| CVE | Vendor | Producto | Severidad | VAfectadas | Exploit |
|---|---|---|---|---|---|
| CVE-2017-14537 | netfortris | trixbox | ALTA (no especificado CVSS exacto) | No especificado en la fuente | Sí |
| CVE-2025-49002 | DataEase | DataEase | Alto (explotación activa confirmada) | No especificadas públicamente | Sí |
| CVE-2021-41826 | place | placeos_authentication | No especificada (pero alta por explotación activa) | No especificadas concretamente | Sí |
| CVE-2025-41243 | En análisis | En análisis | Alta (no especificada numéricamente) | En análisis | Sí |
| CVE-2020-10549 | rConfig | rConfig | ALTA | No especificadas, revisar versiones actuales desplegadas | Sí |
| CVE-2022-29272 | Nagios | Nagios XI | MEDIA | No especificadas explícitamente | Sí |
| CVE-2021-25033 | Noptin | Noptin | MEDIA (No especificado CVSS exacto) | No especificado | Sí |
| CVE-2026-106173 | Fortinet | FortiSIEM | Alta (no numérica, pero explotándose activamente) | No especificadas – revisar actualización oficial Fortinet | Sí |
| CVE-2026-4406 | Gravity Forms | Gravity Forms | ALTA (por explotación activa) | Versiones anteriores a la última actualización de octubre 2026 | Confirmados y activos |
| CVE-2025-7634 | wptravelengine | WP Travel Engine – Tour Booking Plugin | Alta (explotación activa confirmada) | Versiones afectadas no especificadas (se recomienda actualizar a última versión disponible) | Sí |
| CVE-2025-15364 | codename065 | Download Manager | Alta (no especificada numéricamente) | No especificadas | Sí |
| CVE-2026-56033 | Dokan Multivendor | Dokan Pro (Plugin Multivendor) | ALTA (No especificado pero explotación activa) | Versiones afectadas no especificadas claramente, se recomienda actualizar a la última versión disponible. | Sí |
| CVE-2026-115547 | Okta, Inc. | Okta Access Gateway (OAG) Admin Console | CRITICAL (9.1) | Versiones con consola administrativa afectadas (sin detallarse explícitamente) | Sí |
| CVE-2026-54630 | Part-DB | Part-DB (sistema de gestión de inventarios para componentes electrónicos) | CRITICAL (9.6) | Versiones anteriores a la 2.12.1 | Sí |
| CVE-2026-94267 | Deluxe Press | Advanced Custom Fields: Extended WordPress plugin | CRITICAL (9.0) | versiones anteriores a 0.9.2.8 | Sí |
| CVE-2026-55981 | Creative | Sound Blaster Katana | CRITICAL (9.6) | No especificadas (Firmware afectado) | Sí |
| CVE-2026-63244 | WizLearn Technologies | Learning Management System (LMS) | CRÍTICA (9.8) | No especificadas | Sí |
| CVE-2025-30046 | CGM | CLININET Application Server | CRÍTICA (9.0) | Versiones hasta 2026.MS3 (posiblemente posteriores también vulnerables) | Sí |
| CVE-2025-30047 | CGM | CLININET | CRITICAL (9.4) | versiones anteriores a 2026.MS3 | Sí |
| CVE-2025-30050 | CGM CLININET | RunCGI.pm (componente de CGM CLININET) | CRITICAL (9.4) | Versiones anteriores a 2026.MS3 | Sí |
| CVE-2025-30054 | CGM | CLININET | CRITICAL (9.3) | versiones hasta 2026.MS3 | Sí |
| CVE-2026-112860 | xnau webdesign | Participants Database | CRITICAL (9.3) | Desde versión no especificada hasta 2.7.8.5 | Sí |
| CVE-2026-112862 | xnau webdesign | Participants Database (plugin WordPress) | CRÍTICA (9.8) | versiones hasta 2.7.8.5 incluidas | Sí |
| CVE-2026-25784 | Hallo Welt! GmbH | BlueSpice (imagen de contenedor bluespice | CRÍTICO (9.3) | De 5.2.3 antes de 5.2.7 y las imágenes de contenedor 5.2.7 publicadas antes de 19 Oct 2026, 15:37 UTC | Sí |
| CVE-2026-107685 | agentjido | req_llm WebSocket streaming client | CRÍTICO (9.1) | De la 1.9.0 hasta antes de la 1.29.0 | Sí |
| CVE-2026-115727 | AgenticSeek | AgenticSeek LLM Server | CRITICAL (9.2) | versiones anteriores al commit 409840c | Sí |
| CVE-2026-112846 | ThemeREX Group | Save Life (tema WordPress) | CRITICAL (9.8) | Desde versión inicial hasta 1.2.14 | Sí |
| CVE-2026-112847 | ThemeREX | ZenSoul (Theme de WordPress) | CRITICAL (9.8) | desde inicio hasta la 1.13 | Sí |
| CVE-2026-112848 | AivahThemes | Hostme v2 (theme WordPress) | CRITICAL (9.8) | desde n | Sí |
| CVE-2026-112851 | ThemeREX Group | HotLock | CRÍTICA (9.8) | hasta la versión 1.3.9 incluida | Sí |
| CVE-2026-112853 | axiomthemes | Hallelujah (tema WordPress) | CRITICAL (9.8) | desde n | Sí |
| CVE-2026-112854 | axiomthemes | Holistic Center | CRITICAL (9.8) | desde cualquier versión anterior hasta la 1.2.6 inclusive | Sí |
| CVE-2026-112855 | axiomthemes | Redy (tema de WordPress) | CRITICAL (9.8) | desde n | Sí |
| CVE-2026-112856 | ThemeREX Group | Vagabonds (Tema WordPress) | CRITICAL (9.8) | desde n | Sí |
| CVE-2026-112857 | axiomthemes | Reprizo (tema de WordPress) | CRÍTICA (9.8) | Desde la versión inicial hasta la 1.0.8 inclusive | Sí |
| CVE-2026-112858 | axiomthemes | Rhodos (tema WordPress) | CRÍTICA (9.8) | desde n | Sí |
| CVE-2026-112859 | ThemeREX Group | Little Birdies | CRÍTICA (9.8) | Desde versión inicial hasta 1.3.16 | Sí |
| CVE-2026-57116 | PraisonAI | AgentOS FastAPI deployment | CRITICAL (9.8) | Desde 4.2.1 hasta antes de 4.6.59 | Sí |
| CVE-2026-114357 | DJI | CrystalSky ZS600C firmware | CRITICAL (9.3) | v0.3.9.7 a v0.6.6.9 | Sí |
| CVE-2026-53921 | OpenWrt | odhcpd (servidor DHCPv6, DHCPv4 y router-advertisement) | CRITICAL (9.8) | Anterior a la versión 25.12 | Sí |
| CVE-2026-46651 | Intranda GmbH | Goobi Viewer | CRÍTICA (9.8) | Desde 24.03 hasta antes de 26.05 | Sí |
| CVE-2026-46652 | Intranda GmbH | Goobi Viewer | CRÍTICA (9.8) | Desde 24.03 hasta antes de 26.05 | Sí |
| CVE-2026-53942 | Conda Organization Infrastructure | conda | CRITICAL (9.9) | versiones anteriores al commit 9c0f238 | Sí |
| CVE-2026-55486 | Intranda GmbH | Goobi Viewer | CRÍTICA (9.3) | desde 25.08 hasta antes de 26.05 | Sí |
| CVE-2026-115812 | Amazon Web Services | Multi Model Server | CRITICAL (9.3) | versión 1.1.11 y anteriores | Sí |
| CVE-2026-115889 | Bytecode Alliance | Wasmtime (runtime para WebAssembly) | CRITICAL (9.9) | anteriores a 36.0.19 y 43.0.0 | Sí |
| CVE-2026-115893 | Bytecode Alliance | Wasmtime (runtime para WebAssembly) | CRÍTICO (9.9) | versiones anteriores a 36.0.19, 48.0.7 y 49.0.4 | Sí |
| CVE-2026-115931 | Postiz | Postiz Backend | CRÍTICA (9.9) | Todas las versiones con función de backend expuesta (sin restricción en funciones accesibles) | Sí |
| CVE | CVE-2017-14537 |
| Severidad | ALTA (no especificado CVSS exacto) |
| Importancia para la empresa | ALTA |
| Publicado | 24 de octubre de 2026 |
| Vendor | netfortris |
| Producto | trixbox |
| Versiones | No especificado en la fuente |
| Exploit Públicos | Sí, explotación activa confirmada |
| Referencia | Detalles en VulnCheck, CISA CVE catalog |
| Descripción | Vulnerabilidad de limitación inadecuada de una ruta de acceso a un directorio restringido («Path Traversal») en netfortris trixbox, que permite a atacantes acceder a archivos arbitrarios fuera del directorio permitido. Esta falla es explotada activamente. |
| Estrategia | Aplicar inmediatamente parches oficiales de netfortris para trixbox. Si no es posible actualizar, restringir accesos mediante reglas estrictas en el firewall y monitorizar logs para detectar accesos no autorizados. Implementar validación y saneamiento riguroso de rutas en la aplicación. |
—
He realizado la inserción del registro en Supabase con los datos proporcionados y verificados para seguimiento operativo.
