Empresa
¿Quiénes somos? Visión y Valores
Herramientas
Email Checker Vigía DNS SSL Checker Password Strength HTTP Headers Password Generator VPN PSK Generator
Alertas
Todas las alertas Vulnerabilidades Incidentes Solo críticas En CISA KEV Vigía LATAM
Editorial
Análisis técnico ¿Cuál es mi IP?
Blog
Blog 2MCI Noticias ISO 27001 Amenazas LATAM Recursos Gratuitos eBook Gratuito Newsletter Podcast / YouTube
Empresa
Servicios Contacto Suscribirse al Newsletter
Nuevo en 2MCI
Crear cuenta gratis Ver herramientas sin registro
Ya tengo cuenta
Iniciar sesión
Equipo
Portal interno 2MCI
Inicio/Alertas
Seguridad de la Información

Alertas de Seguridad de la Información

Vulnerabilidades explotadas activamente, incidentes y análisis relevantes para México y LATAM. Actualizado automáticamente desde fuentes oficiales.

48 vulnerabilidades en CISA KEV — explotación activa confirmada Ver todas →
Última alerta publicada ahora mismo
26,590
Total alertas
5368
Críticas
20330
Altas
8
Ransomware
1697
Esta semana
RSS
Vulnerabilidades × Alta × Limpiar todo ×
M Alto vulnerabilidad
10/10/2026
[CVE-2026-108546] Spotweb through 1.5.8 contains an OS command injection vulnerability in the runcommand NZB handler t…
Spotweb through 1.5.8 contains an OS command injection vulnerability in the runcommand NZB handler that allows remote attackers to execute commands by publishing spots with malicious titles. Attackers can post self-signed spots over Usenet with shell metacharacters in the title, which are substituted unescaped for $SPOTTITLE and passed to exec() when a user downloads the spot, running commands as …
nvdaltovulnerabilidad CVSS 7.5 NVD
M Alto vulnerabilidad
10/10/2026
[CVE-2026-108548] AstronRPA through 1.1.6 contains an authentication bypass vulnerability in the OpenResty gateway's a…
AstronRPA through 1.1.6 contains an authentication bypass vulnerability in the OpenResty gateway's auth_handler.lua that accepts any Bearer token without validation. Unauthenticated attackers can send arbitrary Bearer values to reach /api/resource/ and /api/rpa-ai-service/ routes and spoof X-User-Id or user_id headers to act as any user.
nvdaltovulnerabilidad CVSS 7.3 NVD
M Alto vulnerabilidad
10/10/2026
[CVE-2026-108549] cc-connect through 1.5.0 contains a missing authentication vulnerability in the MAX platform adapter…
cc-connect through 1.5.0 contains a missing authentication vulnerability in the MAX platform adapter webhook mode in platform/max/max.go that accepts unauthenticated updates when no webhook_secret is configured. Remote attackers reaching the webhook listener on port 8080 can forge updates with an allowed or admin user_id to run privileged commands like /shell on the host.
nvdaltovulnerabilidad CVSS 8.1 NVD
M Alto vulnerabilidad
10/10/2026
[CVE-2026-94676] Deserialization of Untrusted Data vulnerability in Tainacan Community Tainacan tainacan allows Objec…
Deserialization of Untrusted Data vulnerability in Tainacan Community Tainacan tainacan allows Object Injection.This issue affects Tainacan: from n/a through 1.3.0.
nvdaltovulnerabilidad CVSS 7.2 NVD
M Alto vulnerabilidad
10/10/2026
[CVE-2026-97263] Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') vulnerability i…
Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') vulnerability in Greg Winiarski WPAdverts wpadverts allows Stored XSS.This issue affects WPAdverts: from n/a through 2.3.4.
nvdaltovulnerabilidad CVSS 7.1 NVD
M Alto vulnerabilidad
10/10/2026
[CVE-2026-97264] Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') vulnerability i…
Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') vulnerability in Greg Winiarski WPAdverts wpadverts allows Reflected XSS.This issue affects WPAdverts: from n/a through 2.3.4.
nvdaltovulnerabilidad CVSS 7.1 NVD
M Alto vulnerabilidad
10/10/2026
[CVE-2026-105885] Deserialization of Untrusted Data vulnerability in 10Web Slider by 10Web slider-wd allows Object Inj…
Deserialization of Untrusted Data vulnerability in 10Web Slider by 10Web slider-wd allows Object Injection.This issue affects Slider by 10Web: from n/a through 1.2.62.
nvdaltovulnerabilidad CVSS 8.8 NVD

📬 Alertas semanales SI directo en tu email

Las vulnerabilidades más críticas para LATAM, con contexto y recomendaciones accionables. Gratis.

Suscribirme →
M Alto vulnerabilidad
10/10/2026
[CVE-2026-108161] FusionPBX through 5.6.5 contains an OS command injection vulnerability in call_recordings::download(…
FusionPBX through 5.6.5 contains an OS command injection vulnerability in call_recordings::download() that allows unauthenticated attackers to execute commands by placing calls with malicious caller ID values. When the record_name filename template is enabled, attackers can embed shell metacharacters like $(...) in the Caller-ID name or number, executing commands as the web server user once a priv…
nvdaltovulnerabilidad CVSS 7.5 NVD
M Alto vulnerabilidad
10/10/2026
[CVE-2026-102388] Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') vulnerability i…
Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') vulnerability in WPMU DEV Forminator forminator allows Stored XSS.This issue affects Forminator: from n/a through 1.57.3.
nvdaltovulnerabilidad CVSS 7.1 NVD
M Alto vulnerabilidad
10/10/2026
Vulnerabilidad alta de lectura arbitraria de archivos en plugin Divi Plus para WordPress
El plugin Divi Plus para WordPress (versiones hasta 2.4.0) permite a atacantes sin autenticación leer archivos arbitrarios del servidor mediante el parámetro 'svg_image' en el endpoint REST /wp-json/elicus/v1/dipl-modules/svg-animator. La vulnerabilidad existe porque el controlador de permisos valida de forma insuficiente la entrada, exponiendo datos sensibles en sitios WordPress de empresas y gobierno en LATAM.
nvdaltovulnerabilidad CVSS 7.5 NVD
M Alto vulnerabilidad
10/10/2026
Vulnerabilidad de Cross-Site Scripting Almacenado en Plugin HivePress para WordPress
El plugin HivePress – Business Directory para WordPress es vulnerable a Stored XSS en campos de atributos personalizados de usuario hasta la versión 1.7.31, permitiendo a atacantes no autenticados inyectar scripts maliciosos. Empresas en LATAM que utilizan este plugin en directorios comerciales, portales de clasificados o marketplaces están expuestas a robo de credenciales, sesiones de administrador y defacement de contenido.
nvdaltovulnerabilidad CVSS 7.2 NVD
M Alto vulnerabilidad
10/10/2026
Inyección SQL alta en plugin LatePoint para WordPress afecta reservas online
El plugin de reservas LatePoint para WordPress (versiones hasta 5.7.2) contiene una vulnerabilidad de inyección SQL sin autenticación requerida. Atacantes pueden explotar el parámetro 'booking[service_id]' para acceder y manipular datos de citas, clientes y pagos en sitios de pequeñas y medianas empresas en LATAM que usan este plugin popular en salones, consultorios y servicios.
nvdaltovulnerabilidad CVSS 7.5 NVD
M Alto vulnerabilidad
10/10/2026
Vulnerabilidad XSS almacenado alta en plugin WPO365 para WordPress
El plugin WPO365 | SEAMLESS WORDPRESS + MICROSOFT INTEGRATION para WordPress contiene una vulnerabilidad de Cross-Site Scripting (XSS) almacenado en el parámetro 'id_token' en todas las versiones hasta la 44.1. Atacantes no autenticados pueden inyectar scripts maliciosos que se ejecutarán cuando usuarios accedan a páginas afectadas, comprometiendo credenciales y datos de empresas en LATAM que integren Microsoft 365 con WordPress. La vulnerabilidad afecta principalmente a sitios corporativos y educativos que usan esta integración.
nvdaltovulnerabilidad CVSS 7.2 NVD
M Alto vulnerabilidad
10/10/2026
Vulnerabilidad de omisión de autenticación en Omegathemes Grocery Shopping Store (CVE-2026-93949)
Se identificó una vulnerabilidad de omisión de autenticación en Omegathemes Grocery Shopping Store versiones hasta 1.3.3, que permite a atacantes realizar explotación de recuperación de contraseñas mediante canales alternativos. Esta falla afecta a tiendas virtuales y plataformas de e-commerce en México y Latinoamérica que utilizan este plugin, comprometiendo el acceso a cuentas de clientes y datos sensibles del negocio.
nvdaltovulnerabilidad CVSS 7.1 NVD
M Alto vulnerabilidad
10/10/2026
Vulnerabilidad alta de autorización en StylemixThemes Motors permite eludir controles de acceso
StylemixThemes Motors versiones hasta 1.4.108 contiene una vulnerabilidad de autorización faltante que permite a atacantes eludir mecanismos de control de acceso incorrectamente configurados. Esta falla expone sitios web de agencias automotrices y concesionarios en México y LATAM a acceso no autorizado a funciones administrativas. El CVSS 7.5 indica riesgo alto que requiere atención inmediata.
nvdaltovulnerabilidad CVSS 7.5 NVD

🛡 ¿Estás expuesto a alguna de estas vulnerabilidades?

Evaluación gratuita inicial con el equipo 2MCI: identifica exposición y plan de remediación.

Habla con un experto →
M Alto vulnerabilidad
10/10/2026
Vulnerabilidad XSS Reflejado en Bracketweb Zeinet 1.0.0 y anteriores (CVE-2026-93951)
Bracketweb Zeinet contiene una vulnerabilidad de Cross-Site Scripting (XSS) reflejado que permite a atacantes inyectar código malicioso a través de parámetros no sanitizados en la generación de páginas web. La vulnerabilidad afecta versiones hasta 1.0.0 y podría comprometer sesiones de usuarios y robar datos sensibles en empresas que utilicen esta plataforma. En LATAM, donde Zeinet se utiliza en portales web corporativos y de gobierno, la exposición es alta si las instancias son accesibles desde internet.
nvdaltovulnerabilidad CVSS 7.1 NVD
M Alto vulnerabilidad
10/10/2026
Vulnerabilidad XSS almacenado alta en WP Photo Album Plus afecta WordPress
El plugin WP Photo Album Plus para WordPress (versiones hasta 9.3.03.002) es vulnerable a inyección de scripts almacenados (XSS) a través del historial de sesión REQUEST_URI debido a sanitización insuficiente. Atacantes no autenticados pueden inyectar código malicioso que se ejecuta cuando usuarios legítimos acceden a páginas comprometidas. Esta vulnerabilidad afecta especialmente a sitios de LATAM que usan este plugin para galerías fotográficas sin actualizaciones recientes.
nvdaltovulnerabilidad CVSS 7.2 NVD
M Alto vulnerabilidad
10/10/2026
[CVE-2026-104759] The WPO365 | SEAMLESS WORDPRESS + MICROSOFT INTEGRATION (WPO365 | LOGIN) plugin for WordPress is vul…
The WPO365 | SEAMLESS WORDPRESS + MICROSOFT INTEGRATION (WPO365 | LOGIN) plugin for WordPress is vulnerable to Authentication Bypass via OIDC Nonce Replay in all versions up to, and including, 44.1 This is due to `Id_Token_Service_Deprecated::process_openidconnect_token()` using the incompatible WordPress core `wp_verify_nonce()` function to validate a nonce produced by `Nonce_Service::create_nonc…
nvdaltovulnerabilidad CVSS 8.1 NVD
M Alto vulnerabilidad
10/10/2026
[CVE-2026-106606] Deserialization of Untrusted Data vulnerability in YITH YITH WooCommerce Affiliates yith-woocommerce…
Deserialization of Untrusted Data vulnerability in YITH YITH WooCommerce Affiliates yith-woocommerce-affiliates allows Object Injection.This issue affects YITH WooCommerce Affiliates: from n/a through 3.31.0.
nvdaltovulnerabilidad CVSS 7.2 NVD
M Alto vulnerabilidad
10/10/2026
[CVE-2026-93746] The WebToffee WooCommerce PDF Invoices, Packing Slips, Delivery Notes & Shipping Labels plugin for W…
The WebToffee WooCommerce PDF Invoices, Packing Slips, Delivery Notes & Shipping Labels plugin for WordPress is vulnerable to Insecure Direct Object Reference in versions up to, and including, 5.0.2 via the 'email' parameter of the guest print_document_from_the_mail_link handler dispatched from print_window() on init. This is due to the handler authorizing access to an order's printable documents …
nvdaltovulnerabilidad CVSS 7.5 NVD