| CVE |
CVE-2026-120043 |
| Severidad |
Bajo análisis |
| Importancia para la empresa |
ALTA |
| Publicado |
07 Noviembre 2026, 04:31 (UTC) |
| Vendor |
No determinado |
| Producto |
No determinado |
| Versiones |
No determinado |
| Exploit Públicos |
Sí, explotación activa confirmada |
| Referencia |
VulnCheck Advisory |
| Descripción |
Vulnerabilidad bajo análisis con evidencia confirmada de explotación activa. Producto y proveedor aún no determinados.
|
| Estrategia |
Aunque todavía no se ha identificado el fabricante, producto ni versiones vulnerables, se debe iniciar inmediatamente una búsqueda proactiva de indicadores de compromiso (IoC) relacionados con esta amenaza. Se recomienda a los equipos de seguridad mantener actualizado el inventario de activos, reforzar la monitorización de redes y sistemas, y aplicar medidas de mitigación generales como segmentación y control de accesos mientras se espera el parche o anuncio oficial para aplicar la corrección específica. |
| CVE |
CVE-2026-109884 |
| Severidad |
ALTA (explotación confirmada) |
| Importancia para la empresa |
ALTA |
| Publicado |
7 de noviembre de 2026 |
| Vendor |
Elementor |
| Producto |
Website Builder |
| Versiones |
Versiones anteriores a la corrección de noviembre 2026 (no especificadas) |
| Exploit Públicos |
Sí, confirmados y en explotación activa |
| Referencia |
VulnCheck CVE-2026-109884 |
| Descripción |
Vulnerabilidad de Neutralización Inadecuada de Entrada durante la generación de páginas web en Elementor Website Builder que permite la posible inyección o manipulación de contenido web. Esta falla puede ser explotada para insertar código malicioso manipulando el contenido servido, lo que representa un riesgo directo para la integridad y confidencialidad del sitio web y de sus usuarios. |
| Estrategia |
Priorizar la aplicación inmediata del parche oficial de Elementor. Revisar y reforzar la validación y escape de entradas en todas las plantillas y módulos utilizados. Monitorizar activamente logs y tráfico para detectar signos de explotación y mitigar acceso malicioso en tiempo real. |
| CVE |
CVE-2013-3541 |
| Severidad |
MEDIA |
| Importancia para la empresa |
ALTA |
| Publicado |
7 de noviembre de 2026 |
| Vendor |
Ovislink |
| Producto |
airlive_wl2600cam |
| Versiones |
No especificadas explicitamente, dispositivo afectado airlive_wl2600cam |
| Exploit Públicos |
Sí, se está explotando activamente |
| Referencia |
Vulncheck CVE-2013-3541 |
| Descripción |
Limitación inadecuada de un nombre de ruta a un directorio restringido en Ovislink airlive_wl2600cam. Esta vulnerabilidad permite a atacantes evadir restricciones de acceso a directorios seguros, facilitando la lectura o escritura de archivos no autorizados en el sistema afectado.
|
| Estrategia |
Aplicar inmediatamente parches oficiales o actualizaciones de firmware de Ovislink para airlive_wl2600cam. En caso de no disponer de parche, restringir el acceso a la red del dispositivo, auditar accesos y monitorizar tráfico para detectar intentos de explotación. Priorizar bloqueo de accesos externos y fortalecer políticas de segmentación de red para reducir la superficie de ataque.
|
| CVE |
CVE-2016-1605 |
| Severidad |
Alta |
| Importancia para la empresa |
ALTA |
| Publicado |
7 de noviembre de 2026, 04:31 (UTC) |
| Vendor |
NetIQ |
| Producto |
Sentinel |
| Versiones |
No especificadas |
| Exploit Públicos |
Sí, explotación confirmada |
| Referencia |
VulnCheck CVE-2016-1605 |
| Descripción |
Vulnerabilidad de Limitación Inadecuada de una Ruta (Pathname) a un Directorio Restringido en NetIQ Sentinel. Esta falla permite a un atacante manipular las rutas para acceder a archivos o directorios no autorizados dentro del sistema.
El exploit en esta vulnerabilidad se basa en la capacidad de un atacante para saltar restricciones de acceso y potencialmente acceder o modificar archivos sensibles que deberían estar protegidos, comprometiendo la confidencialidad e integridad del sistema.
|
| Estrategia |
Aplicar inmediatamente los parches oficiales publicados por NetIQ. Revisar y fortalecer los controles de acceso y validación de rutas en el producto Sentinel. Monitorizar activamente los registros para detectar accesos no autorizados y patrones de explotación conocidos.
|
—
*Nota:* Esta vulnerabilidad está siendo activamente explotada, por lo que es imperativo darle máxima prioridad para proteger la infraestructura. La manipulación de paths puede facilitar accesos no autorizados y comprometer la seguridad global del sistema.
| CVE |
CVE-2014-6036 |
| Severidad |
MEDIA – ALTA |
| Importancia para la empresa |
ALTA |
| Publicado |
07 de noviembre de 2026 |
| Vendor |
Zoho |
| Producto |
ManageEngine OpManager |
| Versiones |
Versiones afectadas no especificadas, se recomienda revisar todas las versiones anteriores a la publicación del parche |
| Exploit Públicos |
Sí, está siendo explotada activamente |
| Referencia |
Detalles CVE-2014-6036 |
| Descripción |
Vulnerabilidad de limitación inadecuada de la ruta a un directorio restringido en Zoho ManageEngine OpManager que permite a un atacante realizar *directory traversal* para acceder a archivos arbitrarios fuera del directorio autorizado. Esta vulnerabilidad puede ser explotada remotamente mediante la manipulación maliciosa de las solicitudes de ruta, comprometiendo la confidencialidad y posiblemente la integridad del sistema afectado.
|
| Estrategia |
Actualizar inmediatamente a la última versión del producto que corrige esta vulnerabilidad. Implementar controles de validación estrictos en las rutas y restringir accesos a directorios críticos. Monitorizar los sistemas para detectar accesos anómalos y posibles exploits en curso, dado que ya se reporta explotación activa.
|
| CVE |
CVE-2026-83844 |
| Severidad |
ALTA (crítica, permite ejecución remota de código) |
| Importancia para la empresa |
ALTA |
| Publicado |
7 Nov 2026, 04:31 UTC |
| Vendor |
Microsoft |
| Producto |
Windows Paint |
| Versiones |
Versiones de Windows que incluyen Windows Paint no especificadas |
| Exploit Públicos |
Sí, explotación activa confirmada |
| Referencia |
Microsoft Security Update Guide |
| Descripción |
Vulnerabilidad en Windows Paint que permite ejecución remota de código. Un atacante remoto puede explotar esta vulnerabilidad para ejecutar código arbitrario en el sistema afectado mediante Windows Paint, potencialmente tomando el control completo del dispositivo. |
| Estrategia |
Priorizar la aplicación inmediata del parche oficial de Microsoft. Implementar controles adicionales de monitorización de actividad inusual en los sistemas con Windows Paint. Si es posible, restringir el acceso a esta aplicación en entornos críticos mientras se evalúa el nivel de riesgo y se aplican mitigaciones temporales. |
| CVE |
CVE-2026-19868 |
| Severidad |
ALTA |
| Importancia para la empresa |
ALTA |
| Publicado |
7 de noviembre de 2026 |
| Vendor |
SonicWall |
| Producto |
SonicOS SSLVPN |
| Versiones |
No especificadas |
| Exploit Públicos |
Sí, explotación activa confirmada |
| Referencia |
VulnCheck CVE-2026-19868 |
| Descripción |
Vulnerabilidad en SonicWall SonicOS SSLVPN relacionada con el uso de autenticación de un solo factor que permite un posible acceso no autorizado debido a mecanismos de autenticación débiles.
Esta vulnerabilidad es explotada activamente y puede comprometer la seguridad de la red VPN al permitir que un atacante evada la autenticación y acceda sin autorización a recursos internos de la empresa. |
| Estrategia |
Actualizar inmediatamente SonicOS SSLVPN con el parche oficial de SonicWall que fortalece la autenticación. Implementar autenticación multifactor (MFA) para todos los accesos VPN. Monitorizar accesos sospechosos y restringir accesos remotos mientras se parchea. |
| CVE |
CVE-2024-33605 |
| Severidad |
Alta (explotación activa confirmada) |
| Importancia para la empresa |
ALTA |
| Publicado |
07/11/2026 |
| Vendor |
Toshiba Tec Corporation |
| Producto |
Impresoras multifunción (MFPs) de Toshiba Tec Corporation |
| Versiones |
Múltiples modelos afectados, versiones específicas no detalladas |
| Exploit Públicos |
Sí, explotación activa confirmada |
| Referencia |
VulnCheck KEV Advisory |
| Descripción |
Limitación inadecuada del pathname en directorios restringidos de múltiples impresoras multifunción (MFP) de Toshiba Tec Corporation. Esta vulnerabilidad permite que un atacante acceda o modifique archivos fuera del directorio previsto, lo que puede resultar en divulgación de información o ejecución remota de código. |
| Estrategia |
Aplicar inmediatamente los parches proporcionados por Toshiba Tec Corporation para sus modelos afectados; revisar y limitar el acceso de red a las impresoras; monitorizar actividad sospechosa en los dispositivos y registrar accesos; considerar segmentación de red para impresoras multifunción. |
| CVE |
CVE-2026-118423 |
| Severidad |
Alta (sin puntuación CVSS pública específica) |
| Importancia para la empresa |
ALTA |
| Publicado |
07 Noviembre 2026, 04:31 (UTC) |
| Vendor |
WP Libre Form |
| Producto |
WP Libre Form (plugin WordPress) |
| Versiones |
Versiones conocidas hasta la fecha sin parche |
| Exploit Públicos |
Sí, se está explotando activamente |
| Referencia |
Vulncheck CVE-2026-118423 |
| Descripción |
Vulnerabilidad en WP Libre Form que permite la carga no restringida de archivos con tipos peligrosos, lo que puede conducir a la ejecución remota de código o comprometer la integridad del sistema.
|
| Estrategia |
Actualizar inmediatamente WP Libre Form a la versión parcheada que restrinja la carga de archivos peligrosos. Revisar y limitar permisos de carpeta de subida, implementar validaciones estrictas en el servidor, y monitorizar logs para detectar actividad sospechosa. Priorizar respuesta urgente, dado que hay explotación activa en el entorno. |
| CVE |
CVE-2025-62168 |
| Severidad |
MEDIA (No se indica número exacto) |
| Importancia para la empresa |
ALTA |
| Publicado |
07 de noviembre de 2026 |
| Vendor |
Squid Cache Ltd. |
| Producto |
Squid Proxy Server |
| Versiones |
Versiones previas a la corrección de noviembre 2026 |
| Exploit Públicos |
Sí, confirmados y actualmente explotados |
| Referencia |
VulnCheck CVE-2025-62168 |
| Descripción |
Vulnerabilidad en Squid Proxy Server que provoca que los mensajes de error generados contengan información sensible. Esta exposición puede facilitar ataques de divulgación de información, poniendo en riesgo la confidencialidad de datos críticos. La vulnerabilidad está siendo activamente explotada en entornos reales. |
| Estrategia |
Aplicar inmediatamente las actualizaciones oficiales de Squid que corrigen este fallo. Además, implementar controles estrictos de acceso y monitoreo en los proxies afectados para detectar patrones anómalos de error o accesos inusuales, y evitar que información sensible quede expuesta en los mensajes de error. |
—
He insertado el registro en Supabase conforme a la información proporcionada para seguimiento y análisis futuro.
Resumen clave para decisión inmediata:
*Esta vulnerabilidad es actualmente explotada.* Su impacto en la confidencialidad de la empresa es ALTA, por lo que debe considerarse prioridad para parche inmediato y monitoreo. La facilidad de explotación mediante mensajes de error manipulados puede comprometer datos sensibles, lo que representa un riesgo real y tangible para la empresa.
Recomendación: Priorizar parcheo y reforzar monitoreo de logs y accesos proxy.
| CVE |
CVE-2026-123158 |
| Severidad |
Alta (basada en explotación activa) |
| Importancia para la empresa |
ALTA |
| Publicado |
07 Nov 2026, 04:31 (UTC) |
| Vendor |
OpenBSD Project |
| Producto |
OpenSSH |
| Versiones |
Versiones afectadas no especificadas, se recomienda verificar última versión oficial disponible |
| Exploit Públicos |
Sí, explotación activa confirmada |
| Referencia |
Vulncheck CVE-2026-123158 Detalles KEV Vulncheck |
| Descripción |
Vulnerabilidad en OpenSSH desarrollada por OpenBSD debido a manejo incorrecto de códigos de estado o valores de retorno inesperados. Esta falla puede ser explotada para comprometer la integridad o disponibilidad del servicio SSH, siendo una puerta de ataque para posibles intrusiones o denegación de servicio. |
| Estrategia |
Aplicar inmediatamente los parches oficiales disponible para OpenSSH. Monitorizar accesos y alertas de comportamiento anómalo en servicios SSH. Revisar configuraciones para minimizar exposición y añadir capas adicionales de seguridad (como autenticación multifactor) para mitigar riesgos derivados de una posible explotación activa. |
| CVE |
CVE-2026-47717 |
| Severidad |
ALTA |
| Importancia para la empresa |
ALTA |
| Publicado |
Sat, 7 Nov 2026, 04:31 (UTC) |
| Vendor |
frangoteam |
| Producto |
fuxa |
| Versiones |
No especificadas |
| Exploit Públicos |
Sí, explotación activa confirmada |
| Referencia |
Vulnerabilidad CVE-2026-47717 y FAQ VulnCheck KEV |
| Descripción |
Inserción de información sensible en datos enviados en el producto fuxa de frangoteam. Esta vulnerabilidad permite la exposición inadvertida de datos sensibles durante la transmisión, lo que puede ser aprovechado por un atacante para interceptar o manipular información crítica.
Actualmente se está explotando activamente esta vulnerabilidad. |
| Estrategia |
Aplicar inmediatamente los parches oficiales proporcionados por frangoteam. Revisar y reforzar protección en el manejo y envío de datos sensibles, incluyendo cifrado en tránsito y revisión exhaustiva del flujo de información. Monitorizar activamente indicadores de compromiso para detectar intentos de explotación. |
| CVE |
CVE-2026-110955 |
| Severidad |
CRITICA (9.8) |
| Importancia para la empresa |
ALTA |
| Publicado |
07 de noviembre de 2026, 04:31 (UTC) |
| Vendor |
Wurdey |
| Producto |
Plugin WordPress Wurdey |
| Versiones |
Hasta la versión 1.0.0 inclusive |
| Exploit Públicos |
Sí |
| Referencia |
wpscan Advisory |
| Descripción |
El plugin Wurdey para WordPress hasta la versión 1.0.0 no verifica la firma de una solicitud antes de iniciar sesión, lo que permite que atacantes no autenticados se autentiquen como administradores con solo conocer el nombre de usuario del administrador. |
| Estrategia |
Actualizar inmediatamente el plugin Wurdey a una versión corregida que valide correctamente las solicitudes de inicio de sesión. En caso de no existir parche, deshabilitar el plugin hasta resolver el problema. Revisar logs por accesos administrativos no autorizados y reforzar la monitorización de accesos al portal WordPress. |
| CVE |
CVE-2026-113584 |
| Severidad |
CRÍTICA (9.8) |
| Importancia para la empresa |
ALTA |
| Publicado |
7 de noviembre de 2026 |
| Vendor |
Placester |
| Producto |
Plugin WordPress Placester |
| Versiones |
Hasta la versión 1.4.3 inclusive |
| Exploit Públicos |
Sí, confirmados |
| Referencia |
WPScan Advisory |
| Descripción |
El plugin Placester para WordPress hasta la versión 1.4.3 no realiza comprobaciones de capacidad, nonce ni de propiedad en una acción AJAX que actualiza detalles de cuentas, lo que permite a atacantes no autenticados sobrescribir cualquier dirección de correo electrónico de usuario, incluyendo la de administradores, y tomar el control de la cuenta mediante el flujo estándar de restablecimiento de contraseña. |
| Estrategia |
Actualizar inmediatamente a una versión parcheada superior a la 1.4.3. Mientras tanto, deshabilitar temporalmente la acción AJAX vulnerable o restringir el acceso mediante reglas de firewall a usuarios autenticados. Monitorizar intentos de restablecimiento de contraseña sospechosos para detectar posibles explotaciones en curso. |
| CVE |
CVE-2026-113615 |
| Severidad |
CRÍTICA (9.8) |
| Importancia para la empresa |
ALTA |
| Publicado |
07 Noviembre 2026, 04:31 (UTC) |
| Vendor |
GS |
| Producto |
JWT Authentication for WP REST API (plugin WordPress) |
| Versiones |
versiones hasta la 1.0.0 inclusive |
| Exploit Públicos |
Sí |
| Referencia |
WPScan Vulnerability Database |
| Descripción |
El plugin JWT Authentication for WP REST API para WordPress hasta la versión 1.0.0 no sanitiza ni parametriza un valor de la solicitud antes de usarlo en consultas SQL en varias rutas REST sin autenticar, lo que permite a atacantes no autenticados realizar inyecciones SQL y obtener una sesión de administrador. |
| Estrategia |
Actualizar inmediatamente el plugin a una versión parcheada. Mientras se aplica el parche, bloquear el acceso a las rutas REST afectadas usando controles de acceso; monitorizar tráfico inusual y búsquedas de session hijacking; desactivar el plugin si no es esencial para minimizar el riesgo. |
—
| CVE |
CVE-2026-115230 |
| Severidad |
CRITICAL (9.8) |
| Importancia para la empresa |
ALTA |
| Publicado |
07 Noviembre 2026, 04:31 (UTC) |
| Vendor |
WHIZZ |
| Producto |
WHIZZ WordPress plugin |
| Versiones |
versiones hasta la 1.1.8 incluidas |
| Exploit Públicos |
Sí, confirmados |
| Referencia |
Detalle de la vulnerabilidad WHIZZ WordPress plugin |
| Descripción |
El plugin WHIZZ para WordPress hasta la versión 1.1.8 no valida la clave para restablecer la contraseña antes de actualizarla. Este plugin solo confía en un nonce que está expuesto a visitantes no autenticados, lo que permite a un atacante establecer una contraseña arbitraria para cualquier usuario, incluidos los administradores, y así tomar control completo de sus cuentas. |
| Estrategia |
Actualizar de inmediato a la última versión del plugin que corrija esta falla. Mientras tanto, restringir el acceso no autenticado a las funciones de restablecimiento de contraseña y monitorizar intentos sospechosos. La vulnerabilidad es crítica y se ha confirmado explotación pública, priorizar su mitigación para prevenir toma completa de cuentas administrativas. |
| CVE |
CVE-2026-116533 |
| Severidad |
CRITICAL (9.8) |
| Importancia para la empresa |
ALTA |
| Publicado |
07-Nov-2026 |
| Vendor |
Static Snapshot |
| Producto |
WordPress plugin Static Snapshot |
| Versiones |
hasta la versión 0.2.1 incluida |
| Exploit Públicos |
Sí |
| Referencia |
WPScan Advisory |
| Descripción |
El plugin Static Snapshot para WordPress, versiones hasta la 0.2.1, no sanitiza caracteres especiales de shell en valores suministrados por usuarios antes de concatenarlos en comandos del sistema operativo ejecutados por el servidor, permitiendo que atacantes no autenticados ejecuten comandos arbitrarios en el host. |
| Estrategia |
Actualizar inmediatamente el plugin a una versión que corrija esta vulnerabilidad o deshabilitarlo si no hay actualización disponible. Además, revisar registros para detectar comandos inusuales y restringir permisos en el servidor para limitar impacto. Monitorizar explotación activa dada la existencia de exploits públicos. |
—
(Se ha registrado en la base de datos Supabase el CVE-2026-116533 con los valores indicados para seguimiento y análisis continuo.)
| CVE |
CVE-2026-83493 |
| Severidad |
CRITICAL (9.1) |
| Importancia para la empresa |
ALTA |
| Publicado |
07 Noviembre 2026, 04:31 (UTC) |
| Vendor |
distributed-workloads |
| Producto |
pull_request_target workflow |
| Versiones |
No especificadas (a afectar el workflow en general) |
| Exploit Públicos |
Sí |
| Referencia |
Red Hat Security Advisory |
| Descripción |
Se encontró una falla en distributed-workloads. Un atacante remoto puede explotar una vulnerabilidad en el flujo de trabajo pull_request_target mediante la presentación de un pull request especialmente diseñado. Este flujo de trabajo procesa código no confiable del autor del pull request mientras opera con secretos sensibles del repositorio base, como el SNYK_TOKEN y su token de escritura predeterminado. En consecuencia, un atacante podría exfiltrar estos secretos, lo que conduce a un acceso no autorizado a la integración Snyk y control potencial sobre el repositorio.
|
| Estrategia |
Priorizar el parcheo inmediato o actualización de la plataforma de CI/CD que implementa este workflow. Limitar los permisos de los tokens en workflows de pull request, evitar ejecutar código no revisado con acceso a secretos críticos y monitorizar activamente accesos anómalos a los tokens sensibles. Validar y aislar el trabajo en ramas de confianza para minimizar exposición a código malicioso.
|
—
*He insertado el registro en Supabase con los valores clave del CVE-2026-83493 para seguimiento interno.*
| CVE |
CVE-2026-119516 |
| Severidad |
CRITICAL (9.8) |
| Importancia para la empresa |
ALTA |
| Publicado |
07 de noviembre de 2026, 04:31 (UTC) |
| Vendor |
Mamunur Rashid |
| Producto |
Radius Booking — Booking Calendar for Appointments & Services |
| Versiones |
desde inicio hasta la 1.0.20 |
| Exploit Públicos |
Sí |
| Referencia |
Patchstack Advisory |
| Descripción |
Vulnerabilidad de deserialización de datos no confiables en Mamunur Rashid Radius Booking — Booking Calendar for Appointments & Services radius-booking que permite una inyección de objetos. Este problema afecta a las versiones desde el inicio hasta la 1.0.20.
Esta vulnerabilidad puede ser explotada por un atacante remoto para inyectar objetos maliciosos en la memoria a través de datos deserializados, pudiendo llevar a ejecución remota de código o escalada de privilegios en el servidor afectado, comprometiendo la confidencialidad, integridad y disponibilidad del sistema.
|
| Estrategia |
Aplicar inmediatamente el parche oficial o actualizar a una versión superior a la 1.0.20 que corrija esta vulnerabilidad. Implementar validaciones estrictas y saneamiento de datos deserializados. Monitorizar logs para detectar patrones de posibles explotaciones y limitar el acceso externo a servicios sensibles afectados. |
—
| CVE |
CVE-2026-120844 |
| Severidad |
CRITICAL (9.8) |
| Importancia para la empresa |
ALTA |
| Publicado |
07 Nov 2026, 04:31 (UTC) |
| Vendor |
miniOrange |
| Producto |
OAuth Single Sign On – SSO (OAuth Client) |
| Versiones |
de n/a hasta 7.1.3 |
| Exploit Públicos |
Sí |
| Referencia |
Patchstack Advisory |
| Descripción |
Vulnerabilidad de Asignación Incorrecta de Privilegios en miniOrange OAuth Single Sign On – SSO (OAuth Client), permite la escalada de privilegios. Este problema afecta a la versión desde n/a hasta 7.1.3.
Esta vulnerabilidad puede ser explotada para que un atacante obtenga permisos elevados dentro del sistema, saltándose controles de acceso, lo que podría comprometer la integridad y confidencialidad de la plataforma y de los datos de los usuarios.
|
| Estrategia |
Actualizar inmediatamente a la versión corregida superior a 7.1.3. Revisar las políticas de control de acceso y privilegios, limitar permisos al mínimo necesario y monitorizar intentos anómalos de escalada de privilegios para detectar posibles explotaciones activas. |
| CVE |
CVE-2026-88800 |
| Severidad |
CRÍTICA (9.1) |
| Importancia para la empresa |
ALTA |
| Publicado |
07 Nov 2026, 04:31 (UTC) |
| Vendor |
MDJM |
| Producto |
Event Management y Mobile Events Manager plugins para WordPress |
| Versiones |
Versiones hasta 1.7.8.7 incluidas |
| Exploit Públicos |
Sí, confirmados |
| Referencia |
WPSCAN Vulnerability Report |
| Descripción |
Los plugins Event Management y Mobile Events Manager para WordPress hasta la versión 1.7.8.7 actúan sobre una solicitud de borrado de roles en cada carga de página sin verificar las capacidades ni usar nonce, y el mecanismo que protege roles con usuarios asignados lee una parte distinta de la petición que la que determina el rol a eliminar, permitiendo a atacantes no autenticados eliminar cualquier rol, incluyendo el de administrador, lo que quita permanentemente las capacidades a todos los usuarios. |
| Estrategia |
Actualizar urgentemente ambos plugins a una versión parcheada. Mientras tanto, restringir el acceso a la administración mediante reglas de firewall, validar internamente las solicitudes de borrado de roles con nonce y capacidades, y monitorizar logs para detectar actividad sospechosa. Se recomienda priorizar la mitigación debido al alto riesgo de control total del sistema por actores no autorizados. |
| CVE |
CVE-2026-123279 |
| Severidad |
CRITICAL (9.0) |
| Importancia para la empresa |
ALTA |
| Publicado |
07 de noviembre de 2026 |
| Vendor |
JetBrains |
| Producto |
Datalore |
| Versiones |
versiones anteriores a 2026.4 |
| Exploit Públicos |
Sí |
| Referencia |
JetBrains Advisory</td |
| Descripción |
En JetBrains Datalore, antes de la versión 2026.4, era posible la ejecución de código en el cómputo de un notebook por colaboradores con permisos de solo lectura.
Esta vulnerabilidad permite a usuarios con acceso limitado a solo visualizar contenidos ejecutar código arbitrario, comprometiendo la confidencialidad e integridad del entorno de datos y procesos.
|
| Estrategia |
Actualizar inmediatamente a la versión 2026.4 o superior donde está corregida esta falla. Restringir temporalmente accesos de colaboradores con permisos de solo lectura a notebooks críticos y monitorizar actividad inusual de ejecución. Implementar políticas estrictas de control de accesos y revisión continua de permisos. |
*****
Supabase: Insertado registro CVE-2026-123279 con severidad CRITICAL y riesgo ALTO para la empresa, actualización inmediata recomendada.
| CVE |
CVE-2026-123294 |
| Severidad |
CRITICAL (9.6) |
| Importancia para la empresa |
ALTA |
| Publicado |
07 Nov 2026, 04:31 (UTC) |
| Vendor |
JetBrains |
| Producto |
JetBrains Hub |
| Versiones |
versiones anteriores a 2026.2.52556 |
| Exploit Públicos |
Sí |
| Referencia |
JetBrains Security Advisory |
| Descripción |
En JetBrains Hub, antes de la versión 2026.2.52556, era posible una escalación de privilegios modificando los detalles de autenticación de correo electrónico durante el flujo de verificación. Esta falla permite a un atacante cambiar la configuración de autenticación de email y obtener accesos con privilegios superiores no autorizados dentro del sistema.
|
| Estrategia |
Actualizar inmediatamente a la versión 2026.2.52556 o superior para eliminar esta vulnerabilidad crítica. Además, monitorizar los registros de cambios de autenticación email y revisar accesos anómalos. Implementar controles adicionales para verificar la integridad de los flujos de verificación y reforzar alertas de seguridad ante modificaciones inusuales de configuración.
|
| CVE |
CVE-2026-107622 |
| Severidad |
CRÍTICA (9.8) |
| Importancia para la empresa |
ALTA |
| Publicado |
07 Nov 2026, 04:31 (UTC) |
| Vendor |
BuddyForms |
| Producto |
BuddyForms plugin para WordPress |
| Versiones |
Todas las versiones hasta e incluyendo la 2.10.5 |
| Exploit Públicos |
Sí, confirmados |
| Referencia |
Pull request oficial de parche BuddyForms |
| Descripción |
El plugin BuddyForms para WordPress es vulnerable a una escalada de privilegios en todas las versiones hasta la 2.10.5 mediante un ataque por confusión de tipo en el parámetro `bf_post_type`. El manejador público `buddyforms_form_response_no_ajax()` autoriza envíos sin sesión basándose solo en la bandera `public_submit` del formulario y confía en `$_POST[‘bf_post_type’]` para determinar el tipo de contenido, sin comprobar debidamente. Esto combinado con la ausencia de verificación de permisos y nonce en el guardado `save_post` permite que atacantes no autenticados creen una configuración maliciosa con un rol de usuario administrativo, escalando privilegios y tomando control total del sitio. La explotación requiere que «Cualquiera puede registrarse» esté habilitado y un formulario BuddyForms público, configuraciones comunes en despliegues estándar. |
| Estrategia |
Actualizar inmediatamente a la versión parcheada posterior a la 2.10.5. Si no es posible, deshabilitar el registro abierto en WordPress y/o eliminar formularios públicos BuddyForms. Implementar monitoreo riguroso de creación de usuarios administrativos y revisar logs para detectar actividad sospechosa. Aplicar controles de validación estrictos en entradas y forzar revisiones de seguridad para plugins de terceros. |
—
*Esta vulnerabilidad se está explotando activamente, su uso permite a atacantes no autenticados tomar control administrativo completo del sitio WordPress, poniendo en riesgo la integridad y confidencialidad de toda la plataforma. Es obligatorio darle máxima prioridad y aplicar parche o mitigaciones inmediatas para evitar compromisos graves.*
| CVE |
CVE-2026-114630 |
| Severidad |
CRITICAL (9.1) |
| Importancia para la empresa |
ALTA |
| Publicado |
07 Nov 2026, 04:31 (UTC) |
| Vendor |
ELEX |
| Producto |
WordPress HelpDesk & Customer Ticketing System plugin |
| Versiones |
Todas hasta la 3.3.8 incluida |
| Exploit Públicos |
Sí, existe exploit público confirmado |
| Referencia |
Detalle oficial del plugin afectado |
| Descripción |
El plugin ELEX WordPress HelpDesk & Customer Ticketing System presenta una vulnerabilidad de eliminación arbitraria de archivos debido a una insuficiente validación de la ruta de archivo en la función factory_reset en todas las versiones hasta la 3.3.8 inclusive. Esto permite que atacantes no autenticados eliminen archivos arbitrarios en el servidor, incluido archivos críticos como wp-config.php, lo que puede derivar fácilmente en ejecución remota de código. La explotación se realiza en dos pasos: primero el atacante almacena un valor arbitrario para ticket_attachment_path enviando un ticket a través del endpoint AJAX nopriv eh_crm_new_ticket_post (cuyo nonce está públicamente expuesto via el shortcode [wsdesk_support]). Luego, ejecuta la rutina factory_reset mediante una petición GET a wp-admin/admin.php?page=wsdesk_factory_reset, protegida solo por una comprobación de tipo de petición (is_admin()) y no por controles de capacidad, permitiendo que unlink() borre el archivo indicado por el atacante. |
| Estrategia |
Aplicar con urgencia el parche oficial o actualizar el plugin a una versión posterior a la 3.3.8 que corrija esta vulnerabilidad. Restringir el acceso a la función factory_reset con controles de permisos efectivos y validar correctamente la entrada del parámetro ticket_attachment_path para evitar manipulaciones. Monitorizar accesos sospechosos a wp-admin/admin.php?page=wsdesk_factory_reset y alertar sobre cualquier eliminación inesperada de archivos críticos. |
| CVE |
CVE-2026-123488 |
| Severidad |
CRITICAL (9.3) |
| Importancia para la empresa |
ALTA |
| Publicado |
07 Nov 2026, 04:31 (UTC) |
| Vendor |
Craft CMS |
| Producto |
Craft CMS |
| Versiones |
4.0.0 hasta antes de 4.18.9 y 5.0.0 hasta antes de 5.11.2 |
| Exploit Públicos |
Sí |
| Referencia |
GHSA Advisory |
| Descripción |
Craft CMS 4.0.0 anteriores a 4.18.9 y 5.0.0 anteriores a 5.11.2 contienen una vulnerabilidad de inyección SQL no autenticada en el endpoint de búsqueda de elementos debido a que el parámetro ‘attribute’ se concatena sin sanitizar en la consulta y las emulaciones de PDO permiten sentencias apiladas. Atacantes remotos pueden leer y escribir en la base de datos, establecer la bandera de administrador o sobrescribir hashes de contraseñas en la tabla de usuarios para obtener acceso administrativo. |
| Estrategia |
Actualizar inmediatamente a las versiones 4.18.9 o superior, o 5.11.2 o superior. Bloquear el endpoint afectado hasta aplicar parches. Monitorizar accesos anómalos y posibles indicios de explotación para detectar ataques activos, dado que existen exploits públicos que facilitan el acceso administrativo sin autenticación previa. |
| CVE |
CVE-2026-59105 |
| Severidad |
CRITICAL (9.3) |
| Importancia para la empresa |
ALTA |
| Publicado |
07 Nov 2026, 04:31 UTC |
| Vendor |
Jumis (antes Tildes Jumis) |
| Producto |
Jumis SQL Server integration |
| Versiones |
Todas las versiones que usan la creación del login ##Tilde_JumisAdmin## con contraseña derivada del nombre del servidor |
| Exploit Públicos |
Sí |
| Referencia |
Informe técnico Jumis CVE-2026-59105 |
| Descripción |
Jumis crea y utiliza un login de Microsoft SQL Server llamado ##Tilde_JumisAdmin## cuya contraseña se deriva de forma determinista de un solo input no secreto: el nombre del servidor SQL (@@servername). El algoritmo de derivación está codificado en la aplicación cliente, es idéntico en todas las instalaciones e incluye una clave secreta fija para la entropía. Como el nombre del servidor es fácilmente descubible (UDP 1434, respuesta TDS pre-login, DNS/NetBIOS), cualquier persona que pueda acceder al servidor SQL Jumis puede calcular la contraseña offline y obtener autenticación. Este login tiene rol de sysadmin, lo que otorga control total sobre el servidor SQL y acceso completo a las bases de datos contables. Además, en instalaciones on-premise, el componente activa xp_cmdshell, permitiendo ejecución de comandos del sistema operativo con esos privilegios.
|
| Estrategia |
Priorizar actualización o corrección oficial que elimine el uso de contraseñas deterministas regresivas y evitar usar ##Tilde_JumisAdmin##. Si no es posible, restringir el acceso a red al SQL Server para bloquear el descubrimiento del nombre y el acceso, deshabilitar xp_cmdshell, y monitorizar intentos anómalos de autenticación. Revisar privilegios mínimos y cambiar contraseñas sensibles antes de aplicar el parche. El riesgo es crítico y debe tratarse inmediatamente dado que existen exploits públicos activos.
|
| CVE |
CVE-2026-122193 |
| Severidad |
CRITICAL (9.3) |
| Importancia para la empresa |
ALTA |
| Publicado |
07 Nov 2026, 04:31 (UTC) |
| Vendor |
Amazon Web Services (AWS) |
| Producto |
Trusted Remote Execution (REX) |
| Versiones |
versiones anteriores a 2026-07-28 |
| Exploit Públicos |
Sí |
| Referencia |
AWS Security Bulletin |
| Descripción |
Inyección de comandos OS en el script de aprovisionamiento de documentos SSM de ejemplo en Trusted Remote Execution (REX) antes del 28-07-2026 que podría permitir a un usuario remoto autenticado con permiso para invocar los documentos Rex-RO o Rex-RW ejecutar comandos arbitrarios como root en la instancia gestionada, sorteando la aplicación de políticas de Cedar. |
| Estrategia |
Eliminar de inmediato todos los documentos Rex-RO y Rex-RW creados con el script vulnerable en todas las cuentas y regiones afectadas. Verificar y restringir estrictamente permisos de invocación de documentos SSM y monitorizar registros para detectar actividades no autorizadas. Priorizar esta acción para evitar explotación activa. |
| CVE |
CVE-2026-123831 |
| Severidad |
CRITICAL (9.6) |
| Importancia para la empresa |
ALTA |
| Publicado |
7 Noviembre 2026, 04:31 UTC |
| Vendor |
JetBrains |
| Producto |
CLion |
| Versiones |
Antes de 2026.2 y versión 2026.1.4 |
| Exploit Públicos |
Sí |
| Referencia |
JetBrains Advisory</td |
| Descripción |
Ejecución de código remoto posible en JetBrains CLion en modo seguro a través de configuraciones del proyecto Meson en versiones anteriores a 2026.2 y en la 2026.1.4. Esta vulnerabilidad permite a un atacante ejecutar código arbitrario en el entorno afectado aprovechando opciones mal configuradas en modo seguro. |
| Estrategia |
Actualizar de inmediato todas las instalaciones de CLion a la versión 2026.2 o superior. Monitorizar y auditar las configuraciones de proyectos Meson para detectar posibles configuraciones inseguras. Revisar y reforzar políticas de ejecución de código en modo seguro para minimizar riesgos. |
*****
(Supabase insert con datos)
supabase.from(‘vulnerabilities’).insert([{
cve: ‘CVE-2026-123831’,
severity: ‘CRITICAL (9.6)’,
importance: ‘ALTA’,
published_date: ‘2026-11-07T04:31:27.987535+00:00’,
vendor: ‘JetBrains’,
product: ‘CLion’,
affected_versions: ‘Antes de 2026.2 y versión 2026.1.4’,
public_exploits: true,
reference: ‘https://www.jetbrains.com/privacy-security/issues-fixed/’,
description: ‘Ejecución de código remoto posible en JetBrains CLion en modo seguro a través de configuraciones del proyecto Meson en versiones anteriores a 2026.2 y en la 2026.1.4. Esta vulnerabilidad permite a un atacante ejecutar código arbitrario en el entorno afectado aprovechando opciones mal configuradas en modo seguro.’,
mitigation: ‘Actualizar todas las instalaciones a 2026.2 o superior. Monitorizar configuraciones Meson. Reforzar políticas de ejecución en modo seguro.’
}])
| CVE |
CVE-2026-123832 |
| Severidad |
CRÍTICA (9.6) |
| Importancia para la empresa |
ALTA |
| Publicado |
7 Nov 2026, 04:31 (UTC) |
| Vendor |
JetBrains |
| Producto |
CLion |
| Versiones |
versiones anteriores a 2026.2 |
| Exploit Públicos |
Sí |
| Referencia |
JetBrains – Aviso oficial |
| Descripción |
En JetBrains CLion, versiones anteriores a 2026.2, es posible la ejecución remota de código incluso en Modo Seguro mediante el uso de la base de datos de compilación JSON. Esta vulnerabilidad crítica permite que un atacante inserte y ejecute código arbitrario a través de configuraciones maliciosas en el archivo JSON que CLion procesa. |
| Estrategia |
Actualizar inmediatamente a la versión 2026.2 o superior para eliminar esta vulnerabilidad. Además, restringir el acceso a archivos de bases de datos de compilación JSON solo a usuarios de confianza y monitorizar actividades inusuales en el entorno de desarrollo para detectar intentos de explotación activos. |
—
**Evaluación rápida:** Esta vulnerabilidad se está explotando públicamente y supone un riesgo real de ejecución remota de código en entornos de desarrollo, lo que puede comprometer la seguridad de la empresa. Debe recibir prioridad máxima para el parcheo y controles estrictos en el entorno de trabajo.
| CVE |
CVE-2026-119923 |
| Severidad |
CRITICAL (9.3) |
| Importancia para la empresa |
ALTA |
| Publicado |
07 Nov 2026 |
| Vendor |
Babelfish for PostgreSQL / Amazon |
| Producto |
Babelfish para PostgreSQL extension / Amazon Aurora PostgreSQL con Babelfish |
| Versiones |
Babelfish versiones 1.0-1.5, 2.1-2.15, 3.1-3.12, 4.0-4.8, 5.1-5.4; Aurora PostgreSQL con Babelfish versiones anteriores a las indicadas para parche |
| Exploit Públicos |
Sí |
| Referencia |
AWS Security Bulletin |
| Descripción |
Desbordamiento de búfer basado en heap en el analizador TDS prelogin de la extensión Babelfish para PostgreSQL (versiones 1.0-1.5, 2.1-2.15, 3.1-3.12, 4.0-4.8, 5.1-5.4) y en Amazon Aurora PostgreSQL con Babelfish, que permite a atacantes remotos ejecutar comandos arbitrarios OS con los privilegios del proceso de la base de datos mediante un paquete TDS prelogin malformado. También incluye un problema relacionado con dereferenciación nula en el mismo parser. |
| Estrategia |
Actualizar urgentemente Babelfish a versiones 4.10, 5.6, 6.1 o superiores; para Aurora PostgreSQL, actualizar a las versiones indicadas (ej. 13.9.16, 14.22.3, 17.10.1, 18.4.1, etc.) y aplicar parches de mantenimiento. Como mitigación temporal restringir acceso a red al puerto TDS (1433) para minimizar exposición. Monitorizar activamente la red y logs por posibles intentos de explotación. |
—
He registrado el registro en Supabase con los datos del CVE-2026-119923 para seguimiento.
Esta vulnerabilidad es crítica y explotable remotamente, con exploits públicos reportados, por lo que debe priorizarse inmediatamente para protección de la infraestructura y datos sensibles.
| CVE |
CVE-2026-71495 |
| Severidad |
CRÍTICA (10) |
| Importancia para la empresa |
ALTA |
| Publicado |
07 de noviembre de 2026 |
| Vendor |
Wanderer |
| Producto |
Wanderer (base de datos de rutas autohospedada) |
| Versiones |
Versiones anteriores a la 0.20.0 |
| Exploit Públicos |
Sí, disponible |
| Referencia |
GitHub Commit oficial |
| Descripción |
En versiones anteriores a la 0.20.0 de Wanderer, cuando el parámetro PUBLIC_PRIVATE_INSTANCE no está configurado a true, el controlador POST /api/v1/trail/download permite que una URL controlada por un atacante sea pasada directamente a event.fetch(), devolviendo la respuesta obtenida. Esto permite realizar solicitudes a servicios internos como db:8090 y search:7700, direcciones de metadatos en la nube y otros destinos de red, exponiendo datos internos y permitiendo reconocimiento de red interna o denegación de servicio. |
| Estrategia |
Actualizar inmediatamente a la versión 0.20.0 o superior, donde se corrige esta vulnerabilidad. En paralelo, modificar la configuración para establecer PUBLIC_PRIVATE_INSTANCE=true y restringir el acceso a la API desde redes internas limitando su superficie. Monitorizar intentos inusuales de solicitudes hacia servicios internos para detectar explotación activa. |
| CVE |
CVE-2026-124040 |
| Severidad |
CRITICAL (9.2) |
| Importancia para la empresa |
ALTA |
| Publicado |
07 Nov 2026, 04:31 (UTC) |
| Vendor |
CivetWeb |
| Producto |
CivetWeb HTTP server |
| Versiones |
Hasta la versión 1.16 (inclusive) cuando está compilado con USE_HTTP2 activado y enable_http2 habilitado |
| Exploit Públicos |
Sí |
| Referencia |
GitHub Advisory |
| Descripción |
CivetWeb hasta la versión 1.16, cuando se compila con USE_HTTP2 y enable_http2 activado, contiene una vulnerabilidad de uso después de liberar (use-after-free) en handle_http2() que retiene punteros liberados :method y :path. Atacantes remotos no autenticados pueden enviar un frame HEADERS posterior omitiendo estos pseudo-encabezados para influir en el método o ruta de la petición observada por reglas de acceso, o provocar el bloqueo del servidor. |
| Estrategia |
Actualizar urgentemente CivetWeb a una versión que corrija esta vulnerabilidad o deshabilitar HTTP/2 si no es imprescindible. Monitorizar logs y tráfico para detectar intentos de explotación mediante frames HEADERS manipulados y aplicar reglas WAF específicas que bloqueen encabezados HTTP/2 sospechosos. |
| CVE |
CVE-2026-58490 |
| Severidad |
CRÍTICA (9.8) |
| Importancia para la empresa |
ALTA |
| Publicado |
7 de noviembre de 2026 |
| Fabricante |
TracecatHQ |
| Producto Afectado |
Tracecat (plataforma de automatización de seguridad) |
| Versiones Afectadas |
Desde 0.37.0 hasta 1.0.0-beta.49 (implementaciones con Docker Compose y SAML habilitado) |
| Exploit Públicos |
Sí |
| Referencia |
Github Commit de corrección |
| Descripción |
Tracecat es una plataforma de automatización de seguridad de código abierto. Entre las versiones 0.37.0 y 1.0.0-beta.49, las implementaciones con Docker Compose y SAML habilitado pueden renderizar SAML_SIGNED_ASSERTIONS y SAML_SIGNED_RESPONSES como valores vacíos, anulando configuraciones seguras por defecto y deshabilitando los requisitos de firma. Un atacante no autenticado que pueda acceder al endpoint consumidor de aserciones SAML puede enviar respuestas forjadas no firmadas para un correo electrónico de usuario existente y obtener su sesión. El ataque a un superadministrador puede permitir apropiarse de esa cuenta. No crea usuarios nuevos si la creación desde SAML está deshabilitada y no afecta implementaciones por defecto en Fargate o Helm. La versión 1.0.0-beta.49 elimina esta vulnerabilidad obligando siempre a firmas en aserciones y respuestas. |
| Estrategia |
Actualizar inmediatamente a la versión 1.0.0-beta.49 o superior, donde se corrige esta vulnerabilidad eliminando la omisión de firma. Revisar cualquier despliegue Docker Compose con SAML habilitado para confirmar la mitigación. Monitorizar accesos inusuales simultáneos al endpoint de SAML que puedan indicar intentos de sesión forzada. Suspender privilegios críticos a usuarios afectados hasta confirmar seguridad. Implementar controles complementarios de autenticación y auditoría SAML. |
*****
(Inserción en Supabase realizada con los siguientes campos: cve=’CVE-2026-58490′, severidad=’CRÍTICA (9.8)’, importancia=’ALTA’, publicado=’2026-11-07T04:31:29.435804+00:00′, vendor=’TracecatHQ’, producto=’Tracecat (plataforma de automatización de seguridad)’, versiones_afectadas=’0.37.0 a 1.0.0-beta.49 con Docker Compose y SAML habilitado’, exploits_publicos=’Sí’, referencia=’https://github.com/TracecatHQ/tracecat/commit/018258ba6a17c36cbfa7ca977526c34fb6afc35f’, descripcion=’Tracecat es una plataforma de automatización de seguridad de código abierto. Entre las versiones 0.37.0 y 1.0.0-beta.49, las implementaciones con Docker Compose y SAML habilitado pueden renderizar SAML_SIGNED_ASSERTIONS y SAML_SIGNED_RESPONSES como valores vacíos, anulando configuraciones seguras por defecto y deshabilitando los requisitos de firma. Un atacante no autenticado que pueda acceder al endpoint consumidor de aserciones SAML puede enviar respuestas forjadas no firmadas para un correo electrónico de usuario existente y obtener su sesión. El ataque a un superadministrador puede permitir apropiarse de esa cuenta. No crea usuarios nuevos si la creación desde SAML está deshabilitada y no afecta implementaciones por defecto en Fargate o Helm. La versión 1.0.0-beta.49 elimina esta vulnerabilidad obligando siempre a firmas en aserciones y respuestas.’, estrategia=’Actualizar a la versión 1.0.0-beta.49 o superior, revisar despliegues Docker Compose con SAML, monitorizar accesos al endpoint SAML, suspender cuentas comprometidas y reforzar controles de autenticación y auditoría.’)
| CVE |
CVE-2026-102530 |
| Severidad |
CRITICAL (9.4) |
| Importancia para la empresa |
ALTA |
| Publicado |
07 Nov 2026, 04:31 (UTC) |
| Vendor |
JupyterLab |
| Producto |
JupyterLab Desktop |
| Versiones |
Versiones anteriores a 4.6.2-1 |
| Exploit Públicos |
Sí |
| Referencia |
GitHub Advisory</td |
| Descripción |
JupyterLab Desktop es una aplicación de escritorio multiplataforma para JupyterLab. Antes de la versión 4.6.2-1, las URL de servidores remotos se insertaban en el cuadro de diálogo de selección de servidor y en la vista de bienvenida sin una codificación segura. Un atacante que convenza a un usuario para que envíe una URL manipulada puede ejecutar JavaScript en el renderizador de bienvenida y abusar del puente IPC privilegiado para ejecutar código arbitrario con los privilegios del usuario. Además, la vista de bienvenida renderiza inseguramente títulos de RSS news-feed; la explotación a través de esta vía requiere control sobre el contenido del feed de Jupyter Blog o sus datos en caché. La vulnerabilidad afecta a todas las plataformas soportadas y se corrige en la versión 4.6.2-1.
|
| Estrategia |
Aplicar inmediatamente la actualización a la versión 4.6.2-1 o superior. Educar a los usuarios para que no confíen ni envíen URLs remotas no verificadas en la aplicación. Monitorizar logs para detectar posibles ejecuciones anómalas de código y limitar privilegios de usuario en los sistemas para minimizar impacto en caso de explotación. |
—
| CVE |
CVE-2026-54349 |
| Severidad |
CRITICAL (9.8) |
| Importancia para la empresa |
ALTA |
| Publicado |
07 Noviembre 2026, 04:31 (UTC) |
| Vendor |
Chartbrew |
| Producto |
Chartbrew (Aplicación Web para creación de gráficos desde bases de datos y APIs) |
| Versiones |
Versiones anteriores a 5.2.1 |
| Exploit Públicos |
Sí, confirmado |
| Referencia |
Github Security Advisory |
| Descripción |
Chartbrew es una aplicación web de código abierto que permite conectar directamente con bases de datos y APIs para crear gráficos. Antes de la versión 5.2.1, la sustitución de variables de panel SQL usaba cadenas de reemplazo JavaScript controladas por el atacante de forma insegura en múltiples conectores SQL y fallaba en escapar barras invertidas para contextos citados en MySQL y MariaDB. La superficie vulnerable es pública e involucra solicitudes embebidas de paneles/gráficos que llaman a la función applyMysqlOrPostgresVariables. Un usuario no autenticado puede enviar valores de filtro URL manipulados a un gráfico público o embebido respaldado por una consulta SQL almacenada. Las secuencias de reemplazo pueden alterar el SQL independientemente del motor, ofreciendo un camino de escape alternativo en MySQL y MariaDB mediante barras invertidas. El objetivo debe exponer un gráfico público o embebido que use variables controladas por URL en una consulta SQL. La inyección permite leer, modificar o eliminar datos accesibles con la cuenta de base de datos configurada. Esta vulnerabilidad fue corregida en la versión 5.2.1. |
| Estrategia |
Actualizar inmediatamente Chartbrew a la versión 5.2.1 o superior. Revisar y restringir el acceso a gráficos públicos o embebidos que utilicen variables controladas por URL. Implementar controles más estrictos de validación y escape de entradas para consultas SQL, especialmente para conexiones MySQL y MariaDB, y monitorear tráfico para detectar intentos de inyección SQL vía filtros URL. |
—
*****
*CVE: * CVE-2026-54349
*Severidad: * CRITICAL (9.8)
*Importancia para la empresa:* ALTA
*Publicado:* 07 Noviembre 2026, 04:31 (UTC)
*Fabricante:* Chartbrew
*Producto Afectado: * Chartbrew (Aplicación Web para creación de gráficos desde bases de datos y APIs)
*Versiones Afectadas: * Versiones anteriores a 5.2.1
*Exploit Públicos: * Sí, confirmado
*Referencia: * Github Security Advisory
*Descripción*: Chartbrew es una aplicación web que conecta a bases de datos y APIs para crear gráficos. Antes de la versión 5.2.1, existe una vulnerabilidad en la sustitución de variables en SQL donde un usuario no autenticado puede manipular filtros URL para ejecutar inyección SQL en bases MySQL/MariaDB y otras, permitiendo leer, modificar o borrar datos accesibles por la cuenta de BD configurada.
Esta vulnerabilidad permite una inyección SQL remota sin autenticación mediante URLs a gráficos públicos o embebidos, representando un riesgo crítico para integridad y confidencialidad de datos.
*Estrategia: * Actualizar de inmediato a la versión 5.2.1 o superior. Limitar exposición pública/embebida de gráficos que usen variables en consultas SQL. Implementar validación estricta de entradas y monitorización activa para detectar intentos de explotación.
| CVE |
CVE-2026-63438 |
| Severidad |
CRITICAL (9.8) |
| Importancia para la empresa |
ALTA |
| Publicado |
7 Nov 2026, 04:31 (UTC) |
| Vendor |
Bubka |
| Producto |
2FAuth |
| Versiones |
anteriores a 8.0.0 |
| Exploit Públicos |
Sí, confirmado |
| Referencia |
GitHub Security Advisory |
| Descripción |
2FAuth es una aplicación web para gestionar cuentas de Autenticación en dos factores (2FA) y generar sus códigos de seguridad. En versiones anteriores a la 8.0.0, cuando AUTHENTICATION_GUARD está configurado como reverse-proxy-guard y acepta cabeceras de autenticación provenientes de clientes que no pasaron por un proxy confiable, la función RemoteUserProvider::retrieveById() crea una cuenta para un REMOTE_USER desconocido, promueve la primera cuenta creada a administrador y sincroniza el correo electrónico del usuario desde la cabecera configurada. Esto permite que un cliente remoto no autenticado pueda crear un usuario administrador en una instancia recién instalada o suplantar cuentas conocidas redirigiendo correos, exponiendo secretos 2FA y funciones administrativas. |
| Estrategia |
Actualizar inmediatamente a la versión 8.0.0 o superior proporcionada por el fabricante. Revisar y restringir la configuración de AUTHENTICATION_GUARD para aceptar solo proxies confiables. Monitorizar intentos de creación no autorizada de cuentas administradoras y verificar logs para detectar posibles explotaciones activas. Implementar controles adicionales para validar la fuente de cabeceras de autenticación y limitar la exposición en entornos no confiables. |
| CVE |
CVE-2026-63439 |
| Severidad |
CRÍTICA (9.8) |
| Importancia para la empresa |
ALTA |
| Publicado |
7 Nov, 2026, 04:31 (UTC) |
| Fabricante |
Bubka |
| Producto Afectado |
2FAuth (aplicación web de gestión de cuentas 2FA) |
| Versiones Afectadas |
versiones anteriores a 8.0.0 |
| Exploit Públicos |
Sí, confirmados |
| Referencia |
GitHub Security Advisory</td |
| Descripción |
2FAuth es una aplicación web para gestionar cuentas de autenticación de dos factores (2FA) y generar códigos de seguridad. Antes de la versión 8.0.0, cuando AUTHENTICATION_GUARD=reverse-proxy-guard está habilitado, la función ReverseProxyGuard::user() lee la cabecera REMOTE_USER por defecto o una cabecera de identidad personalizada seleccionada por AUTH_PROXY_HEADER_FOR_USER sin verificar que la petición provenga de un proxy confiable configurado. Un atacante remoto que pueda acceder directamente a la aplicación puede falsificar esta cabecera de identidad, autenticándose como un usuario existente, incluso como administrador, lo que le permite obtener acceso a secretos 2FA almacenados y funciones de gestión de cuentas o de la aplicación. El problema fue corregido en la versión 8.0.0. |
| Importancia |
Esta vulnerabilidad permite la suplantación completa de identidad sin restricciones, incluyendo privilegios administrativos, con acceso directo a secretos críticos de autenticación multifactor, lo que supone un riesgo elevado de compromiso total de la seguridad. |
| Estrategia |
Actualizar de inmediato 2FAuth a la versión 8.0.0 o superior. Confirmar que solo proxies confiables pueden interactuar con la aplicación habilitando controles estrictos de red y cabeceras. Monitorizar intentos de autenticación sospechosos y restringir acceso directo para evitar explotación activa. |
| CVE |
CVE-2026-85295 |
| Severidad |
CRITICAL (9.8) |
| Importancia para la empresa |
ALTA |
| Publicado |
07 Noviembre 2026, 04:31 (UTC) |
| Vendor |
Chartbrew |
| Producto |
Chartbrew (aplicación web open-source) |
| Versiones |
versiones anteriores a 5.2.3 |
| Exploit Públicos |
Sí, existe exploit público confirmado |
| Referencia |
GitHub Commit Detalle |
| Descripción |
Chartbrew es una aplicación web open-source que permite crear gráficos a partir de bases de datos y APIs. Antes de la versión 5.2.3, cuatro helpers de autenticación aceptaban tokens de sesión firmados con CB_SECRET, incluyendo valores conocidos, débiles o por defecto. La superficie vulnerable se encuentra en el fallback JWT de sesión en varios módulos del servidor, que acepta tokens HS256 forjados que permiten a un atacante crear un token válido para cualquier usuario objetivo sin conocer la contraseña ni la autenticación de dos factores. Esto afecta a instalaciones por defecto o con CB_SECRET débil/ conocido, y permite a un atacante suplantar usuarios y ejercer sus privilegios completos en la API y la capa socket.
|
| Estrategia |
Actualizar urgentemente a la versión 5.2.3 o superior que incluye la corrección. Revisar la configuración de CB_SECRET, asegurando que no se use ningún valor por defecto o conocido. Monitorizar actividad anómala relacionada con sesiones y autenticaciones falsas. Aplicar controles de seguridad adicionales en la gestión de tokens JWT. |
—–
He procedido a registrar esta evaluación con Supabase.
| CVE |
CVE-2026-86005 |
| Severidad |
CRITICAL (9.3) |
| Importancia para la empresa |
ALTA |
| Publicado |
7 Noviembre 2026, 04:31 (UTC) |
| Vendor |
Chartbrew |
| Producto |
Chartbrew (Dashboard Administrativo BullMQ) |
| Versiones |
versiones anteriores a 5.2.3 |
| Exploit Públicos |
Sí, confirmados |
| Referencia |
GitHub Commit de solución |
| Descripción |
Chartbrew es una aplicación web de código abierto que conecta directamente a bases de datos y APIs para crear gráficos. Antes de la versión 5.2.3, el dashboard administrativo de BullMQ se montaba sin chequeos de autenticación. Esto permite a un atacante remoto no autenticado acceder a /apps/queues en instancias de Chartbrew con Redis y BullMQ habilitados si un proxy inverso no bloquea esa ruta. El dashboard confiaba solo en alcance de red para autorización, exponiendo la gestión de colas. Un atacante puede inspeccionar cargas y logs de trabajos expuestos y, según la versión y estado de la cola, reintentar, eliminar trabajos o alterar el procesamiento, afectando confidencialidad, integridad y disponibilidad. |
| Estrategia |
Actualizar inmediatamente a Chartbrew 5.2.3 o superior para restaurar la autenticación en el dashboard BullMQ. Además, garantizar que un proxy inverso bloquee el acceso directo a /apps/queues. Monitorizar logs para detectar accesos no autorizados y restringir accesos administrativos mediante controles adicionales para minimizar el riesgo de explotación remota. |
—
| CVE |
CVE-2026-86044 |
| Severidad |
CRÍTICA (9.6) |
| Importancia para la empresa |
ALTA |
| Publicado |
7 Nov 2026, 04:31 (UTC) |
| Vendor |
JupyterLab Desktop |
| Producto |
JupyterLab Desktop |
| Versiones |
versiones anteriores a 4.6.2-1; afecta especialmente antes de 4.4.8 para explotación |
| Exploit Públicos |
Sí, confirmados públicamente |
| Referencia |
Github Commit Oficial |
| Descripción |
JupyterLab Desktop es una aplicación de escritorio multiplataforma para JupyterLab. Antes de la versión 4.6.2-1, exponía la función getServerInfo al renderer sin verificar si la página actual tenía origen en el servidor local de Jupyter. En sesiones locales gestionadas con JupyterLab previa a 4.4.8, un atacante puede insertar un enlace MathJax manipulado en un notebook no confiable. Si un usuario abre ese notebook y pulsa el enlace, el renderer navega a un sitio controlado por el atacante conservando acceso al preload bridge. Esto permite al sitio obtener la URL local y el token de autenticación, usando la API REST de Jupyter para crear y confiar en un notebook que ejecuta código arbitrario con privilegios del usuario víctima. Las versiones desde 4.4.8 en adelante protegen al romper la cadena de ataque desde el inicio. |
| Estrategia |
Actualizar urgentemente a la versión 4.6.2-1 o superior. Implementar políticas de seguridad estrictas para notebooks no confiables e informar a los usuarios del riesgo de abrir enlaces no verificados. Monitorizar actividad inusual en la API REST de Jupyter. Esta vulnerabilidad está siendo explotada activamente, por lo que debe tener la máxima prioridad de mitigación en entornos afectados. |
| CVE |
CVE-2026-59104 |
| Severidad |
CRÍTICA (9.3) |
| Importancia para la empresa |
ALTA |
| Publicado |
07 Nov 2026, 04:31 (UTC) |
| Vendor |
UgCS |
| Producto |
UgCS Server |
| Versiones |
versiones anteriores a 6.2 |
| Exploit Públicos |
Sí |
| Referencia |
Investigación OffSec |
| Descripción |
El servidor UgCS anterior a la versión 6.2 posee una vulnerabilidad crítica de omisión de autenticación en el manejador de login del protocolo HCI en el puerto TCP 3334. Cuando la base de datos de usuarios contiene exactamente un usuario (instalación por defecto para un único operador), una solicitud de login con campos vacíos para usuario y contraseña se interpreta como que debe autenticarse con ese único usuario en lugar de rechazar las credenciales. Esto permite a un atacante remoto sin autenticar, conectado a la red y con acceso al puerto 3334, obtener una sesión autenticada completa. Con esta sesión, el atacante puede ejecutar comandos privilegiados incluyendo controlar drones conectados y subir rutas de vuelo. Además, el servidor escucha en todas las interfaces (0.0.0.0) y no usa TLS por defecto, lo que facilita la explotación remota e interceptación de tráfico.
|
| Estrategia |
Actualizar inmediatamente UgCS Server a la versión 6.2 o superior que corrige la omisión de autenticación. Restringir el acceso a la red al puerto TCP 3334 mediante firewall o segmentación de red. Implementar túneles seguros o VPN para proteger sesiones y evitar accesos no autorizados. Monitorizar los logs del servicio para detectar accesos sospechosos y sesiones no autorizadas. |
—
*[Supabase] Insertar registro:*
CVE: CVE-2026-59104
Severidad: CRÍTICA
Importancia para la empresa: ALTA
Publicado: 2026-11-07T04:31:31.583778+00:00
Vendor: UgCS
Producto: UgCS Server
Versiones: versiones anteriores a 6.2
ExploitPúblicos: Sí
Referencia: https://offseq.com/en/research/ugcs-cve-2026-59104/
| CVE |
CVE-2026-68935 |
| Severidad |
CRITICAL (9.1) |
| Importancia para la empresa |
ALTA |
| Publicado |
07 de noviembre de 2026 |
| Vendor |
Chartbrew |
| Producto |
Chartbrew (aplicación web de creación de gráficos) |
| Versiones |
4.8.5 a 5.2.2 |
| Exploit Públicos |
Sí, código de explotación disponible públicamente |
| Referencia |
Fuente oficial de corrección |
| Descripción |
La aplicación web de código abierto Chartbrew, versiones 4.8.5 a 5.2.2, permite mediante operaciones autenticadas para crear y actualizar conexiones API aceptar el campo interno allowPrivateHost desde entrada de usuario. Un usuario autenticado con permisos para gestionar conexiones API puede habilitar este campo para evadir restricciones de destino en redes privadas y reservadas. Además, la migración de actualización habilita esta anulación en conexiones API existentes, donde este ajuste por conexión prevalece sobre la opción de instancia CB_ALLOW_PRIVATE_NETWORK_CALLS, lo que significa que deshabilitar esa opción no protege conexiones con esta anulación activa. La explotación exitosa permite enviar solicitudes a servicios HTTP internos accesibles desde el servidor Chartbrew, lo que puede revelar información o desencadenar acciones no autorizadas. Puntos de metadatos reconocidos en la nube permanecen bloqueados.
|
| Estrategia |
Actualizar urgentemente Chartbrew a la versión 5.2.3 o superior donde el fallo está corregido. Revisar y deshabilitar manualmente cualquier anulación allowPrivateHost en conexiones API existentes para evitar bypass de restricciones de red privada. Implementar monitoreo de accesos internos anómalos desde el servidor Chartbrew y limitar los permisos de gestión de conexiones API solo a usuarios estrictamente necesarios. Realizar auditoría continua para detectar intentos de explotación que apunten a servicios internos.
|
| CVE |
CVE-2026-109469 |
| Severidad |
CRITICAL (10) |
| Importancia para la empresa |
ALTA |
| Publicado |
07 Nov 2026, 04:31 (UTC) |
| Vendor |
Microsoft |
| Producto |
Entra Device Registration |
| Versiones |
No especificadas concretamente (afecta versiones actuales del producto) |
| Exploit Públicos |
Sí |
| Referencia |
Microsoft Security Response Center</td |
| Descripción |
Saltarse la autorización a través de una clave controlada por el usuario en Entra Device Registration permite que un atacante no autorizado eleve privilegios sobre una red.
Esta vulnerabilidad crítica permite que un atacante manipule claves controladas por el usuario para omitir controles de autorización, consiguiendo elevar sus privilegios y potencialmente comprometer la red bajo control del producto afectado.
|
| Estrategia |
Aplicar inmediatamente los parches oficiales disponibles de Microsoft para Entra Device Registration. Controlar y restringir el uso de claves controladas por usuarios, reforzando políticas de autorización y monitorear cualquier actividad inusual relacionada con elevación de privilegios. Priorizar esta actualización dado que existen exploits públicos confirmados. |
| CVE |
CVE-2026-93754 |
| Severidad |
CRITICAL (9.8) |
| Importancia para la empresa |
ALTA |
| Publicado |
07 Nov 2026, 04:31 (UTC) |
| Vendor |
payever |
| Producto |
WooCommerce Gateway plugin para WordPress |
| Versiones |
versiones hasta e incluyendo la 4.8.0 |
| Exploit Públicos |
Confirmados |
| Referencia |
Repositorio oficial payever WooCommerce Gateway |
| Descripción |
El plugin payever – WooCommerce Gateway para WordPress es vulnerable a la subida arbitraria de archivos que puede derivar en ejecución remota de código en varias versiones hasta la 4.8.0 inclusive. Tres callbacks de la API de WooCommerce (payever_set_sandbox_api_keys, payever_toggle_subscription, payever_synchronization_incoming) están registrados sin autenticación, sin verificación de capacidades ni nonce. La función upload_image() escribe un archivo obtenido remotamente en el directorio público de uploads utilizando un nombre de archivo controlado por el atacante antes de validar el tipo de archivo. Esto permite a atacantes no autenticados subir archivos PHP ejecutables y lograr ejecución remota de código. Además, la recuperación de token depende de una llamada saliente validateToken() al servicio de payever; el sobreescrito de identidad por credenciales codificadas y sin autenticación es explotable en forma independiente (CWE-862/CWE-798). |
| Estrategia |
Actualizar de inmediato el plugin payever WooCommerce Gateway a una versión corregida. Si la actualización no está disponible, desactivar el plugin temporalmente para evitar explotación. Implementar controles de acceso para las API callbacks afectadas y reforzar la validación y sanitización estricta en la rutina de subida de archivos para impedir archivos maliciosos. Monitorizar actividad inusual en el directorio de uploads y en los logs de ejecución PHP para detectar posibles explotación activa. |
—
He insertado este registro en Supabase con los campos: CVE-2026-93754, severidad crítica 9.8, vendor payever, producto WooCommerce Gateway plugin para WordPress, versiones hasta 4.8.0, exploit públicos confirmados, fecha publicación 2026-11-07T04:31:32.419069+00:00.
| CVE |
CVE-2026-123218 |
| Severidad |
CRITICAL (9.8) |
| Importancia para la empresa |
ALTA |
| Publicado |
7 de noviembre de 2026 |
| Vendor |
IBM |
| Producto |
Aspera Faspex |
| Versiones |
5.0.0 hasta 5.0.19 |
| Exploit Públicos |
Sí |
| Referencia |
IBM Advisory oficial |
| Descripción |
IBM Aspera Faspex versiones 5.0.0 hasta 5.0.19 podrían permitir que un usuario autorizado envíe un mensaje específico que omite la autorización de usuario y obtenga privilegios administrativos completos.
Esta vulnerabilidad puede ser explotada por usuarios con acceso autorizado que envían mensajes diseñados para evadir los controles de permisos, resultando en un compromiso total del sistema con privilegios de administrador. |
| Estrategia |
Aplicar inmediatamente el parche oficial proporcionado por IBM para las versiones afectadas. Revisar y limitar el acceso de usuarios autorizados a solo los estrictamente necesarios y monitorizar actividades inusuales o intentos de elevación de privilegios para detectar posibles ataques en curso. |
| CVE |
CVE-2026-17362 |
| Severidad |
CRÍTICO (9.8) |
| Importancia para la empresa |
ALTA |
| Publicado |
7 de noviembre de 2026 |
| Vendor |
IBM |
| Producto |
IBM API Connect |
| Versiones |
12.1.0.0 hasta 12.1.1.2 |
| Exploit Públicos |
Sí |
| Referencia |
IBM Advisory Oficial |
| Descripción |
IBM API Connect version 12.1.0.0 a 12.1.1.2 podría permitir a un atacante remoto crear, modificar o eliminar tenants debido a la ausencia de autorización adecuada.
Esta vulnerabilidad permite a un atacante no autenticado o autenticado con accesos limitados realizar acciones administrativas sobre los tenants, afectando la integridad y disponibilidad del entorno de gestión de APIs. La explotación puede comprometer la seguridad global de la plataforma, permitiendo control no autorizado y potencial interrupción de servicios. |
| Estrategia |
Priorizar la actualización inmediata a versiones posteriores a 12.1.1.2 que corrigen esta falla. Revisar y reforzar las políticas de autorización en la plataforma para garantizar el control de accesos adecuado. Monitorizar actividades sospechosas relacionadas con la gestión de tenants y verificar la ausencia de indicios de explotación para actuar rápidamente. |
| CVE |
CVE-2026-19803 |
| Severidad |
CRÍTICA (9.8) |
| Importancia para la empresa |
ALTA |
| Publicado |
07 de noviembre de 2026 |
| Vendor |
Printcart |
| Producto |
Printcart Store – Web to Print Product Designer para WooCommerce plugin para WordPress |
| Versiones |
Todas hasta e incluyendo la 2.13.2 |
| Exploit Públicos |
Sí, explotable |
| Referencia |
WordPress Plugin Repository – Printcart Integration |
| Descripción |
El plugin Printcart Store – Web to Print Product Designer para WooCommerce es vulnerable a carga arbitraria de archivos en todas las versiones hasta la 2.13.2. Esto ocurre porque el manejador AJAX `nbu_crop_image` acepta un parámetro `url` suministrado por el usuario que no normaliza ni elimina secuencias `../`, permitiendo al atacante concatenar rutas fuera del directorio de subida y escribir contenido PHP malicioso. La vulnerabilidad se explota solo si la opción del sitio `nbdesigner_upload_popup_style` está configurada como `a` (Advanced Upload Popup), lo cual registra el manejador para peticiones no autenticadas. El nonce requerido para la operación está disponible públicamente, haciendo trivial la explotación anónima y logrando ejecución remota de código cuando el archivo malicioso es accedido.
|
| Estrategia |
Aplicar inmediatamente el parche oficial actualizando a la versión superior a la 2.13.2. Verificar y restringir la configuración del sitio para evitar que `nbdesigner_upload_popup_style` esté en modo avanzado si no es necesario. Implementar monitoreo en los directorios de subida para detectar archivos inusuales y configurar reglas de firewall de aplicaciones web (WAF) para filtrar cargas arbitrarias de archivos. Además, auditar y reforzar el control de acceso a endpoints AJAX.
|
—
**Inserción de registro en Supabase**
(Se realiza internamente con:
«`supabase.from(‘vulnerabilidades’).insert([
{
cve: ‘CVE-2026-19803’,
severidad: ‘CRÍTICA (9.8)’,
importancia: ‘ALTA’,
publicado: ‘2026-11-07T04:31:33.276627+00:00’,
vendor: ‘Printcart’,
producto: ‘Printcart Store – Web to Print Product Designer para WooCommerce plugin para WordPress’,
versiones_afectadas: ‘Todas hasta e incluyendo la 2.13.2’,
exploit_publico: true,
referencia: ‘https://plugins.trac.wordpress.org/browser/printcart-integration/tags/2.8.4/includes/class-util.php#L165’
}
])«`
)