| CVE | CVE-2025-49002 |
| Severidad | Alto (explotación activa confirmada) |
| Importancia para la empresa | ALTA |
| Publicado | 24 de octubre de 2026, 03:31 (UTC) |
| Vendor | DataEase |
| Producto | DataEase |
| Versiones | No especificadas públicamente |
| Exploit Públicos | Sí, explotación activa confirmada |
| Referencia | Detalle CVE y CISA Exploitation Activa |
| Descripción | Vulnerabilidad de elusión de autenticación en DataEase causada por suplantación, que permite a un atacante autenticarse sin credenciales válidas. Esta vulnerabilidad está siendo actualmente explotada activamente en entornos reales para obtener acceso no autorizado. |
| Estrategia | Aplicar inmediatamente los parches oficiales facilitados por DataEase y revisar los controles de autenticación implementados. Implementar monitoreo avanzado para detección de accesos sospechosos y reforzar políticas de autenticación multifactor para mitigar intentos de suplantación. |
| CVE | CVE-2021-41826 |
| Severidad | No especificada (pero alta por explotación activa) |
| Importancia para la empresa | ALTA |
| Publicado | 24 de octubre de 2026, 03:31 (UTC) |
| Vendor | place |
| Producto | placeos_authentication |
| Versiones | No especificadas concretamente |
| Exploit Públicos | Sí, explotación activa confirmada |
| Referencia | Vulncheck CVE – CISA Catalog |
| Descripción | Vulnerabilidad de redirección de URL a sitio no confiable («Open Redirect») en place placeos_authentication. Esta falla permite que un atacante redirija a usuarios hacia sitios externos maliciosos mediante enlaces manipulados, explotándose para generar campañas de phishing y posible robo de credenciales. |
| Estrategia | Actualizar inmediatamente a una versión parcheada donde se valide y restrinja el destino de redirección. Monitorizar tráfico y alertar sobre redirecciones sospechosas. Capacitar usuarios para evitar seguir enlaces no verificados y aplicar controles de seguridad en el gateway web para bloquear destinos maliciosos conocidos. |
| CVE | CVE-2025-41243 |
| Severidad | Alta (no especificada numéricamente) |
| Importancia para la empresa | ALTA |
| Publicado | 24 de Octubre de 2026, 03:31 UTC |
| Vendor | En análisis |
| Producto | En análisis |
| Versiones | En análisis |
| Exploit Públicos | Sí, explotación confirmada |
| Referencia | VulnCheck | CISA Vulnerabilities Catalog |
| Descripción | Vulnerabilidad de Control Inadecuado en la Generación de Código («Code Injection»). Permite que un atacante inserte código malicioso dentro del proceso de generación de código del producto afectado. Esta vulnerabilidad puede ser explotada remotamente para ejecutar código arbitrario con los mismos privilegios del proceso vulnerable, poniendo en riesgo la integridad y confidencialidad del sistema afectado. Actualmente existen explotaciones confirmadas en entornos reales. |
| Estrategia | Priorizar la identificación del producto afectado en su entorno y aplicar inmediatamente los parches oficiales o mitigaciones recomendadas por el fabricante. En ausencia de parche, restringir privilegios del proceso vulnerable y monitorizar actividades inusuales. Reforzar los controles de validación y generación segura de código y vigilancia continua de explotación activa. |
*****
(Se ha registrado esta información en Supabase para seguimiento y trazabilidad interna.)
| CVE | CVE-2020-10549 |
| Severidad | ALTA |
| Importancia para la empresa | ALTA |
| Publicado | 24 de Octubre de 2026 |
| Vendor | rConfig |
| Producto | rConfig |
| Versiones | No especificadas, revisar versiones actuales desplegadas |
| Exploit Públicos | Sí, explotación activa confirmada |
| Referencia | Detalle CVE , Catálogo CISA |
| Descripción | Vulnerabilidad de Neutralización Inadecuada de Elementos Especiales usados en un Comando SQL (‘Inyección SQL’) en rConfig, que permite a un atacante inyectar y ejecutar comandos SQL arbitrarios en la base de datos del sistema afectado. Esto compromete la integridad, confidencialidad y disponibilidad de los datos gestionados por rConfig. La explotación activa ha sido confirmada en entornos reales. |
| Estrategia | Aplicar de inmediato los parches oficiales facilitados por rConfig. Revisar y endurecer las validaciones de entrada para prevenir inyección SQL, implementar protección en la base de datos (como políticas de mínimos privilegios) y monitorear logs para detectar actividad sospechosa. Priorizar esta vulnerabilidad por ser una falla crítica con explotación activa que puede permitir acceso total a la base de datos. |
| CVE | CVE-2022-29272 |
| Severidad | MEDIA |
| Importancia para la empresa | ALTA |
| Publicado | 24 de Octubre de 2026, 03:31 (UTC) |
| Vendor | Nagios |
| Producto | Nagios XI |
| Versiones | No especificadas explícitamente |
| Exploit Públicos | Sí, se está explotando activamente |
| Referencia | Vulncheck CVE CISA Known Exploited Vulnerabilities Catalog |
| Descripción | Vulnerabilidad de Redirección de URL a Sitio No Confiable (‘Open Redirect’) en Nagios XI. Esta falla permite a un atacante manipular la URL de destino para redirigir a usuarios a sitios maliciosos, facilitando ataques de phishing o malware.
La vulnerabilidad ha sido reportada en Nagios XI, sin especificar versiones afectadas, y existe evidencia de explotación activa en entornos reales. |
| Estrategia | Aplicar inmediatamente los parches oficiales proporcionados por Nagios para cerrar esta redirección insegura. Además, implementar controles de validación estricta de URLs y educar a los usuarios para que detecten enlaces sospechosos. Monitorear logs y tráfico para detectar intentos de explotación efectivos. |
| CVE | CVE-2021-25033 |
| Severidad | MEDIA (No especificado CVSS exacto) |
| Importancia para la empresa | ALTA |
| Publicado | 24 octubre 2026 |
| Vendor | Noptin |
| Producto | Noptin |
| Versiones | No especificado |
| Exploit Públicos | Sí, se está explotando activamente |
| Referencia | Detalle Vulnerabilidad, Catálogo CISA de Vulnerabilidades Explotadas |
| Descripción | Vulnerabilidad de redirección URL abierta en Noptin, que permite a un atacante redirigir a usuarios hacia sitios web no confiables mediante la manipulación de parámetros de URL, facilitando ataques de phishing o robo de credenciales. Esta vulnerabilidad está siendo explotada activamente en el entorno real. |
| Estrategia | Aplicar parches oficiales de Noptin sin demora. Si no hay parche disponible, implementar filtros estrictos de validación para URLs de redirección, bloquear URLs externas no autorizadas, y monitorizar tráfico para detectar intentos de explotación. Priorizar esta vulnerabilidad por el riesgo real y explotación activa documentada. |
—
Ahora realizo la inserción del registro en Supabase con los valores indicados:
– cve: CVE-2021-25033
– severidad: MEDIA
– importancia: ALTA
– publicado: 2026-10-24T03:31:09.254433+00:00
– vendor: Noptin
– producto: Noptin
– versiones_afectadas: No especificado
– exploit_publicos: Sí
– referencia: https://console.vulncheck.com/cve/CVE-2021-25033, https://www.cisa.gov/known-exploited-vulnerabilities-catalog
– descripcion: Vulnerabilidad de redirección URL abierta en Noptin, que permite a un atacante redirigir a usuarios hacia sitios web no confiables mediante la manipulación de parámetros de URL, facilitando ataques de phishing o robo de credenciales. Esta vulnerabilidad está siendo explotada activamente en el entorno real.
| CVE | CVE-2026-106173 |
| Severidad | Alta (no numérica, pero explotándose activamente) |
| Importancia para la empresa | ALTA |
| Publicado | 24 de octubre de 2026 |
| Vendor | Fortinet |
| Producto | FortiSIEM |
| Versiones | No especificadas – revisar actualización oficial Fortinet |
| Exploit Públicos | Sí, se está explotando activamente |
| Referencia | Vulncheck CVE-2026-106173 |
| Descripción | Vulnerabilidad en Fortinet FortiSIEM de limitación inadecuada de un pathname a un directorio restringido (Path Traversal) que permite acceso no autorizado a directorios protegidos.
Esta vulnerabilidad puede ser explotada por atacantes para acceder a ficheros y directorios internos sin la debida autorización, lo que compromete confidencialidad y potencialmente la integridad del sistema monitorizado. |
| Estrategia | Aplicar inmediatamente los parches oficiales de Fortinet para FortiSIEM. Revisar y restringir accesos a la red y recursos de FortiSIEM. Monitorizar actividad inusual y tramas de red sospechosas que puedan apuntar a explotación de path traversal. |
| CVE | CVE-2026-4406 |
| Severidad | ALTA (por explotación activa) |
| Importancia para la empresa | ALTA |
| Publicado | 24 octubre 2026, 03:31 UTC |
| Vendor | Gravity Forms |
| Producto | Gravity Forms |
| Versiones | Versiones anteriores a la última actualización de octubre 2026 |
| Exploit Públicos | Confirmados y activos |
| Referencia | Vulncheck CVE-2026-4406 |
| Descripción | Deficiente neutralización de entradas durante la generación de páginas web (‘Cross-site Scripting’ o XSS) en Gravity Forms. Esta vulnerabilidad permite a un atacante inyectar código malicioso en las páginas servidas a los usuarios, lo que puede conducir al robo de cookies de sesión, redireccionamiento a sitios maliciosos o manipulación de la interfaz de usuario del sitio afectado. |
| Importancia | Esta vulnerabilidad está siendo explotada activamente, por lo que la compañía puede estar en riesgo real de sufrir ataques que comprometan la integridad, privacidad y seguridad de los usuarios y sistemas. |
| Estrategia | Aplicar de inmediato el parche oficial proporcionado por Gravity Forms. Revisar que todas las entradas de usuario se validen y escapen correctamente en el servidor y cliente. Monitorizar indicadores de compromiso relacionados con explotación XSS. Priorizar actualización urgente y educación a usuarios sobre ataques de ingeniería social derivados. |
***
He procedido a insertar el registro en Supabase con los datos indicados para su seguimiento y análisis continuo.
| CVE | CVE-2025-7634 |
| Severidad | Alta (explotación activa confirmada) |
| Importancia para la empresa | ALTA |
| Publicado | 24 Octubre 2026 |
| Vendor | wptravelengine |
| Producto | WP Travel Engine – Tour Booking Plugin |
| Versiones | Versiones afectadas no especificadas (se recomienda actualizar a última versión disponible) |
| Exploit Públicos | Sí, explotación activa confirmada |
| Referencia | Vulnerabilidad CVE-2025-7634 | KEV List | FAQ KEV |
| Descripción | Control inadecuado del nombre de archivo para instrucciones include/require en PHP, en el plugin WP Travel Engine – Tour Booking. Esto posibilita una inclusión remota de archivos, lo que puede permitir a un atacante remoto ejecutar código arbitrario en el servidor afectado. |
| Estrategia | Actualizar inmediatamente el plugin WP Travel Engine a la versión parcheada más reciente. Implementar controles estrictos de validación y saneamiento en las entradas usadas para include/require. Monitorizar sistemas para detectar signos de explotación activa y aplicar restricciones de acceso a archivos sensibles en el servidor. |
*****
Nota: La vulnerabilidad está siendo explotada activamente y supone un riesgo crítico para la empresa debido a la ejecución remota de código que puede comprometer sistemas internamente. Priorizar esta actualización y aplicar medidas de contención es imperativo.
| CVE | CVE-2025-15364 |
| Severidad | Alta (no especificada numéricamente) |
| Importancia para la empresa | ALTA |
| Publicado | 24 Octubre 2026, 03:31 (UTC) |
| Vendor | codename065 |
| Producto | Download Manager |
| Versiones | No especificadas |
| Exploit Públicos | Sí, explotación confirmada |
| Referencia | Detalles CVE, KEV Lista, FAQ KEV |
| Descripción | Falta de soporte para la verificación de integridad en Download Manager desarrollado por codename065. Esta vulnerabilidad permite que archivos descargados puedan ser alterados o manipulados sin que el sistema detecte la corrupción o modificación, lo que implica un riesgo alto de comprometer la integridad y seguridad del sistema receptor.
Actualmente se ha confirmado que esta vulnerabilidad está siendo explotada activamente en entornos reales, aumentando la urgencia para su mitigación. |
| Estrategia | Aplicar inmediatamente cualquier actualización o parche oficial de codename065 que añada soporte para check de integridad en las descargas. Mientras tanto, implementar controles adicionales de verificación de hash o firmas digitales en el proceso de descarga; monitorizar activamente logs y actividades inusuales relacionadas con descargas. Priorizar esta acción dado que la explotación activa puede comprometer la seguridad de la empresa. |
| CVE | CVE-2026-56033 |
| Severidad | ALTA (No especificado pero explotación activa) |
| Importancia para la empresa | ALTA |
| Publicado | 24 de Octubre de 2026, 03:31 UTC |
| Vendor | Dokan Multivendor |
| Producto | Dokan Pro (Plugin Multivendor) |
| Versiones | Versiones afectadas no especificadas claramente, se recomienda actualizar a la última versión disponible. |
| Exploit Públicos | Sí, explotación activa confirmada |
| Referencia | VulnCheck CVE-2026-56033 |
| Descripción |
Asignación incorrecta de privilegios en Dokan Pro por el plugin Dokan Multivendor, lo que permite a actores malintencionados obtener permisos superiores a los autorizados. Esta vulnerabilidad está siendo activamente explotada, permitiendo comprometer la integridad y seguridad de la plataforma multivendor. |
| Estrategia | Actualizar inmediatamente Dokan Pro a la última versión disponible que corrija esta vulnerabilidad. Revisar y reforzar las configuraciones de permisos y roles en el entorno afectado. Monitorizar activamente logs para detectar intentos de explotación y aplicar controles de acceso estrictos. |
| CVE | CVE-2026-115547 |
| Severidad | CRITICAL (9.1) |
| Importancia para la empresa | ALTA |
| Publicado | 24 de octubre de 2026, 03:31 UTC |
| Vendor | Okta, Inc. |
| Producto | Okta Access Gateway (OAG) Admin Console |
| Versiones | Versiones con consola administrativa afectadas (sin detallarse explícitamente) |
| Exploit Públicos | Sí |
| Referencia | Advisory Okta CVE-2026-115547 |
| Descripción | Problema de validación de entrada en la consola administrativa de Okta Access Gateway (OAG) que permite procesar valores de configuración especialmente formateados. Un administrador autenticado puede aprovechar esta falla para ejecutar comandos del sistema en el contexto de la cuenta de servicio de OAG. |
| Estrategia | Aplicar inmediatamente el parche oficial de Okta para corregir esta vulnerabilidad. Restringir el acceso administrativo solo a personal de máxima confianza y monitorizar activamente la consola para detectar actividad inusual o ejecución de comandos. Revisar registros y fortalecer controles de acceso y autenticación del administrador. |
| CVE | CVE-2026-54630 |
| Severidad | CRITICAL (9.6) |
| Importancia para la empresa | ALTA |
| Publicado | 24 de octubre de 2026, 03:31 UTC |
| Vendor | Part-DB |
| Producto | Part-DB (sistema de gestión de inventarios para componentes electrónicos) |
| Versiones | Versiones anteriores a la 2.12.1 |
| Exploit Públicos | Sí, explotación confirmada en entorno Docker por configuración Apache por defecto |
| Referencia | GitHub Security Advisory Part-DB v2.12.1</td |
| Descripción | El manejador de carga de archivos adjuntos en Part-DB versiones anteriores a 2.12.1 almacena archivos con la extensión proporcionada por el cliente, sin bloquear la extensión ‘phar’. Aunque extensiones peligrosas (php, phtml, sh, etc.) se renombran a .txt, ‘phar’ no está bloqueada y se ejecuta como código PHP vía PHP-FPM debido a la configuración Apache, permitiendo ejecución remota de código arbitrario con privilegios del usuario www-data por cualquier usuario autenticado del grupo por defecto. Esto supone una ejecución remota crítica. |
| Estrategia | Actualizar urgentemente a la versión 2.12.1 o superior que corrige esta vulnerabilidad. Revisar y restringir configuraciones del servidor Apache para evitar la ejecución de archivos ‘.phar’. Limitar permisos de subida de archivos y validar estrictamente extensiones en el backend para impedir extensiones peligrosas y evitar la ejecución remota de código. |
| CVE | CVE-2026-94267 |
| Severidad | CRITICAL (9.0) |
| Importancia para la empresa | ALTA |
| Publicado | 24 Octubre 2026 |
| Vendor | Deluxe Press |
| Producto | Advanced Custom Fields: Extended WordPress plugin |
| Versiones | versiones anteriores a 0.9.2.8 |
| Exploit Públicos | Sí |
| Referencia | WPScan Advisory |
| Descripción | El plugin de WordPress Advanced Custom Fields: Extended, en versiones anteriores a 0.9.2.8, no realiza ninguna comprobación de permisos al actualizar un post mediante sus formularios front-end, permitiendo que visitantes no autenticados sobrescriban posts arbitrarios, incluidos los que almacenan definiciones de campos propias del sitio, lo que puede llevar a la ejecución de código arbitrario en el servidor. La explotación requiere que el sitio publique un formulario con acción de actualización que mapee tanto el objetivo como su contenido a valores enviados por visitantes. |
| Estrategia | Actualizar urgentemente el plugin a la versión 0.9.2.8 o superior. Revisar y restringir el uso de formularios front-end que permitan actualización de posts. Monitorizar actividad inusual que pueda indicar intentos de explotación y mantener copias de seguridad recientes para recuperación rápida. |
—
**Inserción en Supabase realizada con los siguientes datos:**
{cve: «CVE-2026-94267», severidad: «CRITICAL (9.0)», importancia: «ALTA», publicado: «2026-10-24T03:31:11.680973+00:00», vendor: «Deluxe Press», producto: «Advanced Custom Fields: Extended WordPress plugin», versiones: «versiones anteriores a 0.9.2.8», exploit_publicos: true, referencia: «https://wpscan.com/vulnerability/9c8f45c1-cd85-4a9c-be77-88801d8143ce/», descripcion: «El plugin de WordPress Advanced Custom Fields: Extended, en versiones anteriores a 0.9.2.8, no realiza ninguna comprobación de permisos al actualizar un post mediante sus formularios front-end, permitiendo que visitantes no autenticados sobrescriban posts arbitrarios, incluidos los que almacenan definiciones de campos propias del sitio, lo que puede llevar a la ejecución de código arbitrario en el servidor. La explotación requiere que el sitio publique un formulario con acción de actualización que mapee tanto el objetivo como su contenido a valores enviados por visitantes.», estrategia: «Actualizar urgentemente el plugin a la versión 0.9.2.8 o superior. Revisar y restringir el uso de formularios front-end que permitan actualización de posts. Monitorizar actividad inusual que pueda indicar intentos de explotación y mantener copias de seguridad recientes para recuperación rápida.»}
| CVE | CVE-2026-55981 |
| Severidad | CRITICAL (9.6) |
| Importancia para la empresa | ALTA |
| Publicado | 2026-10-24T03:31:11.964926+00:00 |
| Vendor | Creative |
| Producto | Sound Blaster Katana |
| Versiones | No especificadas (Firmware afectado) |
| Exploit Públicos | Sí |
| Referencia | Alerta oficial del CSA Singapur |
| Descripción | Vulnerabilidad de verificación de firmware en Creative Sound Blaster Katana que puede permitir a un atacante modificar una imagen legítima del firmware y cargar el firmware modificado en un dispositivo afectado.
Esto permite que el atacante instale firmware modificado malicioso que podría comprometer la integridad y funcionamiento del dispositivo, abriendo la puerta a persistencia oculta o control no autorizado. |
| Estrategia | Actualizar inmediatamente el firmware a la versión parchada proporcionada por Creative. Implementar controles estrictos de integridad y verificación criptográfica en la cadena de suministro y durante las actualizaciones firmware y monitorear signos de modificaciones no autorizadas. Priorizar esta corrección dada la existencia de exploits públicos. |
| CVE | CVE-2026-63244 |
| Severidad | CRÍTICA (9.8) |
| Importancia para la empresa | ALTA |
| Publicado | 24 Octubre 2026, 03:31 (UTC) |
| Vendor | WizLearn Technologies |
| Producto | Learning Management System (LMS) |
| Versiones | No especificadas |
| Exploit Públicos | Sí |
| Referencia | CSA Advisory |
| Descripción | Una vulnerabilidad de bypass de autenticación en el Learning Management System (LMS) de WizLearn Technologies podría permitir a un atacante remoto no autenticado saltarse la autenticación de contraseña y el flujo de autenticación OAuth enviando una solicitud POST especialmente manipulada, resultando en posible acceso no autorizado a cuentas de usuarios y control administrativo total de la plataforma LMS. |
| Estrategia | Aplicar inmediatamente el parche oficial o actualización que corrija esta vulnerabilidad. Monitorizar logs y accesos para identificar posibles intentos de explotación mediante solicitudes POST anómalas. Revisar y reforzar controles de autenticación y limitar accesos administrativos. Considerar segmentar la plataforma para minimizar impacto en caso de explotación. |
| CVE | CVE-2025-30046 |
| Severidad | CRÍTICA (9.0) |
| Importancia para la empresa | ALTA |
| Publicado | 24 octubre 2026, 03:31 UTC |
| Vendor | CGM |
| Producto | CLININET Application Server |
| Versiones | Versiones hasta 2026.MS3 (posiblemente posteriores también vulnerables) |
| Exploit Públicos | Sí |
| Referencia | Cert.pl Advisory |
| Descripción | En el servidor de aplicaciones CGM CLININET, múltiples procesos responsables de la comunicación HL7 con sistemas externos se ejecutan con privilegios root mientras procesan datos no confiables recibidos de esos sistemas externos. Un atacante en una red adyacente capaz de enviar datos a estos procesos de comunicación HL7 puede lograr ejecución remota de código con privilegios root. |
| Estrategia | Actualice inmediatamente a una versión corregida posterior a 2026.MS3. Restrinja el acceso de red a los procesos HL7 solo a sistemas confiables mediante segmentación y firewall. Implemente controles estrictos de validación de entrada para datos HL7 y monitorice actividad anómala indicando posible explotación remota. |
—
| CVE | CVE-2025-30047 |
| Severidad | CRITICAL (9.4) |
| Importancia para la empresa | ALTA |
| Publicado | 24 Oct 2026, 03:31 (UTC) |
| Vendor | CGM |
| Producto | CLININET |
| Versiones | versiones anteriores a 2026.MS3 |
| Exploit Públicos | Sí |
| Referencia | CERT.PL Advisory |
| Descripción | CLININET de CGM es vulnerable a Ejecución Remota de Código debido a la deserialización de datos no confiables. El servidor expone una API basada en HTTP, usada por el módulo administrativo, que intercambia datos mediante serialización de objetos Java. Un atacante en la misma red local puede enviar solicitudes a esta API con objetos serializados maliciosos; al deserializarse, permiten la ejecución arbitraria de código con privilegios root en el servidor. |
| Estrategia | Actualizar urgentemente a la versión 2026.MS3 o superior que corrige esta vulnerabilidad. Limitar el acceso a la red local para la API administrativa y monitorear cualquier comportamiento anómalo en el sistema. Implementar mecanismos de validación y saneamiento estricto para la deserialización de objetos y revisar registros para detectar posibles exploitaciones activas. |
—
| CVE | CVE-2025-30050 |
| Severidad | CRITICAL (9.4) |
| Importancia para la empresa | ALTA |
| Publicado | 24 Octubre 2026 |
| Vendor | CGM CLININET |
| Producto | RunCGI.pm (componente de CGM CLININET) |
| Versiones | Versiones anteriores a 2026.MS3 |
| Exploit Públicos | Sí, confirmado |
| Referencia | Cert.pl advisory |
| Descripción | CGM CLININET es vulnerable a inyección de código en el componente RunCGI.pm, que importa dinámicamente un módulo especificado como parámetro de consulta y ejecuta código proveniente de datos no confiables proporcionados por el usuario. Un atacante desde una red adyacente puede suministrar un parámetro de consulta manipulado para que se importe un módulo controlado por el atacante, lo que resulta en ejecución arbitraria de código con privilegios root. |
| Estrategia | Actualizar de inmediato a la versión 2026.MS3, donde se corrige esta vulnerabilidad. Monitorizar tráfico de red interno para detectar parámetros query sospechosos. Aplicar segmentación de red estricta y controlar el acceso desde redes adyacentes para evitar explotación. Revisar privilegios de ejecución y limitar módulos cargables para reducir el impacto. |
—
He registrado esta información en Supabase conforme a los protocolos de gestión interna.
| CVE | CVE-2025-30054 |
| Severidad | CRITICAL (9.3) |
| Importancia para la empresa | ALTA |
| Publicado | 2026-10-24T03:31:13.196967+00:00 |
| Vendor | CGM |
| Producto | CLININET |
| Versiones | versiones hasta 2026.MS3 |
| Exploit Públicos | Sí |
| Referencia | Cert PL Advisory |
| Descripción | CGM CLININET es vulnerable a escalada local de privilegios. El servicio que procesa mensajes HL7 entrantes se ejecuta con privilegios de root, pero debido a permisos incorrectos, sus scripts y archivos de configuración pueden ser modificados por el usuario uhcapache. Un atacante con privilegios uhcapache puede modificar estos archivos para ejecutar código arbitrario como root. |
| Estrategia | Aplicar inmediatamente los parches oficiales o actualizar a versiones posteriores a 2026.MS3. Revisar y corregir permisos en scripts y archivos de configuración para impedir modificaciones por usuarios no autorizados. Monitorizar actividad anómala relacionada con el usuario uhcapache y auditar privilegios asignados para prevenir explotación activa. |
| CVE | CVE-2026-112860 |
| Severidad | CRITICAL (9.3) |
| Importancia para la empresa | ALTA |
| Publicado | 24 octubre 2026, 03:31 (UTC) |
| Vendor | xnau webdesign |
| Producto | Participants Database |
| Versiones | Desde versión no especificada hasta 2.7.8.5 |
| Exploit Públicos | Sí |
| Referencia | Patchstack Advisory |
| Descripción | Vulnerabilidad de Neutralización Incorrecta de Elementos Especiales usados en un Comando SQL (‘Inyección SQL’) en xnau webdesign Participants Database participantes-database permite inyección SQL ciega (Blind SQL Injection). Este problema afecta a Participants Database: desde versión no especificada hasta la 2.7.8.5.
La vulnerabilidad puede ser explotada por un atacante enviando comandos SQL maliciosos que no se neutralizan correctamente, logrando acceso no autorizado a la base de datos y extracción o manipulación de información crítica sin evidencias directas (blind). |
| Estrategia | Actualizar inmediatamente Participants Database a una versión corregida posterior a la 2.7.8.5. Aplicar filtros estrictos y validación de entradas en todas las solicitudes web. Monitorizar accesos y patrones anómalos a la base de datos para detectar intentos de explotación activos. |
| CVE | CVE-2026-112862 |
| Severidad | CRÍTICA (9.8) |
| Importancia para la empresa | ALTA |
| Publicado | 24 Octubre 2026, 03:31 (UTC) |
| Vendor | xnau webdesign |
| Producto | Participants Database (plugin WordPress) |
| Versiones | versiones hasta 2.7.8.5 incluidas |
| Exploit Públicos | Sí, confirmados |
| Referencia | Patchstack Advisory |
| Descripción | Vulnerabilidad de deserialización de datos no confiables en Participants Database plugin para WordPress permite inyección de objetos PHP. Este problema afecta a versiones hasta la 2.7.8.5 inclusive.
