vulnerabilidad de Neutralización Incorrecta de Esquemas URI Codificados en una página web de plex media_server, que puede permitir ataques de inyección o manipulación de contenido. Esta falla permite a un atacante inyectar o manipular contenido a través de la incorrecta gestión de esquemas URI codificados, poniendo en riesgo la integridad y seguridad del servidor Plex. |
| Estrategia | Aplicar de inmediato los parches oficiales de Plex para esta vulnerabilidad. Paralelamente, reforzar las validaciones y saneamiento estricto de entradas URI en la aplicación web. Vigilar logs y comportamiento anómalo para detectar y frenar posibles ataques activos. Priorizar esta vulnerabilidad debido a su explotación activa y posible impacto en la integridad del servicio y datos. |
| CVE | CVE-2026-96656 |
| Severidad | ALTA (No especificada en el CVE, inferida por explotación activa) |
| Importancia para la empresa | ALTA |
| Publicado | 19 de octubre de 2026 |
| Vendor | Plex, Inc. |
| Producto | Plex Media Server |
| Versiones | Versiones afectadas no especificadas, revisar última versión disponible |
| Exploit Públicos | Sí, explotación activa confirmada |
| Referencia | Vulncheck CVE-2026-96656 |
| Descripción | Vulnerabilidad de Control Externo del Nombre o Ruta de Archivo en Plex Media Server que permite a un atacante manipular archivos arbitrarios en el sistema. Esto puede ser explotado para modificar, sobreescribir o ejecutar archivos maliciosos, comprometiendo la integridad y seguridad del sistema afectado. |
| Estrategia | Aplicar inmediatamente los parches oficiales proporcionados por Plex. Revisar y restringir los permisos de acceso a archivos y directorios en el servidor. Implementar monitoreo activo para detectar actividad inusual en archivos críticos y rutas del sistema. Considerar segmentar el servidor para minimizar impacto en caso de explotación. |
| CVE | CVE-2026-109894 |
| Severidad | CRÍTICA (9.3) |
| Importancia para la empresa | ALTA |
| Publicado | 19 de octubre de 2026 |
| Vendor | Arraytics |
| Producto | Booktics |
| Versiones | Todas hasta la 1.0.29 incluidas |
| Exploit Públicos | Sí |
| Referencia | Patchstack Advisory |
| Descripción | Vulnerabilidad de Neutralización Incorrecta de Elementos Especiales utilizados en un Comando SQL (‘Inyección SQL’) en Arraytics Booktics que permite ejecutar código SQL arbitrario. Esta vulnerabilidad afecta a Booktics desde la versión inicial hasta la 1.0.29 incluida.
Un atacante puede explotar esta vulnerabilidad inyectando comandos SQL maliciosos a través de entradas manipuladas, logrando así acceso no autorizado, extracción o manipulación de datos sensibles dentro de la base de datos, comprometiendo la integridad y confidencialidad de la información gestionada por el producto. |
| Estrategia | Actualizar inmediatamente Booktics a la versión más reciente que incluya la corrección. Mientras tanto, restringir accesos a interfaces vulnerables y validar rigurosamente todas las entradas para evitar inyección SQL. Monitorizar logs y alertas para detectar patrones de explotación y aplicar reglas WAF específicas para filtrar intentos sospechosos. |
| CVE | CVE-2026-110372 |
| Severidad | CRITICAL (9.8) |
| Importancia para la empresa | ALTA |
| Publicado | 19 octubre 2026, 03:31 (UTC) |
| Vendor | Brainstorm Force |
| Producto | OttoKit (plugin suretriggers) |
| Versiones | desde n/a hasta 1.1.40 |
| Exploit Públicos | Sí |
| Referencia | Patchstack Advisory |
| Descripción | Vulnerabilidad de asignación incorrecta de privilegios en Brainstorm Force OttoKit suretriggers que permite la escalada de privilegios. Este problema afecta a OttoKit: desde n/a hasta la versión 1.1.40.
El atacante puede explotar esta vulnerabilidad para elevar sus privilegios dentro del sistema, obteniendo permisos no autorizados que pueden conducir al compromiso total del entorno afectado. |
| Estrategia | Parchear Urgentemente a una versión corregida posterior a la 1.1.40. Implementar controles de acceso estrictos y revisar privilegios asignados. Monitorizar actividad sospechosa para detectar intentos de escalada de privilegios y ataques en curso. |
| CVE | CVE-2026-110886 |
| Severidad | CRÍTICA (9.8) |
| Importancia para la empresa | ALTA |
| Publicado | 19 octubre 2026, 03:31 (UTC) |
| Vendor | QuantumCloud |
| Producto | Conversational Forms for ChatBot |
| Versiones | desde versiones iniciales hasta 1.5.1 |
| Exploit Públicos | Sí, confirmados |
| Referencia | Patchstack Advisory |
| Descripción | Vulnerabilidad de deserialización de datos no confiables en QuantumCloud Conversational Forms para ChatBot que permite inyección de objetos. Este problema afecta a Conversational Forms para ChatBot en versiones desde su lanzamiento hasta la 1.5.1.
El atacante puede explotar esta falla enviando datos especialmente diseñados que al deserializarse provocan la ejecución remota de código malicioso o manipulación de la aplicación, comprometiendo totalmente la seguridad del sistema y los datos contenidas en la plataforma afectada. |
| Estrategia | Actualizar inmediatamente a la versión 1.5.2 o superior, donde la vulnerabilidad ha sido corregida. Monitorear los logs en busca de patrones sospechosos de deserialización e implementación de reglas WAF específicas para bloquear datos maliciosos. Considerar auditorías adicionales en formularios conversacionales para validar seguridad. |
—
*Evaluación:* Esta vulnerabilidad es crítica y tiene exploits públicos confirmados que pueden ser usados para ejecutar código remoto. Es prioritario implementar el parche inmediatamente dado que la exposición actual pone en riesgo la integridad y disponibilidad del sistema, pudiendo derivar en compromisos profundos de la infraestructura.
—
**Inserción en la base de datos Supabase**
(Se ejecuta llamada para almacenar los datos con campos: CVE-2026-110886, CRÍTICA, ALTA, 19-10-2026, QuantumCloud, Conversational Forms for ChatBot, desde inicio a 1.5.1, Sí, https://patchstack.com/database/wordpress/plugin/conversational-forms/vulnerability/wordpress-conversational-forms-for-chatbot-plugin-1-5-1-php-object-injection-vulnerability?_s_id=cve)
| CVE | CVE-2026-111998 |
| Severidad | CRITICAL (9.3) |
| Importancia para la empresa | ALTA |
| Publicado | 19 de octubre de 2026 |
| Vendor | Vanus Labs |
| Producto | Vanus |
| Versiones | 0.8.0 hasta 0.9.0 |
| Exploit Públicos | Sí |
| Referencia | Github Vanus CVE-2026-111998 |
| Descripción | Vanus versión 0.8.0 hasta 0.9.0 contiene una vulnerabilidad de credenciales por defecto que permite a atacantes remotos no autenticados obtener acceso como administrador del clúster usando un token admin fijo. Los atacantes pueden enviar este token Bearer al puerto proxy gRPC de la puerta de enlace para gestionar namespaces, eventbuses, usuarios, tokens y enlaces de roles, así como leer o publicar eventos. |
| Estrategia | Actualizar inmediatamente a una versión parcheada que elimine el token admin por defecto o implemente autenticación segura. Bloquear el acceso al puerto gRPC proxy desde redes no confiables. Monitorizar intentos de uso del token admin para detectar explotación activa. |
| CVE | CVE-2026-112005 |
| Severidad | CRITICAL (9.2) |
| Importancia para la empresa | ALTA |
| Publicado | 19/10/2026 03:31 (UTC) |
| Vendor | WhoDB |
| Producto | WhoDB |
| Versiones | anterior a 0.135.0 (incluye 0.104.0 a 0.134.0) |
| Exploit Públicos | Sí |
| Referencia | Fuente oficial en GitHub |
| Descripción | WhoDB 0.104.0 antes de 0.135.0 contiene una vulnerabilidad de salto de ruta (path traversal) que permite a atacantes remotos leer y escribir archivos arbitrarios del host ejecutando funciones de sistema de archivos DuckDB a través del editor de consultas. Los atacantes pueden acceder a un archivo DuckDB sin credenciales y usar funciones como read_text, read_blob, COPY … TO o ATTACH para robar session.key y credenciales almacenadas de bases de datos o sobrescribir archivos. |
| Estrategia | Actualizar inmediatamente WhoDB a la versión 0.135.0 o superior que corrige esta vulnerabilidad. Restringir acceso al editor de consultas solo a usuarios confiables y monitorizar accesos anómalos, especialmente operaciones con funciones de sistema de archivos. Implementar controles de acceso y auditoría para detectar explotación activa. |
| CVE | CVE-2026-108983 |
| Severidad | CRÍTICA (9.8) |
| Importancia para la empresa | ALTA |
| Publicado | 19 de octubre de 2026, 03:31 UTC |
| Vendor | GeoVision |
| Producto | GeoWebServer.exe (Servidor Web) |
| Versiones | No especificadas — defecto en puertos de conexión por defecto |
| Exploit Públicos | Sí, reportado |
| Referencia | Aviso oficial de seguridad GeoVision |
| Descripción | Existe una vulnerabilidad crítica en los puertos de conexión por defecto del servidor web bajo el proceso GeoWebServer.exe de GeoVision. Esta falla podría permitir a un atacante remoto explotar la configuración insegura para acceder o controlar el servidor sin autenticación previa, comprometiendo la integridad y disponibilidad del servicio. |
| Estrategia | Actualizar inmediatamente con el parche oficial disponible en el fabricante. Revisar y modificar la configuración de puertos por defecto para limitar la exposición externa. Implementar reglas estrictas de firewall y monitorizar intentos de conexión inusuales para detectar explotación activa. |
—
*Nota:* La severidad crítica y la existencia de exploits públicos hacen que esta vulnerabilidad requiera atención inmediata para evitar brechas graves en la seguridad de la empresa.
| CVE | CVE-2026-102503 |
| Severidad | CRITICAL (9.3) |
| Importancia para la empresa | ALTA |
| Publicado | 19/10/2026 |
| Vendor | |
| Producto | OSS Agent Mesh (SAM) |
| Versiones | 0.1.0-alpha.1 a 0.1.0-alpha.2 |
| Exploit Públicos | Sí |
| Referencia | Commit oficial de corrección |
| Descripción | Falta de autenticación para funciones críticas (CWE-306) y falta de autorización (CWE-862) en el servidor ingress /libp2p-http del OSS Agent Mesh (SAM) de Google, versiones 0.1.0-alpha.1 a 0.1.0-alpha.2. Esto permite que un par remoto no autenticado de libp2p omita la aplicación de políticas Biscuit y llame a servicios backend arbitrarios registrados, incluyendo servidores MCP, A2A y endpoints de inferencia. Mientras el protocolo MCP requiere autenticación y autorización, las rutas /libp2p-http omiten estas comprobaciones, exponiendo servicios críticos a accesos no autorizados. Se recomienda actualizar a la versión 0.1.0-alpha.3 o superior. |
| Estrategia | Actualizar inmediatamente a la versión 0.1.0-alpha.3 o superior para aplicar la corrección que añade autenticación y autorización obligatorias. Monitorizar accesos remotos inusuales a servicios backend y revisar configuraciones de acceso a la red para limitar la exposición externa al componente vulnerable. |
| CVE | CVE-2026-103091 |
| Severidad | CRITICAL (9.3) |
| Importancia para la empresa | ALTA |
| Publicado | 19 de octubre de 2026 |
| Vendor | |
| Producto | Google OSS Agent Mesh (SAM) |
| Versiones | 0.1.0-alpha.1 a 0.1.0-alpha.8 |
| Exploit Públicos | Sí |
| Referencia | Google SAM Release v0.1.0-alpha.9 |
| Descripción | Falta de autorización (CWE-862) e inicialización insegura de recursos (CWE-1188) en el proxy MCP (HandleStreamPassThrough en mcp_service.go) y el flujo de registro OIDC (GET /info y POST /register en internal/controlplane/server.go) en Google OSS Agent Mesh (SAM) versiones 0.1.0-alpha.1 a 0.1.0-alpha.8 permiten a un atacante remoto autoinscribirse en la malla e invocar herramientas arbitrarias en todos los nodos backend conectados. GET /info expone públicamente la configuración OIDC, POST /register inscribe automáticamente cualquier token OIDC válido sin filtrado ni controles de bloqueo, y la política por defecto vincula «sam:system:authenticated» con servicios y objetivos wildcard, otorgando acceso total de lectura, escritura y ejecución en servicios backend. Los usuarios deben actualizar a la versión 0.1.0-alpha.9 o superior, que aplica una política por defecto «fail-closed», requisitos explícitos para enlaces de política en la inscripción y controles de bloqueo. |
| Estrategia | Actualizar inmediatamente a la versión 0.1.0-alpha.9 o superior para aplicar políticas restrictivas y controles de acceso efectivos. Mientras se realiza el parche, restringir el acceso a los endpoints /info y /register sólo a usuarios autorizados y monitorizar registros de actividad para detectar autoinscripciones sospechosas o acceso no autorizado. |
Enviar a un amigo:
