Alertas de Seguridad de la Información

Privilege escalation due to use-after-free in the Graphics: WebGPU component. This vulnerability was fixed in Firefox 157.

Sandbox escape due to use-after-free in the DOM: Content Processes component. This vulnerability was fixed in Firefox ESR 153.4, Firefox 157, Firefox ESR 115.42, and Firefox ESR 140.17.

Privilege escalation due to incorrect boundary conditions in the Graphics: WebGPU component. This vulnerability was fixed in Firefox 157.

Use-after-free in the JavaScript: WebAssembly component. This vulnerability was fixed in Firefox ESR 153.4 and Firefox 157.

Use-after-free in the Networking: Cache component. This vulnerability was fixed in Firefox ESR 153.4, Firefox 157, Firefox ESR 115.42, and Firefox ESR 140.17.

Una vulnerabilidad de autorización faltante en Qorela DC (versiones 1.6.1-RC29 anteriores a 1.6.2) permite a usuarios autenticados elevar sus privilegios sin autorización adecuada. Afecta infraestructuras de centros de datos en México y Latinoamérica que utilicen esta plataforma de gestión. El CVSS 8.8 indica riesgo alta para la confidencialidad e integridad de sistemas altas.

Se identificó una vulnerabilidad alta en RPM que permite a atacantes ejecutar código arbitrario al procesar paquetes RPM manipulados con entradas de enlace simbólico especialmente crafteadas. La falla explota un desbordamiento de enteros en la función iterReadArchiveNext() que reduce la asignación de búfer a un byte, permitiendo escribir datos controlados más allá de los límites de memoria. Esta vulnerabilidad afecta directamente a servidores Linux en infraestructuras cloud, on-premises y repositorios de paquetes en empresas LATAM que utilizan sistemas basados en RHEL, CentOS, Fedora u otras distribuciones RPM.

Apache XmlSchema doesn't limit how deeply schema imports and includes can be nested, so a malicious schema can make parsing recurse until the stack overflows. This causes a denial of service. Users are recommended to upgrade to version 2.3.3, which fixes this issue.

Apache XmlSchema doesn't limit how deeply schema structures can be nested when it builds its schema model, so a malicious schema can make parsing recurse until the stack overflows. This causes a denial of service. Users are recommended to upgrade to version 2.3.3, which fixes this issue.

The Apache XmlSchema walker (xmlschema-walker) doesn't detect cycles in type derivation, substitution groups, model groups or attribute groups. A malicious schema with such a cycle can make the walker recurse until the stack overflows, causing a denial of service. Users are recommended to upgrade to version 2.3.3, which fixes this issue.

Una vulnerabilidad en el disector del protocolo SCTP permite que un atacante remoto provoque un bloqueo de servicio mediante paquetes especialmente crafteados. Afecta infraestructuras de telecomunicaciones, proveedores de VoIP y sistemas de comunicaciones altas en LATAM. Con CVSS 8.1, el riesgo es significativo para operadores de red y centros de datos.

Una vulnerabilidad en el disector del protocolo SPDY afecta versiones 4.6.0 a 4.6.8 y 4.4.0 a 4.4.18, permitiendo ataques de denegación de servicio (DoS) con puntuación CVSS 8.1. El exploit puede derribar servicios de análisis de tráfico y monitoreo de red altas en infraestructuras empresariales de LATAM que utilicen estas versiones. La explotación remota sin autenticación representa riesgo significativo para disponibilidad operacional.

Se ha identificado una vulnerabilidad de omisión de autenticación (CVE-2026-8065, CVSS 9.1) en el endpoint de actualización de firmware de Hitachi Energy RTU500 que permite a atacantes no autenticados cargar firmware malicioso mediante solicitudes POST modificadas. La explotación exitosa podría comprometer la funcionalidad operativa, integridad y disponibilidad del dispositivo, afectando principalmente infraestructuras críticas de energía, agua y telecomunicaciones en LATAM que dependen de estos controladores RTU.

Una vulnerabilidad de traversal de directorios en la funcionalidad de carga de archivos del Hitachi Energy RTU500 permite a atacantes no autenticados escribir o sobrescribir archivos arbitrarios en el sistema de ficheros del dispositivo. La explotación exitosa podría resultar en modificación no autorizada de datos críticos de control o interrupción de operaciones en plantas de generación, subestaciones y sistemas de distribución de energía comúnmente desplegados en infraestructura LATAM.

GitLab ha remediado una vulnerabilidad de puntuación CVSS 8.7 que afecta versiones 13.11 a 19.4.1 en Community Edition y Enterprise Edition. Un usuario autenticado podría ejecutar código JavaScript arbitrario en la sesión del navegador de otro usuario mediante sanitización deficiente en el visor de diferencias de solicitudes de fusión. Esta vulnerabilidad de escalada de privilegios impacta directamente sistemas DevOps y repositorios de código fuente en infraestructuras altas de empresas mexicanas y latinoamericanas.

HPE OneView contiene una vulnerabilidad de severidad alta (CVSS 8.2) que permite a atacantes remotos secuestrar sesiones activas y ejecutar acciones no autorizadas en infraestructuras de centros de datos. Esta exposición afecta directamente a empresas en México y LATAM que utilizan HPE OneView para gestión de servidores físicos en entornos altas, representando riesgo de acceso administrativo no autorizado a recursos de TI sensibles.

HPE OneView presenta una vulnerabilidad remota (CVSS 8.2) que permite a atacantes secuestrar sesiones, acceder a datos sensibles y ejecutar acciones no autorizadas en infraestructuras de centros de datos. En LATAM, esto afecta principalmente a empresas medianas y grandes con plataformas de gestión hiperconvergente. El riesgo es alta para operaciones de TI que dependen de HPE OneView para administrar servidores, almacenamiento y virtualización.

Una vulnerabilidad de inyección de código afecta GEOVIA Geospatial Data Manager en las versiones 3DEXPERIENCE R2024x hasta R2026x, permitiendo a atacantes ejecutar código arbitrario en el servidor. Empresas en México y LATAM que utilizan esta plataforma para gestión de datos geoespaciales enfrentan riesgo crítico de compromiso total de infraestructura si no aplican parches inmediatamente.

Microsoft publica advisory de seguridad: CVE-2026-57095 Win32k Elevation of Privilege Vulnerability. Tipo: Elevación de Privilegios (EoP).

Progress Software Fiddler Everywhere 8.0.2 presenta una vulnerabilidad alta (CVSS 7.7) que permite a un atacante local sin credenciales acceder al backend .NET (Fiddler.WebUi) a través de canales HTTP y SignalR no autenticados. Esto posibilita la generación de tokens OAuth fraudulentos y la lectura del certificado raíz man-in-the-middle. Afecta principalmente a desarrolladores y equipos de testing que utilizan esta herramienta en México y Latinoamérica para análisis de tráfico HTTPS.