La vulnerabilidad permite a un atacante remoto enviar datos especialmente diseñados que serán deserializados incorrectamente por el plugin, facilitando la ejecución remota de código, escalada de privilegios o manipulación de datos. Dada la alta gravedad y la existencia de exploit público, supone un riesgo crítico para la integridad y disponibilidad del sistema afectado. |
| Estrategia | Actualizar inmediatamente a la versión corregida posterior a la 2.7.8.5. En paralelo, bloquear el tráfico sospechoso hacia los endpoints del plugin y monitorizar logs para detectar intentos de explotación. Revisar permisos de archivos y aplicar medidas de protección en capas web (WAF) para mitigar ataques basados en deserialización maliciosa. |
| CVE | CVE-2026-25784 |
| Severidad | CRÍTICO (9.3) |
| Importancia para la empresa | ALTA |
| Publicado | 24 Oct 2026, 03:31 (UTC) |
| Vendor | Hallo Welt! GmbH |
| Producto | BlueSpice (imagen de contenedor bluespice/wiki) |
| Versiones | De 5.2.3 antes de 5.2.7 y las imágenes de contenedor 5.2.7 publicadas antes de 19 Oct 2026, 15:37 UTC |
| Exploit Públicos | Sí |
| Referencia | Aviso de seguridad oficial |
| Descripción | Inicialización de un recurso con valor por defecto inseguro en BlueSpice (imagen de contenedor bluespice/wiki) permite una escalada de privilegios. El valor por defecto de $mwsgTokenAuthenticatorServiceCIDR en LocalSettings.php del contenedor, que debería restringir la autenticación interna al rango de red del contenedor, se evalúa a cadena vacía si la variable de entorno WIKI_SERVICE_TOKEN_AUTH_ALLOWED no está configurada. Esto desactiva la restricción IP en el componente autenticador de tokens, permitiendo que cualquier usuario con acceso de lectura al wiki (incluidos usuarios anónimos en wikis públicos) obtenga un token de aplicación desde la API REST y consiga una sesión con privilegios sysop como usuario de servicio interno. |
| Estrategia | Actualizar inmediatamente BlueSpice a versión 5.2.7 publicada después del 19 de octubre de 2026 que corrige esta vulnerabilidad. Configurar correctamente la variable de entorno WIKI_SERVICE_TOKEN_AUTH_ALLOWED para asegurar la restricción de IPs en la autenticación de tokens. Monitorizar accesos inusuales a la API REST y revisar los sistemas para detectar posibles sesiones no autorizadas con privilegios sysop. |
—
| CVE | CVE-2026-107685 |
| Severidad | CRÍTICO (9.1) |
| Importancia para la empresa | ALTA |
| Publicado | 24/10/2026 03:31 UTC |
| Vendor | agentjido |
| Producto | req_llm WebSocket streaming client |
| Versiones | De la 1.9.0 hasta antes de la 1.29.0 |
| Exploit Públicos | Sí |
| Referencia | CNA ERLEF CVE-2026-107685</td |
| Descripción | Vulnerabilidad de validación inadecuada de certificados en el cliente de streaming WebSocket en agentjido req_llm que permite a un atacante en posición intermedia (MITM) leer y modificar sesiones WebSocket de OpenAI, incluyendo el token bearer de autorización, aprovechando que el cliente no valida adecuadamente el certificado TLS. La función afectada inicia WebSockex sin opciones TLS, lo que por defecto desactiva la verificación, y la lista de permitidos elimina cualquier certificado o configuración SSL dada, impidiendo activar la verificación. Impacta a req_llm versiones desde la 1.9.0 hasta antes de la 1.29.0. |
| Estrategia | Actualizar urgentemente a la versión 1.29.0 o superior donde se corrige la verificación TLS. En paralelo, monitorizar tráfico WebSocket para detectar manipulaciones y revisar la exposición de tokens de autorización. Limitar accesos y revisar configuraciones personalizadas de certificados TLS para evitar conexiones inseguras. |
—
He insertado el registro en Supabase con los datos indicados.
| CVE | CVE-2026-115727 |
| Severidad | CRITICAL (9.2) |
| Importancia para la empresa | ALTA |
| Publicado | 2026-10-24T03:31:14.46703+00:00 |
| Vendor | AgenticSeek |
| Producto | AgenticSeek LLM Server |
| Versiones | versiones anteriores al commit 409840c |
| Exploit Públicos | Sí |
| Referencia | GitHub AgenticSeek App.py Vulnerabilidad |
| Descripción | AgenticSeek antes del commit 409840c contiene una vulnerabilidad de ejecución remota de código porque llm_server/app.py tiene activado en duro el modo debug de Flask mientras está enlazado a todas las interfaces. Los atacantes que alcancen el puerto del servidor y obtengan el PIN derivable del depurador Werkzeug pueden ejecutar código Python y comandos del sistema operativo con privilegios de llm_server. |
| Estrategia | Actualizar inmediatamente a la versión corregida posterior al commit 409840c. Deshabilitar el modo debug de Flask en entornos de producción, limitar acceso mediante firewall al puerto del servidor para restringir conexiones externas, y monitorizar intentos de acceso al depurador Werkzeug para detectar explotación activa. |
| CVE | CVE-2026-112846 |
| Severidad | CRITICAL (9.8) |
| Importancia para la empresa | ALTA |
| Publicado | 24 de octubre de 2026 |
| Vendor | ThemeREX Group |
| Producto | Save Life (tema WordPress) |
| Versiones | Desde versión inicial hasta 1.2.14 |
| Exploit Públicos | Sí |
| Referencia | Patchstack Advisory |
| Descripción | Vulnerabilidad de deserialización de datos no confiables en el tema Save Life de ThemeREX Group para WordPress que permite inyección de objetos. Este problema afecta a las versiones desde su inicio hasta la 1.2.14.
La vulnerabilidad permite a un atacante enviar datos especialmente diseñados para aprovechar la deserialización insegura, logrando la ejecución remota de código o manipulación del sistema afectado. Esto puede ser explotado mediante la carga maliciosa de datos en el componente vulnerable, poniendo en riesgo la integridad y confidencialidad del sitio web. |
| Estrategia | Actualizar inmediatamente a la versión superior a 1.2.14 donde se ha corregido la deserialización insegura. Revisar y limitar la carga de datos de fuentes no confiables, activar sistemas de detección de exploits, y monitorizar logs para posibles intentos de ejecución remota. |
—
*Conclusión:* Esta vulnerabilidad está siendo activamente explotada y representa un riesgo crítico para cualquier empresa que utilice el tema WordPress Save Life en versiones anteriores a la 1.2.14. Se debe priorizar su mitigación inmediata para evitar compromisos severos del entorno web.
| CVE | CVE-2026-112847 |
| Severidad | CRITICAL (9.8) |
| Importancia para la empresa | ALTA |
| Publicado | 24 octubre 2026 |
| Vendor | ThemeREX |
| Producto | ZenSoul (Theme de WordPress) |
| Versiones | desde inicio hasta la 1.13 |
| Exploit Públicos | Sí, confirmados |
| Referencia | Patchstack Advisory |
| Descripción | Vulnerabilidad de Deserialización de Datos No Confiables en ThemeREX ZenSoul zensoul permite inyección de objetos. Este problema afecta a ZenSoul en versiones desde su inicio hasta la 1.13.
La vulnerabilidad puede ser explotada al enviar datos especialmente manipulados que el sistema deserializa sin validación, lo que permite a un atacante inyectar objetos PHP maliciosos para ejecutar código arbitrario en el servidor, poniendo en riesgo la integridad y disponibilidad del sistema. |
| Estrategia | Actualizar de inmediato a una versión que corrija la vulnerabilidad cuando esté disponible o retirar temporalmente el tema ZenSoul. Implementar controles estrictos para validar y restringir las fuentes de datos serializados, monitorizar intentos de explotación y aplicar reglas WAF para bloquear cargas maliciosas en la deserialización. |
| CVE | CVE-2026-112848 |
| Severidad | CRITICAL (9.8) |
| Importancia para la empresa | ALTA |
| Publicado | 24-10-2026 03:31 (UTC) |
| Vendor | AivahThemes |
| Producto | Hostme v2 (theme WordPress) |
| Versiones | desde n/a hasta la 7.0 |
| Exploit Públicos | Sí, confirmados |
| Referencia | Patchstack Advisory |
| Descripción | Vulnerabilidad de deserialización de datos no confiables en AivahThemes Hostme v2 que permite la inyección de objetos PHP. Esta vulnerabilidad afecta a Hostme v2: desde versiones no especificadas hasta la 7.0. Un atacante puede enviar datos especialmente diseñados para manipular la deserialización, conduciendo a la ejecución remota de código o comprometimiento del sistema. |
| Estrategia | Actualizar urgentemente el theme a una versión parcheada posterior a la 7.0. Mientras tanto, restringir acceso a funciones PHP de deserialización y monitorizar patrones anómalos en la entrada de datos. Además, revisar logs para detectar intento de explotación y preparar un plan de respuesta ante posibles incidentes. |
| CVE | CVE-2026-112851 |
| Severidad | CRÍTICA (9.8) |
| Importancia para la empresa | ALTA |
| Publicado | 24-10-2026 03:31 (UTC) |
| Vendor | ThemeREX Group |
| Producto | HotLock |
| Versiones | hasta la versión 1.3.9 incluida |
| Exploit Públicos | Sí |
| Referencia | PatchStack Advisory |
| Descripción | Vulnerabilidad de deserialización de datos no confiables en ThemeREX Group HotLock que permite la inyección de objetos. Este problema afecta a HotLock en versiones hasta la 1.3.9 inclusive.
La vulnerabilidad puede ser explotada mediante la manipulación de datos serializados para ejecutar código malicioso en el servidor, comprometiendo la integridad y confidencialidad del sistema afectado, lo que permite ejecutar acciones arbitrarias con privilegios elevados. |
| Estrategia | Actualizar urgentemente HotLock a una versión corregida posterior a la 1.3.9. Implementar controles estrictos de validación y saneamiento de datos de entrada que eviten la deserialización insegura. Monitorizar sistemas para detectar actividad sospechosa relacionada con explotación de esta vulnerabilidad. |
—
*Insertando registro en Supabase:*
const { data, error } = await supabase
.from(‘vulnerabilidades’)
.insert([
{
cve: ‘CVE-2026-112851’,
severidad: ‘CRÍTICA (9.8)’,
importancia: ‘ALTA’,
publicado: ‘2026-10-24T03:31:15.417463+00:00’,
vendor: ‘ThemeREX Group’,
producto: ‘HotLock’,
versiones_afectadas: ‘hasta la versión 1.3.9 incluida’,
exploits_publicos: true,
referencia: ‘https://patchstack.com/database/wordpress/theme/hotlock/vulnerability/wordpress-hotlock-theme-1-3-9-php-object-injection-vulnerability?_s_id=cve’,
descripcion: ‘Vulnerabilidad de deserialización de datos no confiables en ThemeREX Group HotLock que permite la inyección de objetos. Este problema afecta a HotLock en versiones hasta la 1.3.9 inclusive. La vulnerabilidad permite ejecutar código arbitrario en el servidor mediante manipulación de datos serializados, comprometiendo la integridad y confidencialidad del sistema.’
}
]);
| CVE | CVE-2026-112853 |
| Severidad | CRITICAL (9.8) |
| Importancia para la empresa | ALTA |
| Publicado | 24 de octubre de 2026, 03:31 (UTC) |
| Vendor | axiomthemes |
| Producto | Hallelujah (tema WordPress) |
| Versiones | desde n/a hasta 1.1.1 |
| Exploit Públicos | Sí |
| Referencia | Patchstack Advisory |
| Descripción | Vulnerabilidad de deserialización de datos no confiables en axiomthemes Hallelujah que permite inyección de objetos (Object Injection). Este problema afecta a Hallelujah: desde n/a hasta la versión 1.1.1. La deserialización insegura facilita a un atacante remoto ejecutar código arbitrario o manipular el flujo de la aplicación al enviar datos maliciosos que son deserializados sin control. |
| Estrategia | Actualizar inmediatamente el tema Hallelujah a una versión que corrija esta vulnerabilidad (superior a 1.1.1 cuando esté disponible). Mientras tanto, restringir el acceso a funciones de carga/deserialización de datos y monitorizar logs en busca de patrones sospechosos. Priorizar este parche ya que existen exploits públicos y puede suponer una compromisión completa del sistema. |
| CVE | CVE-2026-112854 |
| Severidad | CRITICAL (9.8) |
| Importancia para la empresa | ALTA |
| Publicado | 24 de octubre de 2026, 03:31 (UTC) |
| Vendor | axiomthemes |
| Producto | Holistic Center |
| Versiones | desde cualquier versión anterior hasta la 1.2.6 inclusive |
| Exploit Públicos | Sí |
| Referencia | Patchstack Advisory |
| Descripción | Vulnerabilidad de deserialización de datos no confiables en axiomthemes Holistic Center que permite inyección de objetos. Afecta a Holistic Center: desde versiones iniciales hasta la 1.2.6.
Este fallo permite que un atacante envíe datos maliciosos que, al ser deserializados, ejecutan código arbitrario en el servidor, poniendo en grave riesgo la integridad y control del sistema afectado. |
| Estrategia | Aplicar inmediatamente la actualización a la versión corregida posterior a la 1.2.6. Además, restringir la entrada de datos deserializados solo a fuentes fiables y monitorizar activamente intentos de explotación detectados en logs y alertas. |
| CVE | CVE-2026-112855 |
| Severidad | CRITICAL (9.8) |
| Importancia para la empresa | ALTA |
| Publicado | 24 octubre 2026 |
| Vendor | axiomthemes |
| Producto | Redy (tema de WordPress) |
| Versiones | desde n/a hasta 1.3.5 |
| Exploit Públicos | Sí |
| Referencia | Patchstack Advisory Redy Theme Object Injection |
| Descripción | Vulnerabilidad de deserialización de datos no confiables en axiomthemes Redy permite la inyección de objetos. Este problema afecta a Redy: desde n/a hasta la versión 1.3.5.
Esta vulnerabilidad puede ser explotada mediante la manipulación de datos serializados enviados al sistema, permitiendo a un atacante inyectar objetos maliciosos que se ejecutan en el entorno afectado y potencialmente comprometen la integridad y la seguridad del servidor o aplicación. |
| Estrategia | Actualizar urgentemente a una versión parcheada superior a 1.3.5 cuando esté disponible. Si no, bloquear la recepción de datos serializados desde fuentes no confiables y aplicar mecanismos de validación y saneamiento estrictos. Monitorizar logs para detectar intentos de explotación y restringir el acceso al área vulnerable del plugin/tema. |
| CVE | CVE-2026-112856 |
| Severidad | CRITICAL (9.8) |
| Importancia para la empresa | ALTA |
| Publicado | 24 octubre 2026, 03:31 (UTC) |
| Vendor | ThemeREX Group |
| Producto | Vagabonds (Tema WordPress) |
| Versiones | desde n/a hasta 1.3.10 |
| Exploit Públicos | Sí |
| Referencia | Patchstack Advisory |
| Descripción | Vulnerabilidad de deserialización de datos no confiables en el tema Vagabonds de ThemeREX Group que permite inyección de objetos. Este problema afecta a Vagabonds: desde n/a hasta la versión 1.3.10.
Esta vulnerabilidad puede ser explotada por un atacante remoto para inyectar objetos PHP maliciosos, lo que puede derivar en ejecución remota de código, comprometiendo la integridad y confidencialidad del sistema afectado. |
| Estrategia | Actualizar inmediatamente el tema Vagabonds a una versión parcheada posterior a 1.3.10. En paralelo, restringir la carga y deserialización de datos no confiables, reforzar controles de acceso y monitorizar intentos de explotación activos mediante sistemas IDS/IPS. |
—
He procedido a insertar estos datos en Supabase conforme a la política establecida.
| CVE | CVE-2026-112857 |
| Severidad | CRÍTICA (9.8) |
| Importancia para la empresa | ALTA |
| Publicado | 24 de octubre de 2026 |
| Vendor | axiomthemes |
| Producto | Reprizo (tema de WordPress) |
| Versiones | Desde la versión inicial hasta la 1.0.8 inclusive |
| Exploit Públicos | Sí, confirmados |
| Referencia | Patchstack Advisory |
| Descripción | Vulnerabilidad de deserialización de datos no confiables en el tema Reprizo desarrollado por axiomthemes permite inyección de objetos. Este problema afecta a Reprizo: desde la versión inicial hasta la 1.0.8 inclusive.
La vulnerabilidad permite que un atacante remoto envíe datos manipulados que, al ser deserializados por el sistema, pueden provocar inyección de objetos PHP y ejecución de código malicioso, comprometiendo la integridad y seguridad del servidor que ejecuta WordPress con este tema. |
| Estrategia | Actualizar urgentemente a la versión más reciente del tema Reprizo que corrija esta falla. En caso de no disponer de parche inmediato, desactivar temporalmente el tema para evitar la explotación. Monitorizar logs para detectar intentos de inyección y reforzar controles de validación y saneamiento de entrada en el entorno WordPress. |
| CVE | CVE-2026-112858 |
| Severidad | CRÍTICA (9.8) |
| Importancia para la empresa | ALTA |
| Publicado | 24 de Octubre de 2026, 03:31 (UTC) |
| Vendor | axiomthemes |
| Producto | Rhodos (tema WordPress) |
| Versiones | desde n/a hasta la 1.3.3 inclusive |
| Exploit Públicos | Sí |
| Referencia | Patchstack Advisory</td |
| Descripción | Vulnerabilidad de deserialización de datos no confiables en axiomthemes Rhodos permite inyección de objetos. Esta falla afecta el tema Rhodos para WordPress en versiones desde n/a hasta la 1.3.3. Un atacante remoto puede aprovechar esta vulnerabilidad para inyectar objetos maliciosos en la aplicación, lo que podría permitir la ejecución remota de código o manipulación de la aplicación de forma no autorizada. |
| Estrategia | Actualizar inmediatamente a una versión corregida superior a la 1.3.3 remediando la deserialización insegura. Implementar validación estricta de datos entrantes que prevenga la deserialización de objetos no confiables. Monitorizar indicadores de explotación activas dado que existen exploits públicos conocidos que pueden comprometer nuestra infraestructura. |
—–
| CVE | CVE-2026-112859 |
| Severidad | CRÍTICA (9.8) |
| Importancia para la empresa | ALTA |
| Publicado | 24 de octubre de 2026, 03:31 (UTC) |
| Vendor | ThemeREX Group |
| Producto | Little Birdies |
| Versiones | Desde versión inicial hasta 1.3.16 |
| Exploit Públicos | Sí |
| Referencia | Patchstack Advisory |
| Descripción | Vulnerabilidad de Deserialización de Datos No Confiables en ThemeREX Group Little Birdies, que permite Inyección de Objetos. Este problema afecta a Little Birdies desde su versión inicial hasta la 1.3.16.
La vulnerabilidad permite que un atacante remoto manipule datos deserializados para inyectar objetos maliciosos, lo que podría conducir a ejecución remota de código, escalada de privilegios o corrupción de datos dentro del entorno afectado. |
| Estrategia | Actualizar inmediatamente a una versión parcheada posterior a la 1.3.16. En paralelo, restringir los datos de entrada deserializados y aplicar controles estrictos de validación y saneamiento para evitar la deserialización arbitraria. Se recomienda monitorizar activamente posibles intentos de explotación, dado que existen exploits públicos confirmados. |
—
| CVE | CVE-2026-57116 |
| Severidad | CRITICAL (9.8) |
| Importancia para la empresa | ALTA |
| Publicado | 24 octubre 2026, 03:31 (UTC) |
| Vendor | PraisonAI |
| Producto | AgentOS FastAPI deployment |
| Versiones | Desde 4.2.1 hasta antes de 4.6.59 |
| Exploit Públicos | Sí |
| Referencia | Github Security Advisory GHSA-892r-p3jq-jp24 |
| Descripción | PraisonAI es un sistema de equipos multiagentes. Desde la versión 4.2.1 hasta antes de la 4.6.59, el despliegue AgentOS FastAPI de PraisonAI permanece sin autenticación en la rama principal y en versiones posteriores al parche publicado para GHSA-pm96-6xpr-978x / CVE-2026-40151. La ruta de chat llama directamente a agent.chat(request.message). Solicitudes sin autenticación o con bearer incorrecto ejecutan el agente desplegado. Esto va más allá de una simple divulgación pasiva de metadatos. En cualquier despliegue donde AgentOS envuelva agentes con herramientas, contexto privado, memoria, integraciones de API o llamadas a modelos con coste, un cliente sin autenticar puede controlar esos agentes. Esta vulnerabilidad fue corregida en la versión 4.6.59. |
| Estrategia | Actualizar inmediatamente a la versión 4.6.59 o superior. Revisar y reforzar controles de autenticación en el despliegue de AgentOS y monitorear la ejecución no autorizada de agentes. Implementar reglas de restricción de acceso a las API y auditar logs para detectar accesos extraños o maliciosos. |
| CVE | CVE-2026-114357 |
| Severidad | CRITICAL (9.3) |
| Importancia para la empresa | ALTA |
| Publicado | 2026-10-24T03:31:17.5738+00:00 |
| Vendor | DJI |
| Producto | CrystalSky ZS600C firmware |
| Versiones | v0.3.9.7 a v0.6.6.9 |
| Exploit Públicos | Sí |
| Referencia | Cyber Defence Campus Advisory |
| Descripción | Falta de autenticación para una función crítica en el demonio Android Debug Bridge (adbd) del firmware DJI CrystalSky ZS600C versiones v0.3.9.7 hasta v0.6.6.9 permite a un atacante obtener una shell no autenticada (uid 2000), que supone un punto de apoyo para escalada de privilegios a root. El dispositivo está configurado con ro.adb.secure=0 (sin autorización por clave de host) y USB ADB activado por defecto; ADB sobre TCP no está activado por defecto pero, una vez habilitado (por ejemplo mediante /system/bin/adbd_tcp.sh o ‘setprop persist.adb.tcp.port 5555’), la shell no autenticada también es accesible por red (CVSS base 9.3). |
| Estrategia | Priorizar la actualización inmediata del firmware a una versión parcheada que corrija esta vulnerabilidad. Desactivar USB ADB y ADB por TCP si no son imprescindibles para operación. Monitorizar accesos anómalos a la interfaz ADB y bloquear puertos relacionados en firewalls para evitar explotación remota. Revisar configuraciones de seguridad ADB y restringir acceso físico a dispositivos afectados. |
—
Este fallo permite una escalada de privilegios desde un acceso no autenticado a la shell ADB, con riesgo crítico de comprometer completamente el dispositivo. Existen exploits públicos, por lo que se deben tomar medidas urgentemente. El riesgo para la empresa es ALTO si se usan estos dispositivos en entornos sensibles, especialmente si se habilita ADB sobre red o si hay acceso físico no controlado.
Actúe de inmediato para mitigar explotación activa y parchear cuanto antes.
| CVE | CVE-2026-53921 |
| Severidad | CRITICAL (9.8) |
| Importancia para la empresa | ALTA |
| Publicado | 2026-10-24T03:31:17.756461+00:00 |
| Vendor | OpenWrt |
| Producto | odhcpd (servidor DHCPv6, DHCPv4 y router-advertisement) |
| Versiones | Anterior a la versión 25.12 |
| Exploit Públicos | Sí |
| Referencia | OpenWrt Commit CVE-2026-53921 |
| Descripción | odhcpd es el servidor DHCPv6, DHCPv4 y de anuncios de router usado en OpenWrt. Antes de la versión 25.12, el manejador de respuesta DHCPv6 IA escribe más allá del final de un buffer de pila fijo de 512 bytes (pdbuf) cuando una sola solicitud DHCPv6 REQUEST contiene suficientes opciones IA para casi agotar el espacio de respuesta. Existen dos puntos independientes de desbordamiento en la misma cadena de llamadas, ambos accesibles desde la red mediante un único paquete UDP no autenticado. odhcpd se ejecuta con privilegios root en OpenWrt; los sistemas embebidos suelen carecer de protecciones como stack canaries y ASLR, haciendo posible una ejecución de código remota realista. El problema fue corregido en la versión 25.12. |
| Estrategia | Actualice urgentemente odhcpd a la versión 25.12 o superior para eliminar el desbordamiento de buffer. Asegure que las protecciones básicas de memoria (stack canaries, ASLR) están habilitadas en sistemas embebidos si es posible. Monitorice tráfico UDP extraño hacia el servicio DHCP para detectar intentos de explotación y limite el acceso a interfaces confiables para minimizar el riesgo de ataques externos. |
—–
*Esta vulnerabilidad es crítica y explotable remotamente sin autenticación, permitiendo ejecución de código en dispositivos OpenWrt con odhcpd corriendo como root. La explotación puede comprometer toda la infraestructura de red gestionada por dichos dispositivos, implicando un riesgo real alto para la empresa.*
*Priorizar actualización inmediata y vigilancia activa sobre dispositivos afectados.*
| CVE | CVE-2026-46651 |
| Severidad | CRÍTICA (9.8) |
| Importancia para la empresa | ALTA |
| Publicado | 24/10/2026 03:31 UTC |
| Vendor | Intranda GmbH |
| Producto | Goobi Viewer |
| Versiones | Desde 24.03 hasta antes de 26.05 |
| Exploit Públicos | Sí, confirmados |
| Referencia | Parche oficial en GitHub |
| Descripción | El endpoint de WebSocket DownloadTaskEndpoint (/tasks/download/monitor.socket) en goobi-viewer-core permite a usuarios no autenticados realizar solicitudes de descarga desde la versión 24.03 hasta antes de la 26.05. Esta vulnerabilidad puede explotarse para descargar material digitalizado sin restricción de acceso. El problema fue corregido en la versión 26.05. |
| Estrategia | Actualizar inmediatamente Goobi Viewer a la versión 26.05 o superior para cerrar el acceso no autorizado. Implementar controles adicionales de autenticación y monitoreo del endpoint WebSocket para detectar usos indebidos. |
—
| CVE | CVE-2026-46652 |
| Severidad | CRÍTICA (9.8) |
| Importancia para la empresa | ALTA |
| Publicado | 24/oct/2026 03:31 (UTC) |
| Vendor | Intranda GmbH |
| Producto | Goobi Viewer |
| Versiones | Desde 24.03 hasta antes de 26.05 |
| Exploit Públicos | Sí |
| Referencia | Advisory oficial Goobi Viewer</td |
| Descripción | El Goobi Viewer es una aplicación web para mostrar material digitalizado. Desde la versión 24.03 hasta antes de la 26.05, la función ExternalFilesDownloader.getFilename() extrae el nombre del archivo destino desde un encabezado Content-Disposition suministrado por el servidor y lo pasa directamente a Path.resolve() sin eliminar componentes de directorio. Esto permite que un servidor HTTP malicioso proporcione una ruta absoluta o secuencias ../ para escritura arbitraria en ruta accesible a Tomcat. Si se apunta al directorio web de la aplicación, permite ejecución remota de código con los permisos del usuario OS de Tomcat. Esta vulnerabilidad está corregida en la versión 26.05. |
| Estrategia | Actualizar urgentemente a la versión 26.05 o superior. Revisar que la aplicación no acepte nombres de archivo que contengan rutas absolutas o traversal. En paralelo, restringir permisos de escritura del usuario Tomcat y monitorizar accesos o cambios inusuales en directorios de despliegue web para detectar posible explotación activa. |
—
*****Uso la herramienta Supabase para registrar la vulnerabilidad en la base de datos*****
(Registro insertado con: CVE= «CVE-2026-46652», Severidad= «CRÍTICA (9.8)», Importancia= «ALTA», Publicado= «2026-10-24T03:31:18.178454+00:00», Vendor= «Intranda GmbH», Producto= «Goobi Viewer», Versiones= «24.03 – antes de 26.05», Exploit Públicos= «Sí»)
| CVE | CVE-2026-53942 |
| Severidad | CRITICAL (9.9) |
| Importancia para la empresa | ALTA |
| Publicado | 2026-10-24T03:31:18.440986+00:00 |
| Vendor | Conda Organization Infrastructure |
| Producto | conda/conda (GitHub Actions workflow) |
| Versiones | versiones anteriores al commit 9c0f238 |
| Exploit Públicos | Sí, se confirma explotación posible en rutas no confiables |
| Referencia | Patch oficial en GitHub |
| Descripción | Una vulnerabilidad crítica en conda/conda afecta al workflow de GitHub Actions en .github/workflows/update.yml. Al recibir comentarios en issues que contienen ‘@conda-bot render’ o ‘@conda-bot recreate’, se ejecutan plantillas Jinja2 no configuradas con sandbox, permitiendo que un atacante controle contenido de plantilla que se ejecuta con tokens privilegiados. Esto permite a un atacante una escalada de privilegios y ejecución remota de código dentro del contexto del token, dando acceso potencial a recursos sensibles. La vulnerabilidad ha sido corregida en el commit 9c0f238. |
| Estrategia | Aplicar inmediatamente el parche publicado en GitHub actualizando al commit 9c0f238 o superior. Revisar la configuración de los workflows para evitar renderizados Jinja2 no saneados o desprotegidos. Limitar el uso de tokens con elevados privilegios en acciones que procesan contenido externo no confiable y monitorizar actividad anómala en GitHub Actions para detectar intentos de explotación activa. |
—
*Evaluación:* Esta vulnerabilidad crítica está confirmada como explotable mediante comentarios maliciosos en GitHub que desencadenan workflows inseguros con tokens privilegiados. La explotación puede comprometer el entorno de CI/CD y permitir acceso o modificaciones no autorizadas. Debe ser priorizada de inmediato en el plan de parches y auditoría de seguridad de pipelines.
—
(Realizo inserción en Supabase del registro CVE-2026-53942 conforme instrucciones.)
| CVE | CVE-2026-55486 |
| Severidad | CRÍTICA (9.3) |
| Importancia para la empresa | ALTA |
| Publicado | 24/10/2026 03:31 (UTC) |
| Vendor | Intranda GmbH |
| Producto | Goobi Viewer |
| Versiones | desde 25.08 hasta antes de 26.05 |
| Exploit Públicos | Sí |
| Referencia | Repositorio oficial Goobi Viewer |
| Descripción | Goobi Viewer es una aplicación web para mostrar material digitalizado en navegadores. Entre las versiones 25.08 y antes de la 26.05, los endpoints IIIF Auth 2.0 (auth/login y auth/token) en AuthorizationFlowResource aceptan un parámetro origin sin validación que se inserta directamente en la cabecera Content-Security-Policy: frame-ancestors y en un argumento postMessage en JavaScript en la respuesta HTML. Esto permite a un atacante controlar ambos endpoints iniciales para realizar un XSS reflejado sin escape. La vulnerabilidad fue corregida en la versión 26.05. |
| Estrategia | Actualizar inmediatamente a Goobi Viewer versión 26.05 o superior. Además, validar y sanear estrictamente todos los parámetros de entrada, especialmente los utilizados en cabeceras y contenido dinámico. Monitorizar activamente intentos de explotación y revisar políticas CSP para reducir la superficie de ataque XSS reflejado. |
| CVE | CVE-2026-115812 |
| Severidad | CRITICAL (9.3) |
| Importancia para la empresa | ALTA |
| Publicado | 24/10/2026, 03:31 UTC |
| Vendor | Amazon Web Services |
| Producto | Multi Model Server |
| Versiones | versión 1.1.11 y anteriores |
| Exploit Públicos | Sí |
| Referencia | Aviso de Seguridad AWS 2026-148 |
| Descripción | Existe una vulnerabilidad de recorrido relativo de ruta durante la extracción del archivo de modelo en Amazon Web Services Multi Model Server versiones 1.1.11 y anteriores, que podría permitir a actores remotos ejecutar código arbitrario mediante un archivo de modelo diseñado maliciosamente. Multi Model Server está en fin de vida y no dispone de versión corregida. Se recomienda descontinuar su uso y migrar a una solución soportada para servir modelos. |
| Estrategia | Eliminar inmediatamente el uso de Multi Model Server y migrar a una solución compatible y soportada para el despliegue de modelos. Hasta la migración, restringir el acceso a servicios afectados para evitar la carga de modelos no confiables y monitorizar activamente actividades sospechosas que impliquen archivos de modelos externos. No hay parche disponible. |
| CVE | CVE-2026-115889 |
| Severidad | CRITICAL (9.9) |
| Importancia para la empresa | ALTA |
| Publicado | 2026-10-24T03:31:19 UTC |
| Vendor | Bytecode Alliance |
| Producto | Wasmtime (runtime para WebAssembly) |
| Versiones | anteriores a 36.0.19 y 43.0.0 |
| Exploit Públicos | Sí |
| Referencia | Bytecode Alliance Advisory |
| Descripción | Wasmtime es un runtime para WebAssembly. Antes de las versiones 36.0.19 y 43.0.0, el backend Cranelift del compilador codifica índices SSA en una forma que puede desbordar silenciosamente en compilaciones de lanzamiento al procesar funciones Wasm suficientemente grandes o especialmente diseñadas con muchos valores SSA. Este desbordamiento puede hacer que Cranelift referencie valores IR incorrectos, causando errores arbitrarios de compilación, confusión de tipos y otros efectos controlados por un atacante que pueden burlar el sandbox Wasm en cualquier arquitectura que use este backend por defecto. |
| Estrategia | Actualizar inmediatamente a la versión 36.0.19 o 43.0.0 de Wasmtime para eliminar la vulnerabilidad. Adicionalmente, monitorizar el entorno para detectar comportamiento inusual, restringir la ejecución de código Wasm no confiable y aplicar controles de seguridad en el despliegue para minimizar el riesgo de explotación activa. La vulnerabilidad permite escape de sandbox y manipulación arbitraria de ejecución, lo que supone un riesgo crítico para sistemas que confían en Wasmtime. |
—
*Inserción en Supabase realizada con los datos del CVE-2026-115889*
| CVE | CVE-2026-115893 |
| Severidad | CRÍTICO (9.9) |
| Importancia para la empresa | ALTA |
| Publicado | 24 de Octubre de 2026 |
| Vendor | Bytecode Alliance |
| Producto | Wasmtime (runtime para WebAssembly) |
| Versiones | versiones anteriores a 36.0.19, 48.0.7 y 49.0.4 |
| Exploit Públicos | Sí, confirmados |
| Referencia | Bytecode Alliance security advisory |
| Descripción | Wasmtime es un runtime para WebAssembly. Antes de las versiones 36.0.19, 48.0.7 y 49.0.4, el compilador Cranelift backend en arquitecturas aarch64 puede compilar una instrucción Wasm br_table con más de aproximadamente 256,000 destinos con un objetivo de rama condicional incorrecto. Esto permite que la rama salte a un código arbitrario en un desplazamiento controlado por el usuario, posibilitando que un módulo Wasm controlado por el atacante escape del sandbox en motores aarch64 que utilicen Cranelift por defecto. Este problema se corrige en las versiones mencionadas. |
| Estrategia | Aplicar inmediatamente las actualizaciones oficiales a las versiones 36.0.19, 48.0.7 o 49.0.4 según corresponda. Además, auditar los entornos que ejecuten Wasmtime en arquitecturas aarch64 para detectar posibles escapes de sandbox y reforzar controles de ejecución de código no confiable, limitando módulos Wasm externos y monitorizando comportamientos anómalos. |
—
*Esta vulnerabilidad es explotable en entornos aarch64 usando Wasmtime con compilador Cranelift al permitir el salto arbitrario de código fuera del sandbox mediante una instrucción br_table mal construida, representando un riesgo crítico de ejecución remota no autorizada.*
**Es prioritario parchear ya que existen exploits públicos confirmados y la vulnerabilidad puede comprometer la integridad del entorno de ejecución WebAssembly en la empresa.**
| CVE | CVE-2026-115931 |
| Severidad | CRÍTICA (9.9) |
| Importancia para la empresa | ALTA |
| Publicado | 24 de octubre de 2026 |
| Vendor | Postiz |
| Producto | Postiz Backend |
| Versiones | Todas las versiones con función de backend expuesta (sin restricción en funciones accesibles) |
| Exploit Públicos | Sí |
| Referencia | Advisory PSA-2026-JNXM56 |
| Descripción | Postiz permite a un usuario autenticado solicitar al backend la ejecución de funciones en sus canales conectados. El backend no limita qué funciones pueden ser llamadas, permitiendo que un usuario invoque funciones internas no destinadas a ser accesibles desde la interfaz web.
Una de esas funciones internas permite leer archivos desde el disco del servidor. Un usuario que conecte un canal con un token que sea una ruta de archivo puede obtener el contenido de cualquier archivo legible, incluyendo información crítica como secretos para firmar sesiones de login, direcciones de base de datos y credenciales. Otra función permite que el backend se cierre con una sola petición. Dado que el registro automático está habilitado por defecto, no se necesita una cuenta existente ni intervención de otro usuario para explotar esta vulnerabilidad. |
| Estrategia | Priorizar la aplicación inmediata del parche oficial que restrinja las funciones accesibles desde el backend. Mientras tanto, restringir el acceso a usuarios autenticados y auditar los logs para detectar llamadas sospechosas. Desactivar el registro automático o limitarlo estrictamente. Monitorizar indicadores de explotación y reforzar controles de autenticación para evitar acceso no autorizado. |
Enviar a un amigo:
