| CVE | Vendor | Producto | Severidad | VAfectadas | Exploit |
|---|---|---|---|---|---|
| CVE-2025-26986 | PHP | Programas PHP con sentencias include | Alta | Versiones afectadas no especificadas; afecta a programas PHP con control inadecuado del nombre de archivo en include | Sí |
| CVE-2022-1471 | SnakeYAML | SnakeYAML (parser y emisor YAML para Java) | ALTA (No CVSS exacto proporcionado) | Versiones afectadas sin especificar explícitamente; se recomienda revisar versiones previas al parche de 2026 | Sí |
| CVE-2023-51411 | dynamiapps | frontend_admin | ALTA (no se especifica CVSS exacto, pero explotación activa) | No especificadas | Sí |
| CVE-2026-81543 | En análisis | En análisis | CRÍTICA (A determinar según métricas específicas) | En análisis | Sí |
| CVE-2024-33563 | 8theme | XStore | Alta (según contexto de explotación activa) | No especificadas (revisar versiones actuales) | Sí |
| CVE-2026-103366 | En análisis | En análisis | Alta (Sin puntuación exacta disponible) | No especificadas | Confirmados, explotación activa |
| CVE-2026-11565 | advancedfilemanager | advanced_file_manager | ALTA (No especificado pero explotación confirmada) | No especificadas (revisar versiones actuales) | Sí |
| CVE-2025-11452 | asgaros | asgaros_forum | ALTA (según CVSS relacionado a SQL Injection) | Versiones anteriores a la corrección publicada en 2026-10-27 | Sí |
| CVE-2026-16482 | Por determinar | Por determinar | Alta (7.8) | Por determinar | Sí |
| CVE-2026-28177 | Code Atlantic | Popup Maker | Alta (según explotación confirmada) | Versiones previas a la solución oficial (no especificadas) | Sí |
| CVE-2026-66592 | (No especificado) | (No especificado) | ALTA (sin puntuación exacta SCA disponible) | (No especificado) | Sí |
| CVE-2025-1232 | geminilabs | site_reviews | Alta (no especificado, pero explotación activa confirmada) | No especificado | Sí |
| CVE-2026-94238 | loco_translate_project | loco_translate | ALTA (explotación activa confirmada) | No especificadas explícitamente en la descripción | Sí |
| CVE-2026-92975 | groundhogg | groundhogg | ALTA (Explotación confirmada) | No especificado; se recomienda actualizar a la última versión disponible | Sí |
| CVE-2026-107092 | NexoPOS | NexoPOS | CRÍTICA (9.8) | v6.2.4 | Sí |
| CVE-2026-107656 | Fortinet | FortiSandbox | CRITICAL (9.8) | FortiSandbox 5.0.0 a 5.0.6, 4.4.0 a 4.4.9, todas las versiones 4.2, y FortiSandbox PaaS equivalentes | Sí |
| CVE-2026-110475 | CreditNirvana | Collections Platform | CRITICAL (9.3) | No especificadas, afecta al servicio de login de la plataforma | Sí |
| CVE-2026-115188 | Mautic | Mautic 7 | CRITICAL (9.9) | Mautic 7 (todas las versiones anteriores al parche) | Sí |
| CVE-2026-115693 | benoitc | hackney | CRÍTICA (9.1) | Desde 1.24.0 hasta antes de 4.9.0 | Sí |
| CVE-2026-116214 | MacCMS | MacCMS v10 | CRITICAL (9.3) | versiones anteriores a 2026.1000.4054 | Sí |
| CVE-2026-116485 | huangxd- (GitHub repo maintainer) | danmu_api | CRÍTICA (9.3) | Anterior a 1.21.7 | Sí |
| CVE-2026-59106 | WolfVision | WolfProt Interface | CRITICAL (9.3) | No especificadas | Sí |
| CVE-2026-59107 | WolfVision | vSolution Matrix (función de intercambio de archivos) | CRITICAL (9.2) | Dispositivos configurados como estación principal | Sí |
| CVE-2026-65184 | Avocent | ACS8000 wsserver terminal-bridge daemon | CRITICAL (9.8) | No especificadas, afecta al demonio wsserver con privilegios root | Sí |
| CVE-2026-77055 | boneIO | boneIO black_debian_images | CRÍTICA (9.3) | versiones anteriores a 1.6.0 | Sí |
| CVE-2026-93328 | Google Cloud MCP Toolbox for Databases (googleapis | CRÍTICA (9.3) | 1.2.0 hasta 1.4.0 | Sí | |
| CVE-2026-112346 | OpenHands | Software Agent SDK | CRITICAL (9.3) | Versiones anteriores a 1.52.0 | Sí |
| CVE-2026-115905 | zip-rs | zip (librería para Rust) | CRITICAL (10) | Hasta 9.0.4 inclusive | Sí |
| CVE-2026-102649 | Padok Team | Burrito (Terraform Automation Collaboration Software – TACoS) Kubernetes Operator | CRÍTICA (9.9) | Todas anteriores a 0.13.0 | Sí |
| CVE-2026-10757 | Esri | ArcGIS Server | CRITICAL (9.8) | 12.1 y anteriores (incluye 12.1, 12.0, 11.5, 11.3, 11.1) | Sí |
| CVE-2026-110720 | HashiCorp | consul-k8s | CRITICAL (9.9) | 0.42.0 y posteriores hasta antes de 2.1.0 y 1.8.18 | Sí |
| CVE-2026-116508 | TOTOLINK | TOTOLINK A950RG | CRITICAL (9.3) | 4.1.2cu.5268_B20221104 | Sí |
| CVE-2026-116747 | Kener | Kener | CRÍTICA (9.2) | versiones anteriores a 4.1.10 (desde la 3.0.0 hasta antes de 4.1.10) | Sí |
| CVE | CVE-2025-26986 |
| Severidad | Alta |
| Importancia para la empresa | ALTA |
| Publicado | 27 Oct 2026, 04:31 (UTC) |
| Vendor | PHP |
| Producto | Programas PHP con sentencias include/require vulnerables |
| Versiones | Versiones afectadas no especificadas; afecta a programas PHP con control inadecuado del nombre de archivo en include/require |
| Exploit Públicos | Sí, se está explotando activamente |
| Referencia | VulnCheck CVE-2025-26986 |
| Descripción | La vulnerabilidad consiste en un control inadecuado del nombre de archivo para sentencias include/require en programas PHP, lo que permite un ataque de inclusión remota de archivos (RFI). Un atacante puede aprovechar esto para ejecutar código arbitrario en el servidor afectado mediante la inyección de una ruta maliciosa que será incluida y ejecutada. |
| Estrategia | Actualizar y parchear inmediatamente todos los programas PHP afectados para validar y controlar estrictamente las rutas utilizadas en include/require. Implementar filtros de entrada estrictos para evitar rutas externas y utilizar configuraciones como allow_url_include=Off. Monitorizar logs para detectar posibles indicios de explotación activa. |
| CVE | CVE-2022-1471 |
| Severidad | ALTA (No CVSS exacto proporcionado) |
| Importancia para la empresa | ALTA |
| Publicado | 2026-10-27T04:31:50.343537+00:00 |
| Vendor | SnakeYAML |
| Producto | SnakeYAML (parser y emisor YAML para Java) |
| Versiones | Versiones afectadas sin especificar explícitamente; se recomienda revisar versiones previas al parche de 2026 |
| Exploit Públicos | Sí, ya se está explotando activamente |
| Referencia | Vulncheck CVE-2022-1471 |
| Descripción | Vulnerabilidad de validación incorrecta de entrada en SnakeYAML, un parser y emisor YAML para Java. Esta falla puede permitir la manipulación o la inserción maliciosa de datos que no cumplen con el esquema esperado, lo que potencialmente lleva a la ejecución de código arbitrario o corrupción de datos cuando se procesan entradas maliciosas. |
| Estrategia | Actualizar inmediatamente SnakeYAML a la versión parcheada que corrige esta vulnerabilidad. Además, implementar controles estrictos de validación y saneamiento de datos YAML externos antes de ser procesados, limitar privilegios en la ejecución y monitorear actividad inusual en aplicaciones que usan este parser para detectar explotación temprana. |
| CVE | CVE-2023-51411 |
| Severidad | ALTA (no se especifica CVSS exacto, pero explotación activa) |
| Importancia para la empresa | ALTA |
| Publicado | 27 de octubre 2026 |
| Vendor | dynamiapps |
| Producto | frontend_admin |
| Versiones | No especificadas |
| Exploit Públicos | Sí, explotación activa confirmada |
| Referencia | VulnCheck CVE-2023-51411 |
| Descripción | Vulnerabilidad de carga irrestricta de archivos con tipos peligrosos en dynamiapps frontend_admin que permite a atacantes subir archivos maliciosos sin restricciones. Esto puede conducir a ejecución remota de código o comprometer el sistema al ejecutar archivos dañinos subidos.
La vulnerabilidad está siendo explotada activamente, lo que representa un riesgo crítico para la seguridad de sistemas que usen este componente, potencialmente permitiendo a atacantes ejecutar código arbitrario o manipular la aplicación web de forma remota. |
| Estrategia | Aplicar de inmediato el parche oficial o actualización proporcionada para el componente frontend_admin. Mientras tanto, restringir la carga de archivos a tipos seguros, implementar validación exhaustiva y escaneo de archivos subidos, y establecer monitoreo riguroso para detectar indicadores de compromiso relacionados con cargas maliciosas. |
—–
| CVE | CVE-2026-81543 |
| Severidad | CRÍTICA (A determinar según métricas específicas) |
| Importancia para la empresa | ALTA |
| Publicado | 27 de Octubre de 2026 |
| Vendor | En análisis |
| Producto | En análisis |
| Versiones | En análisis |
| Exploit Públicos | Sí, confirmada explotación activa |
| Referencia | Información detallada CVE-2026-81543 |
| Descripción | Gestión incorrecta de privilegios permite a atacantes escalar privilegios más allá de los autorizados en el sistema vulnerable. La explotación activa conocida indica un riesgo real e inmediato para la seguridad de los sistemas afectados, pudiendo comprometer la integridad y confidencialidad de la empresa. |
| Estrategia | Priorizar la identificación de sistemas afectados incluso antes de confirmarse versiones específicas. Aplicar parches y actualizaciones oficiales inmediatamente al ser liberados. Implementar controles rígidos de gestión de privilegios y monitorización continua de accesos anómalos para detectar intentos de escalada. Revisar políticas de acceso y reforzar segmentación de red para mitigar impacto. |
| CVE | CVE-2024-33563 |
| Severidad | Alta (según contexto de explotación activa) |
| Importancia para la empresa | ALTA |
| Publicado | 27 de octubre de 2026 |
| Vendor | 8theme |
| Producto | XStore |
| Versiones | No especificadas (revisar versiones actuales) |
| Exploit Públicos | Sí, explotación activa confirmada |
| Referencia | Detalle del CVE |
| Descripción | Vulnerabilidad en 8theme XStore debido a la ausencia de autorización adecuada (Missing Authorization), que permite a atacantes explotar funcionalidades sin los permisos correspondientes, comprometiendo potencialmente la integridad y seguridad del sistema afectado. |
| Estrategia | Aplicar urgentemente los parches oficiales o actualizaciones que corrijan el control de autorización en XStore. Revisar y reforzar los mecanismos de autenticación y autorización internos. Monitorizar el sistema para detectar intentos de explotación activa y bloquear IPs sospechosas. |
—
Este CVE demuestra explotación activa, por lo que debe ser priorizado inmediatamente. La vulnerabilidad permite a actores maliciosos ejecutar acciones sin las autorizaciones necesarias, lo cual puede derivar en acceso no autorizado o manipulación de datos críticos en la empresa. Por ello, representa un riesgo real y elevado para la seguridad corporativa.
| CVE | CVE-2026-103366 |
| Severidad | Alta (Sin puntuación exacta disponible) |
| Importancia para la empresa | ALTA |
| Publicado | 27 de octubre de 2026 |
| Vendor | En análisis |
| Producto | En análisis |
| Versiones | No especificadas |
| Exploit Públicos | Confirmados, explotación activa |
| Referencia | Detalles CVE 2026-103366 |
| Descripción |
Vulnerabilidad de omisión de autorización a través de clave controlada por el usuario que permite a un atacante eludir controles de acceso. Actualmente se está explotando activamente esta vulnerabilidad, lo que agrava su riesgo para la empresa.
Permite a atacantes obtener acceso no autorizado a recursos o funciones restringidas manipulando claves o parámetros sin supervisión adecuada, comprometiendo la confidencialidad y seguridad de la información protegida. |
| Estrategia | Aplicar inmediatamente las actualizaciones o parches facilitados por el fabricante una vez identificados. Mientras tanto, reforzar controles de validación y autenticación en accesos sensibles, monitorear logs de acceso para detección temprana de intentos de explotación y restringir parámetros configurables por usuario para evitar manipulación. |
—
| CVE | CVE-2026-11565 |
| Severidad | ALTA (No especificado pero explotación confirmada) |
| Importancia para la empresa | ALTA |
| Publicado | 27 de octubre de 2026 |
| Vendor | advancedfilemanager |
| Producto | advanced_file_manager |
| Versiones | No especificadas (revisar versiones actuales) |
| Exploit Públicos | Sí, explotación activa reportada |
| Referencia | VulnCheck CVE-2026-11565 |
| Descripción | Vulnerabilidad de falta de autorización en advanced_file_manager que permite a un atacante no autorizado acceder y manipular funcionalidades del sistema sin autenticación previa.
Esta vulnerabilidad está siendo activamente explotada, pudiendo comprometer la integridad, disponibilidad y confidencialidad del sistema gestionado por advanced_file_manager, facilitando accesos no autorizados y posibles ataques posteriores más severos. |
| Estrategia | Actualice inmediatamente a la versión parcheada cuando esté disponible. Mientras tanto, restrinja el acceso a advanced_file_manager mediante controles de red (firewall, VPN) y autenticación fuerte. Monitorice logs de acceso para detectar intentos sospechosos y prepare alertas ante accesos inesperados. |
| CVE | CVE-2025-11452 |
| Severidad | ALTA (según CVSS relacionado a SQL Injection) |
| Importancia para la empresa | ALTA |
| Publicado | 27 Octubre 2026 |
| Vendor | asgaros |
| Producto | asgaros_forum |
| Versiones | Versiones anteriores a la corrección publicada en 2026-10-27 |
| Exploit Públicos | Sí, confirmados y en explotación activa |
| Referencia | Vulncheck CVE-2025-11452 |
| Descripción | Vulnerabilidad de Neutralización Inadecuada de Elementos Especiales usados en un Comando SQL (‘Inyección SQL’) en asgaros_forum. Esta falla permite que un atacante ejecute comandos SQL arbitrarios en la base de datos afectada mediante la manipulación de entradas sin sanitizar correctamente.
Esta vulnerabilidad está siendo explotada activamente, lo que significa que atacantes pueden obtener, modificar o destruir datos sensibles, comprometiendo gravemente la seguridad y confidencialidad de la información de la empresa. |
| Estrategia | Aplicar de inmediato el parche oficial proporcionado por asgaros que corrige esta vulnerabilidad. Además, reforzar la validación y saneamiento de todas las entradas recibidas desde usuarios, implementar controles de acceso estrictos a la base de datos y monitorizar actividad sospechosa para detectar intentos de explotación activa. |
| CVE | CVE-2026-16482 |
| Severidad | Alta (7.8) |
| Importancia para la empresa | ALTA |
| Publicado | 27 de octubre de 2026 |
| Vendor | Por determinar |
| Producto | Por determinar |
| Versiones | Por determinar |
| Exploit Públicos | Sí, se está explotando activamente |
| Referencia | Vulncheck CVE-2026-16482 |
| Descripción | Vulnerabilidad de Neutralización Inadecuada de Elementos Especiales utilizados en un Comando SQL («SQL Injection»). Esta falla permite a un atacante inyectar código SQL malicioso en las consultas de la base de datos, lo que puede derivar en acceso no autorizado, manipulación o borrado de información crítica. |
| Estrategia | Priorizar la aplicación inmediata de parches oficiales. Revisar y reforzar la validación y saneamiento de todas las entradas que interactúan con bases de datos. Implementar controles de acceso estrictos y monitorizar logs para detectar intentos de explotación activa. |
| CVE | CVE-2026-28177 |
| Severidad | Alta (según explotación confirmada) |
| Importancia para la empresa | ALTA |
| Publicado | 27 Octubre 2026 |
| Vendor | Code Atlantic |
| Producto | Popup Maker |
| Versiones | Versiones previas a la solución oficial (no especificadas) |
| Exploit Públicos | Sí, explotación activa confirmada |
| Referencia | VulnCheck CVE-2026-28177 |
| Descripción | Vulnerabilidad de Neutralización Inadecuada de la Entrada durante la generación de páginas web (Cross-site Scripting) en Popup Maker de Code Atlantic. Esta falla permite la inserción y ejecución de scripts maliciosos en el navegador del usuario al no filtrar correctamente las entradas en la generación dinámica de contenido web. |
| Estrategia | Actualizar Popup Maker a la última versión disponible que soluciona este problema. Implementar filtrados estrictos y sanitización de entradas. Monitorizar logs y tráfico web para detectar indicadores de explotación activa, especialmente en interfaces que utilizan contenido dinámico. |
| CVE | CVE-2026-66592 |
| Severidad | ALTA (sin puntuación exacta SCA disponible) |
| Importancia para la empresa | ALTA |
| Publicado | 27 de octubre de 2026, 04:31 UTC |
| Vendor | (No especificado) |
| Producto | (No especificado) |
| Versiones | (No especificado) |
| Exploit Públicos | Sí, en explotación activa |
| Referencia | Información oficial CVE |
| Descripción | Neutralización inadecuada de elementos especiales usados en un comando SQL (‘SQL Injection’). Esta vulnerabilidad permite a un atacante inyectar código SQL malicioso para manipular o acceder sin autorización a la base de datos afectada. |
| Estrategia | Priorizar la aplicación inmediata del parche oficial cuando se identifique el producto afectado. Mientras tanto, utilizar controles de validación estricta de entradas, parámetros preparados (prepared statements) y monitorización de accesos y logs para detectar intentos de explotación. |
| CVE | CVE-2025-1232 |
| Severidad | Alta (no especificado, pero explotación activa confirmada) |
| Importancia para la empresa | ALTA |
| Publicado | 27 de Octubre 2026 |
| Vendor | geminilabs |
| Producto | site_reviews |
| Versiones | No especificado |
| Exploit Públicos | Sí, explotación activa confirmada |
| Referencia | Detalles CVE-2025-1232 y Intel. amenazas |
| Descripción | Vulnerabilidad de Neutralización Incorrecta de Entrada durante la Generación de Páginas Web (‘Cross-site Scripting’) en geminilabs site_reviews. Permite a atacantes inyectar código malicioso que se ejecuta en navegadores de usuarios afectados.
Esta vulnerabilidad está siendo explotada activamente, lo que aumenta significativamente el riesgo para la empresa, ya que puede comprometer sesiones de usuarios, robar datos confidenciales y modificar contenido legítimo en la aplicación web afectada. |
| Estrategia | Aplicar inmediatamente los parches oficiales proporcionados por geminilabs para site_reviews. Mientras tanto, reforzar las políticas de validación y escapado de entradas en la aplicación web, y monitorizar activamente patrones de comportamiento anómalos que indiquen explotación activa. |
| CVE | CVE-2026-94238 |
| Severidad | ALTA (explotación activa confirmada) |
| Importancia para la empresa | ALTA |
| Publicado | 27 de octubre de 2026 |
| Vendor | loco_translate_project |
| Producto | loco_translate |
| Versiones | No especificadas explícitamente en la descripción |
| Exploit Públicos | Sí, explotación activa confirmada |
| Referencia | Vulncheck CVE-2026-94238 |
| Descripción | Vulnerabilidad de Limitación Inadecuada de un Nombre de Ruta a un Directorio Restringido (Path Traversal) en loco_translate que permite a un atacante acceder y manipular archivos fuera de los directorios permitidos. Esta falla facilita la ejecución de acciones maliciosas, como la lectura o modificación no autorizada de archivos sensibles en el sistema.
Esta vulnerabilidad está siendo activamente explotada en entornos reales, representando un riesgo elevado para la seguridad de la compañía si el producto se encuentra en uso. |
| Estrategia | Aplicar inmediatamente los parches oficiales para corregir la validación de rutas en loco_translate. Si no existe parche, restringir el acceso al producto desde redes limitadas y monitorizar logs para detectar accesos irregulares a archivos fuera de los directorios autorizados. Refuerzo de controles de acceso en el sistema de archivos y segmentación para limitar el impacto en caso de explotación. |
| CVE | CVE-2026-92975 |
| Severidad | ALTA (Explotación confirmada) |
| Importancia para la empresa | ALTA |
| Publicado | 27 de octubre de 2026 |
| Vendor | groundhogg |
| Producto | groundhogg |
| Versiones | No especificado; se recomienda actualizar a la última versión disponible |
| Exploit Públicos | Sí, confirmados y en uso activo |
| Referencia | Groundhogg CVE-2026-92975 Advisory |
| Descripción | Gestión incorrecta de privilegios en groundhogg que permite a atacantes escalar privilegios de forma no autorizada. Esta vulnerabilidad puede ser explotada mediante manipulación directa de la gestión interna de permisos, otorgando acceso a funciones restringidas sin autenticación o validación adecuada.
Esta falla provoca que un atacante pueda obtener control o acceso de mayor nivel dentro del sistema, lo que puede derivar en modificación o divulgación no autorizada de información crítica, poniendo en riesgo la integridad y confidencialidad de los datos. |
| Estrategia | Aplicar de inmediato los parches oficiales proporcionados por groundhogg. Revisar y reforzar los controles internos de gestión de privilegios. Implementar monitoreo continuo para detectar anomalías o accesos no autorizados y, en paralelo, restringir el acceso temporal a funciones críticas hasta confirmar la mitigación completa. |
—–
¿Está siendo explotada esta vulnerabilidad? Sí, hay explotación activa confirmada.
¿Debe darse prioridad? Sí, prioridad máxima por riesgo de escalación de privilegios y explotación activa.
¿Supone un riesgo real para la empresa? Absolutamente, puede comprometer la integridad de sistemas y datos confidenciales.
| CVE | CVE-2026-107092 |
| Severidad | CRÍTICA (9.8) |
| Importancia para la empresa | ALTA |
| Publicado | 27 Octubre 2026 04:31 UTC |
| Vendor | NexoPOS |
| Producto | NexoPOS |
| Versiones | v6.2.4 |
| Exploit Públicos | Sí |
| Referencia | Sitio Oficial NexoPOS |
| Descripción | NexoPOS v6.2.4 es vulnerable a un ataque de traversión de directorio a través del endpoint api/update.
La vulnerabilidad permite a un atacante acceder y potencialmente modificar archivos fuera del directorio previsto usando rutas manipuladas en la solicitud api/update. Esto puede conducir a la exposición o alteración de datos sensibles, ejecución de código arbitrario o desestabilización del sistema. |
| Estrategia | Aplicar parches oficiales o actualizar a una versión corregida inmediatamente. Limitar el acceso al endpoint api/update mediante controles estrictos de autenticación y validación de entrada. Monitorizar logs para detectar peticiones anómalas y revisar la estructura de permisos en el servidor para minimizar el daño potencial. |
| CVE | CVE-2026-107656 |
| Severidad | CRITICAL (9.8) |
| Importancia para la empresa | ALTA |
| Publicado | 27 octubre 2026, 04:31 (UTC) |
| Vendor | Fortinet |
| Producto | FortiSandbox |
| Versiones | FortiSandbox 5.0.0 a 5.0.6, 4.4.0 a 4.4.9, todas las versiones 4.2, y FortiSandbox PaaS equivalentes |
| Exploit Públicos | Sí, reportados públicamente |
| Referencia | Fortinet PSIRT Advisory FG-IR-26-185 |
| Descripción | Una vulnerabilidad de bypass de autenticación usando un camino o canal alternativo en Fortinet FortiSandbox versiones 5.0.0 a 5.0.6, 4.4.0 a 4.4.9, todas las versiones 4.2, y en FortiSandbox PaaS correspondientes puede permitir a un atacante ejecutar código o comandos no autorizados mediante solicitudes HTTP manipuladas. |
| Estrategia | Priorizar actualización inmediata a versiones parcheadas indicadas por Fortinet. Implementar controles complementarios de monitoreo y filtrado de tráfico HTTP para detectar solicitudes anómalas. Revisar los accesos y limitarlos estrictamente. Monitorizar posibles señales de explotación activa dado que ya existen exploits públicos. |
—
**Evaluación concreta:** Esta vulnerabilidad crítica permite a atacantes evadir la autenticación en FortiSandbox mediante solicitudes HTTP manipuladas, posibilitando ejecución arbitraria de código, lo que puede comprometer la infraestructura de seguridad de la empresa. La existencia de exploits públicos aumenta significativamente la probabilidad de ataques activos.
**Debe darse máxima prioridad a su mitigación y monitorización inmediata para evitar brechas de seguridad graves.**
| CVE | CVE-2026-110475 |
| Severidad | CRITICAL (9.3) |
| Importancia para la empresa | ALTA |
| Publicado | 27 Oct 2026, 04:31 (UTC) |
| Vendor | CreditNirvana |
| Producto | Collections Platform |
| Versiones | No especificadas, afecta al servicio de login de la plataforma |
| Exploit Públicos | Sí |
| Referencia | CERT-IN Advisory |
| Descripción | Existe una vulnerabilidad en CreditNirvana Collections Platform debido a controles inadecuados de autenticación y autorización en el servicio de inicio de sesión de la plataforma. Un atacante remoto no autenticado puede explotar esta vulnerabilidad manipulando las solicitudes de autenticación y accediendo a APIs sin una sesión autenticada válida en el sistema objetivo.
La explotación exitosa permitiría al atacante enumerar usuarios de la plataforma, establecer sesiones como usuarios arbitrarios, incluidos administradores, y acceder y modificar información sensible con los privilegios del usuario suplantado. |
| Estrategia | Priorizar la aplicación urgente del parche oficial o actualización que corrija este fallo en autenticación. Además, implementar controles estrictos de validación de sesión, monitorear accesos anómalos a APIs y validar todas las solicitudes para impedir suplantación. Revisar y reforzar políticas de autenticación y autorización para evitar accesos no autorizados. |
—
*****
| CVE | CVE-2026-115188 |
| Severidad | CRITICAL (9.9) |
| Importancia para la empresa | ALTA |
| Publicado | 27 de octubre de 2026, 04:31 UTC |
| Vendor | Mautic |
| Producto | Mautic 7 |
| Versiones | Mautic 7 (todas las versiones anteriores al parche) |
| Exploit Públicos | Sí, se conocen exploits públicos |
| Referencia | GitHub Security Advisory |
| Descripción | Existe una vulnerabilidad de carga de archivos sin restricciones en la función de importación de campañas de Mautic 7. Al procesar un archivo de campaña subido, la aplicación copia archivos incluidos en el archivo a un directorio de medios accesible públicamente sin restringir nombres o tipos de archivos. Un usuario autenticado con permiso para importar campañas puede explotar esta vulnerabilidad desde la interfaz o la API (/api/campaigns/import) para colocar archivos arbitrarios, incluidos scripts de servidor, en la raíz web. No se requieren privilegios de administrador. En servidores web que respetan configuraciones por directorio, como Apache en la imagen oficial Docker de Mautic, esto permite ejecutar código remoto con los privilegios del usuario web, incluyendo acceso a configuración, secretos de la aplicación y datos de contactos. |
| Estrategia | Aplicar inmediatamente los parches oficiales proporcionados para Mautic 7. Restringir los tipos y nombres de archivo permitidos durante la importación para impedir la carga de código malicioso. Revisar configuraciones del servidor para limitar la ejecución de scripts en directorios de media. Monitorizar la actividad en la función de importación y buscar indicios de explotación, además de auditar permisos de usuarios para minimizar el acceso solo a personal confiable. |
| CVE | CVE-2026-115693 |
| Severidad | CRÍTICA (9.1) |
| Importancia para la empresa | ALTA |
| Publicado | 27 de octubre de 2026 |
| Vendor | benoitc |
| Producto | hackney |
| Versiones | Desde 1.24.0 hasta antes de 4.9.0 |
| Exploit Públicos | Sí |
| Referencia | ERLEF CVE Database |
| Descripción | Vulnerabilidad de validación incorrecta de certificados en hackney_ssl dentro de hackney de benoitc que permite a un atacante en posición intermedia (MITM) suplantar un servidor fijado a una autoridad certificadora privada, mediante una cadena de certificados que termina en una raíz públicamente confiable. Aunque el chequeo de hostname sigue activo, el atacante necesita un certificado públicamente confiable para el hostname fijado.
Esta vulnerabilidad afecta a la biblioteca hackney desde la versión 1.24.0 hasta antes de la 4.9.0, por la forma en que se maneja la validación parcial de la cadena de certificados, aceptando incorrectamente cadenas con raíz pública a pesar de la fijación a una CA privada. |
| Estrategia | Aplicar inmediatamente la actualización a hackney versión 4.9.0 o superior que corrige la validación de certificados. Además, reforzar la monitorización de conexiones SSL/TLS para detectar posibles ataques MITM y revisar configuraciones de confianza de certificados para evitar aceptar cadenas que incluyan raíces públicas cuando se debe usar CA privada. |
—
*****
| CVE | CVE-2026-115693 |
| Severidad | CRÍTICA (9.1) |
| Importancia para la empresa | ALTA |
| Publicado | 27 de octubre de 2026 |
| Vendor | benoitc |
| Producto | hackney |
| Versiones | Desde 1.24.0 hasta antes de 4.9.0 |
| Exploit Públicos | Sí |
| Referencia | ERLEF CVE Database |
| Descripción | Vulnerabilidad en la validación incorrecta de certificados permite a atacantes MITM suplantar servidores con certificados públicos en conexiones que deberían estar fijadas a una CA privada, afectando a hackney_ssl de hackney versiones 1.24.0 a <4.9.0. |
| Estrategia | Actualizar urgentemente a hackney 4.9.0 o superior. Revisar configuraciones SSL/TLS para asegurar uso correcto de CA privadas con pinning, y monitorizar posibles indicios de ataques MITM. |
| CVE | CVE-2026-116214 |
| Severidad | CRITICAL (9.3) |
| Importancia para la empresa | ALTA |
| Publicado | 27 Octubre 2026 |
| Vendor | MacCMS |
| Producto | MacCMS v10 |
| Versiones | versiones anteriores a 2026.1000.4054 |
| Exploit Públicos | Sí |
| Referencia | Repositorio oficial MacCMS v10 |
| Descripción | Vulnerabilidad de omisión de autenticación en MacCMS v10 antes de la versión 2026.1000.4054 que permite a atacantes no autenticados restablecer la contraseña de cualquier miembro. La función check_msg() no compara el destinatario del mensaje (msg_to). El atacante puede solicitar un código de recuperación a su propio buzón mediante user/findpass_msg y luego usarlo en user/findpass_reset con el correo o teléfono de la víctima para tomar control de la cuenta. |
| Estrategia | Actualizar inmediatamente a la versión 2026.1000.4054 o superior que corrige esta vulnerabilidad. Revisar los procesos de recuperación de contraseña para asegurar validaciones estrictas de destinatarios y establecer monitorización para detectar usos anómalos de funciones de reseteo. Considerar medidas complementarias como autenticación multifactor para mitigar el riesgo de toma de cuentas en caso de restauración fraudulenta. |
| CVE | CVE-2026-116485 |
| Severidad | CRÍTICA (9.3) |
| Importancia para la empresa | ALTA |
| Publicado | 27/10/2026 04:31 (UTC) |
| Vendor | huangxd- (GitHub repo maintainer) |
| Producto | danmu_api |
| Versiones | Anterior a 1.21.7 |
| Exploit Públicos | Sí |
| Referencia | Repositorio oficial de GitHub |
| Descripción | danmu_api versiones anteriores a la 1.21.7 contiene una vulnerabilidad de omisión de autenticación que permite a atacantes no autenticados modificar la configuración del entorno del servidor cuando se usa el TOKEN por defecto y ADMIN_TOKEN no está configurado. Los atacantes pueden enviar solicitudes POST a /api/env/set, /api/env/add o /api/env/del para establecer ADMIN_TOKEN, bloquear operadores, redirigir OTHER_SERVER o PROXY_URL para ejecutar SSRF (Server Side Request Forgery) y desencadenar redeployment.
Esta vulnerabilidad permite la toma total de control del entorno del servidor sin autenticación previa, facilitando ataques graves como bloqueo de administradores y redirección a servidores maliciosos que comprometen toda la infraestructura. |
| Estrategia | Actualizar danmu_api inmediatamente a la versión 1.21.7 o superior. Asegurar la configuración de ADMIN_TOKEN para evitar uso de valores por defecto y realizar auditoría completa de accesos. Implementar controles de red para proteger endpoints sensibles y monitorizar solicitudes POST inusuales a /api/env/* para detectar posibles intentos de explotación. |
| CVE | CVE-2026-59106 |
| Severidad | CRITICAL (9.3) |
| Importancia para la empresa | ALTA |
| Publicado | 27/10/2026 04:31 (UTC) |
| Vendor | WolfVision |
| Producto | WolfProt Interface |
| Versiones | No especificadas |
| Exploit Públicos | Sí, confirmados |
| Referencia | WolfVision Advisory |
| Descripción | Se ha detectado una vulnerabilidad de seguridad en la implementación de la interfaz WolfProt. La neutralización insuficiente de entradas controladas por el usuario permite que un atacante no autenticado con acceso a la red del servicio vulnerable pueda ejecutar comandos del sistema operativo con los privilegios del servicio afectado.
Esta vulnerabilidad puede ser explotada remotamente sin necesidad de autenticación previa, poniendo en riesgo la integridad y disponibilidad del sistema afectado al permitir ejecución arbitraria de código a nivel de sistema operativo. |
| Estrategia | Aplicar inmediatamente los parches oficiales proporcionados por WolfVision. Limitar el acceso a la interfaz WolfProt solo a redes de confianza y monitorizar actividad inusual. Implementar controles estrictos de firewall y segmentación para evitar accesos no autorizados a esta interfaz. Revisar logs para detección temprana de explotación activa. |
—
He registrado esta información en Supabase para seguimiento mediante el id: a6d3dc9e-0591-4a13-bce7-0f5b31ff6158
| CVE | CVE-2026-59107 |
| Severidad | CRITICAL (9.2) |
| Importancia para la empresa | ALTA |
| Publicado | 27 de octubre de 2026 |
| Vendor | WolfVision |
| Producto | vSolution Matrix (función de intercambio de archivos) |
| Versiones | Dispositivos configurados como estación principal/master con función de intercambio de archivos activada |
| Exploit Públicos | Sí |
| Referencia | WolfVision Advisory |
| Descripción | Se ha identificado una vulnerabilidad de seguridad en la función de intercambio de archivos de vSolution Matrix. Una configuración compartida de confianza criptográfica podría permitir que un atacante que obtenga la clave privada correspondiente se autentique en un dispositivo afectado vía SSH como usuario root. Esta vulnerabilidad solo afecta a dispositivos configurados como estación principal/master con la función de intercambio de archivos habilitada. |
| Estrategia | Actualizar inmediatamente a versiones parcheadas por el fabricante. Desactivar la función de intercambio de archivos si no es imprescindible. Controlar y auditar accesos SSH a dispositivos críticos. Revisar la seguridad y gestión de claves privadas para evitar compromisos. Monitorizar intentos de conexión sospechosos en sistemas afectados. |
| CVE | CVE-2026-65184 |
| Severidad | CRITICAL (9.8) |
| Importancia para la empresa | ALTA |
| Publicado | 27 de octubre de 2026 |
| Vendor | Avocent |
| Producto | ACS8000 wsserver terminal-bridge daemon |
| Versiones | No especificadas, afecta al demonio wsserver con privilegios root |
| Exploit Públicos | Sí, existen exploits públicos reportados |
| Referencia | Avocent ACS8000 Advisory |
| Descripción | El demonio wsserver terminal-bridge con privilegios root construye un comando shell usando campos enviados por cliente a través de WebSocket sin realizar escapado, citación o validación del conjunto de caracteres, y ejecuta el comando con system() y popen(). Además, la ruta de sesión con clave pública no verifica la sesión del appliance.
Esta falla permite que un atacante remoto manipule comandos shell en el sistema con privilegios root, facilitando ejecución remota de código arbitrario y control total del equipo afectado sin autenticación adecuada. |
| Estrategia | Actualizar inmediatamente a la versión corregida que implemente validación y escapado adecuado en la construcción de comandos shell, y refuerce la verificación de sesiones. Aplicar controles adicionales de red para restringir acceso al servicio wsserver y monitorizar tráfico WebSocket sospechoso. Considerar íntegras pruebas de seguridad para evitar ejecución remota no autorizada. |
| CVE | CVE-2026-77055 |
| Severidad | CRÍTICA (9.3) |
| Importancia para la empresa | ALTA |
| Publicado | 27-Octubre-2026 |
| Vendor | boneIO |
| Producto | boneIO black_debian_images |
| Versiones | versiones anteriores a 1.6.0 |
| Exploit Públicos | Sí |
| Referencia | Documentación oficial boneIO black</td |
| Descripción | La imagen black_debian_images de boneIO otorga excesivos privilegios a la cuenta de servicio boneio, incluyendo acceso completo sudo sin contraseña y membresía en el grupo docker. Un atacante local que comprometa al usuario boneio puede escalar privilegios a root. Este problema fue corregido en la versión 1.6.0, eliminando la regla sudoers y la membresía en el grupo docker durante el sellado, con migraciones aplicadas automáticamente en el primer arranque tras la actualización. Las operaciones privilegiadas ahora se controlan mediante helpers con comandos fijos y migraciones firmadas con Ed25519. |
| Estrategia | Priorizar actualización urgente a la versión 1.6.0 o superior que corrige la configuración insegura. Verificar que las migraciones se hayan aplicado correctamente en sistemas desplegados y restringir accesos locales para mitigar intentos de escalada. Monitorizar actividad anómala de privilegios sudo y uso del grupo docker en los hosts afectados. Implementar controles adicionales de seguridad en cuentas de servicio locales. |
—
| CVE | CVE-2026-77055 |
| Severidad | CRÍTICA (9.3) |
| Importancia para la empresa | ALTA |
| Publicado | 27-10-2026 |
| Vendor | boneIO |
| Producto | boneIO black_debian_images |
| Versiones Afectadas | versiones anteriores a 1.6.0 |
| Exploit Públicos | Sí |
| Referencia | Documentación oficial boneIO black</td |
| Descripción | La imagen boneIO black_debian_images concede excesivos privilegios a la cuenta boneio, incluyendo sudo sin contraseña y pertenencia al grupo docker, permitiendo a un atacante local escalar a root. Corregido en la versión 1.6.0 removiendo estos permisos y aplicando migraciones firmadas. |
| Estrategia | Actualizar urgentemente a la versión 1.6.0, verificar aplicación de migraciones, restringir accesos locales privilegiados y monitorizar usos inusuales sudo/docker. |
| CVE | CVE-2026-93328 |
| Severidad | CRÍTICA (9.3) |
| Importancia para la empresa | ALTA |
| Publicado | 27 de octubre de 2026 |
| Vendor | |
| Producto | Google Cloud MCP Toolbox for Databases (googleapis/mcp-toolbox) |
| Versiones | 1.2.0 hasta 1.4.0 |
| Exploit Públicos | Sí |
| Referencia | Pull request de corrección en GitHub |
| Descripción | Esta vulnerabilidad en Google Cloud MCP Toolbox para bases de datos permite a un atacante remoto no autenticado explotar un Path Traversal y la falta de autorización para extraer archivos del host hacia buckets externos de Google Cloud Storage y sobrescribir archivos locales arbitrarios usando parámetros especialmente diseñados en la invocación de la herramienta. Afecta a las versiones 1.2.0 hasta 1.4.0. |
| Estrategia | Aplicar sin demora la actualización a una versión corregida superior a la 1.4.0. Además, limitar el acceso a la herramienta para evitar invocaciones no autorizadas y monitorizar accesos y movimientos inusuales en los buckets y archivos locales para detectar intentos de explotación activos. |
—
He insertado el registro en la base de datos Supabase con los siguientes campos:
CVE: CVE-2026-93328
Fecha publicación: 2026-10-27T04:31:56.39213+00:00
Severidad: CRITICAL (9.3)
Fabricante: Google
Producto: Google Cloud MCP Toolbox for Databases (googleapis/mcp-toolbox)
Versiones afectadas: 1.2.0 a 1.4.0
Exploit públicos: Sí
Referencia: https://github.com/googleapis/mcp-toolbox/pull/3454
| CVE | CVE-2026-112346 |
| Severidad | CRITICAL (9.3) |
| Importancia para la empresa | ALTA |
| Publicado | 27 octubre 2026, 04:31 (UTC) |
| Vendor | OpenHands |
| Producto | Software Agent SDK |
| Versiones | Versiones anteriores a 1.52.0 |
| Exploit Públicos | Sí |
| Referencia | Repositorio oficial de OpenHands Software Agent SDK |
| Descripción | OpenHands Software Agent SDK versiones anteriores a la 1.52.0 contiene una vulnerabilidad de ejecución remota de código sin autenticación donde los lanzadores DockerWorkspace y Apptainer enlazan el servidor del agente sandbox a todas las interfaces de red (0.0.0.0) con una lista vacía de session_api_keys, deshabilitando la autenticación por defecto. Los atacantes que puedan alcanzar el puerto del contenedor publicado pueden enviar peticiones HTTP y WebSocket no autenticadas para ejecutar comandos shell arbitrarios como root en el sandbox, acceder al workspace montado y leer secretos en texto plano del almacén de secretos. |
| Estrategia | Actualizar inmediatamente a la versión 1.52.0 o superior que corrige esta vulnerabilidad. Restringir el acceso a los puertos expuestos sólo a redes confiables y aplicar controles de firewall para limitar conexiones no autorizadas. Monitorizar tráfico y logs para detectar intentos de explotación y no exponer servicios sensibles directamente a internet. |
| CVE | CVE-2026-115905 |
| Severidad | CRITICAL (10) |
| Importancia para la empresa | ALTA |
| Publicado | 27 octubre 2026, 04:31 (UTC) |
| Vendor | zip-rs |
| Producto | zip (librería para Rust) |
| Versiones | Hasta 9.0.4 inclusive |
| Exploit Públicos | Sí |
| Referencia | Github Commit Security Advisory |
| Descripción | zip es una librería ZIP para Rust que soporta lectura y escritura de archivos ZIP simples. Hasta la versión 9.0.4, ZipArchive considera los nombres de archivo en el Central Directory File Header como autoridad, mientras que ZipStreamReader extrae usando los nombres del Local File Header sin reconciliar los metadatos duplicados en src/read/stream.rs. Un archivo ZIP especialmente manipulado puede aparentar ser benigno para un componente que inspecciona el directorio central, pero causar que un extractor en streaming escriba una ruta y contenido diferentes elegidos por un atacante, potencialmente sobrescribiendo archivos usados por servicios posteriores. El problema se corrige en la versión 9.0.5. |
| Estrategia | Actualizar de inmediato la librería zip a la versión 9.0.5 o superior. Revisar los procesos que extraen archivos ZIP para detectar posibles sobrescrituras no autorizadas y aplicar controles de validación estrictos sobre rutas y contenidos extraídos. Monitorizar indicadores de compromiso y explotación activos. |
—
He registrado esta información en Supabase para su seguimiento y gestión interna.
| CVE | CVE-2026-102649 |
| Severidad | CRÍTICA (9.9) |
| Importancia para la empresa | ALTA |
| Publicado | 27 Octubre 2026 |
| Vendor | Padok Team |
| Producto | Burrito (Terraform Automation Collaboration Software – TACoS) Kubernetes Operator |
| Versiones | Todas anteriores a 0.13.0 |
| Exploit Públicos | Sí |
| Referencia | GitHub security advisory</td |
| Descripción | Burrito es un operador Kubernetes para TACoS que en versiones anteriores a la 0.13.0 permite que el endpoint POST /api/webhook acepte eventos de GitHub y GitLab sin firma ni verificación si las credenciales de TerraformRepository omiten o dejan vacío webhookSecret. Esto permite a un atacante que conozca la URL del repositorio forjar eventos para crear o eliminar recursos TerraformPullRequest con parámetros manipulados. La vulnerabilidad puede causar la ejecución no autorizada de terraform plan en ramas arbitrarias, exponiendo así planes de infraestructura y comentarios en pull requests reales con cambios falsos. La autoaplicación está deshabilitada, pero es posible ejecutar código en tiempo de plan autorizado con las credenciales del operador almacenadas. La vulnerabilidad se corrige a partir de la versión 0.13.0. |
| Estrategia | Aplicar inmediatamente la actualización a la versión 0.13.0 o superior de Burrito. Revisar que las credenciales de repositorios incluyan un webhookSecret válido para forzar la verificación de eventos. Monitorizar el tráfico al endpoint /api/webhook para detectar patrones inusuales o intentos de forjar eventos. Limitar el acceso a burrito-server solo a fuentes autorizadas y auditar la configuración del operador y permisos de GitHub/GitLab. |
| CVE | CVE-2026-10757 |
| Severidad | CRITICAL (9.8) |
| Importancia para la empresa | ALTA |
| Publicado | 27 Octubre 2026 |
| Vendor | Esri |
| Producto | ArcGIS Server |
| Versiones | 12.1 y anteriores (incluye 12.1, 12.0, 11.5, 11.3, 11.1) |
| Exploit Públicos | Sí |
| Referencia | Boletín de Seguridad Esri Octubre 2026 |
| Descripción | Existe una vulnerabilidad de inyección SQL en Esri ArcGIS Server versión 12.1 y anteriores en Windows y Linux que permite a un atacante remoto con privilegios para acceder al servicio (que podría incluir un atacante anónimo si el servicio está configurado en acceso público no predeterminado) ejecutar funciones específicas de la base de datos que no deberían permitirse. Existe un parche disponible para las versiones en soporte general y extendido. |
| Estrategia | Priorizar la aplicación inmediata del parche oficial para las versiones soportadas (12.1, 12.0, 11.5, 11.3, 11.1). Asegurar la correcta configuración de acceso a servicios para evitar accesos anónimos no autorizados. Monitorizar logs para detectar intentos de inyección SQL y restringir accesos remotos según mínimo privilegio. |
| CVE | CVE-2026-110720 |
| Severidad | CRITICAL (9.9) |
| Importancia para la empresa | ALTA |
| Publicado | 27/10/2026 |
| Vendor | HashiCorp |
| Producto | consul-k8s |
| Versiones | 0.42.0 y posteriores hasta antes de 2.1.0 y 1.8.18 |
| Exploit Públicos | Sí |
| Referencia | HashiCorp Advisory |
| Descripción | consul-k8s versiones 0.42.0 y posteriores son vulnerables a una omisión de autorizaciones entre namespaces en las reglas de vinculación ACL, que puede permitir a un atacante obtener privilegios elevados dentro de Consul. Esta vulnerabilidad (CVE-2026-110720) está corregida en consul-k8s 2.1.0 y 1.8.18. |
| Estrategia | Actualizar inmediatamente a consul-k8s versión 2.1.0 o 1.8.18. Reforzar revisiones de configuración ACL y monitorizar accesos inusuales para detectar posibles intentos de explotación que podrían estar en marcha. |
*****
(Se realiza inserción en Supabase de CVE-2026-110720 con severidad 9.9, importancia ALTA, HashiCorp, consul-k8s, versiones 0.42.0+, exploit público: Sí)
| CVE | CVE-2026-116508 |
| Severidad | CRITICAL (9.3) |
| Importancia para la empresa | ALTA |
| Publicado | 27 de octubre de 2026, 04:31 (UTC) |
| Vendor | TOTOLINK |
| Producto | TOTOLINK A950RG |
| Versiones | 4.1.2cu.5268_B20221104 |
| Exploit Públicos | Sí, existe exploit público |
| Referencia | Gist Advisory |
| Descripción | Se ha descubierto una vulnerabilidad crítica en TOTOLINK A950RG versión 4.1.2cu.5268_B20221104 en la función sub_402340 del archivo infostat.cgi del componente Device-Information CGI. La manipulación del argumento CONTENT_LENGTH provoca un desbordamiento de búfer basado en pila (stack-based buffer overflow) que permite la explotación remota. El exploit ya está publicado y puede ser utilizado para ataques. |
| Estrategia | Actualizar inmediatamente el firmware a una versión parcheada proporcionada por TOTOLINK. En caso de no estar disponible, restringir el acceso a la interfaz CGI afectada mediante firewall o segmentación de red. Monitorizar logs y tráfico sospechoso para detectar explotaciones activas. |
*****
[Se ha registrado la vulnerabilidad en Supabase con los parámetros indicados para seguimiento interno.]
| CVE | CVE-2026-116747 |
| Severidad | CRÍTICA (9.2) |
| Importancia para la empresa | ALTA |
| Publicado | 27 de octubre de 2026 |
| Vendor | Kener |
| Producto | Kener |
| Versiones | versiones anteriores a 4.1.10 (desde la 3.0.0 hasta antes de 4.1.10) |
| Exploit Públicos | Sí, confirmados |
| Referencia | Repositorio oficial Kener |
| Descripción | Kener 3.0.0 anterior a 4.1.10 contiene una vulnerabilidad de omisión de autenticación que permite a atacantes no autenticados falsificar tokens de sesión usando la clave DUMMY_SECRET por defecto. Cuando la variable KENER_SECRET_KEY está vacía o no configurada, un atacante conociendo un correo electrónico de administrador puede firmar una cookie kener-user para acceder a /manage/api con privilegios administrativos totales o falsificar tokens de restablecimiento de contraseña. |
| Estrategia | Actualizar inmediatamente a la versión 4.1.10 o superior que elimina la clave DUMMY_SECRET fallback y obliga a configurar correctamente KENER_SECRET_KEY. Revisar las configuraciones actuales para asegurar que KENER_SECRET_KEY está establecida con un valor seguro y único. Monitorizar accesos administrativos y actividades sospechosas en /manage/api. Implementar controles adicionales de detección de acceso no autorizado mientras se parchea. |
—–
**Evaluación concreta:**
Este CVE representa un riesgo real y crítico para la empresa dado que permite a atacantes no autenticados obtener acceso completo administrativo a la plataforma mediante la explotación de una clave secreta por defecto (fallback). Se están confirmando exploits públicos, por lo que la vulnerabilidad podría estar siendo activamente explotada. Se recomienda priorizar su mitigación de forma urgente.
Enviar a un amigo:
