Alertas de Seguridad de la Información

M Crítico vulnerabilidad

15/08/2026

[CVE-2026-18855] The Link Library plugin for WordPress is vulnerable to arbitrary file deletion due to insufficient f…

The Link Library plugin for WordPress is vulnerable to arbitrary file deletion due to insufficient file path validation in the ll_delete_link_fields function in all versions up to, and including, 7.9.4 This makes it possible for unauthenticated attackers to delete arbitrary files on the server, which can easily lead to remote code execution when the right file is deleted (such as wp-config.php). E…

nvdcriticovulnerabilidad CVSS 9.1 NVD

M Alto vulnerabilidad

15/08/2026

[CVE-2026-19905] A weakness has been identified in Jinher OA 1.0. Impacted is an unknown function of the file /C6/JHS…

A weakness has been identified in Jinher OA 1.0. Impacted is an unknown function of the file /C6/JHSoft.Web.HrmAttendance/attendance_out_approve.aspx. This manipulation of the argument httpOID causes sql injection. It is possible to initiate the attack remotely. The exploit has been made available to the public and could be used for attacks. The vendor was contacted early about this disclosure but…

nvdaltovulnerabilidad CVSS 7.3 NVD

M Alto vulnerabilidad

15/08/2026

[CVE-2026-19901] A security flaw has been discovered in LB-LINK X-PRO 1.0.22-20231206. This affects an unknown functi…

A security flaw has been discovered in LB-LINK X-PRO 1.0.22-20231206. This affects an unknown function of the file /etc/config/easycwmp. The manipulation results in hard-coded credentials. It is possible to launch the attack remotely. Attacks of this nature are highly complex. The exploitability is reported as difficult. The exploit has been released to the public and may be used for attacks. The …

nvdaltovulnerabilidad CVSS 8.1 NVD

M Crítico vulnerabilidad

15/08/2026

[CVE-2026-19598] The Pods – Custom Content Types and Fields plugin for WordPress is vulnerable to Privilege Escalatio…

The Pods – Custom Content Types and Fields plugin for WordPress is vulnerable to Privilege Escalation via Authorization Bypass in all versions up to, and including, 3.3.9. The vulnerability exists because the pods_admin AJAX router funnels every access check — including the method allowlist, nonce verification, login enforcement, and capability gate — through pods_error(), which under the JSON met…

nvdcriticovulnerabilidad CVSS 9.8 NVD

M Alto vulnerabilidad

15/08/2026

[CVE-2026-19900] A vulnerability was identified in LB-LINK X-PRO 1.0.22-20231206. The impacted element is an unknown …

A vulnerability was identified in LB-LINK X-PRO 1.0.22-20231206. The impacted element is an unknown function of the file /etc/shadow. The manipulation leads to hard-coded credentials. It is possible to initiate the attack remotely. A high degree of complexity is needed for the attack. The exploitability is regarded as difficult. The exploit is publicly available and might be used. The vendor was c…

nvdaltovulnerabilidad CVSS 8.1 NVD

M Alto vulnerabilidad

15/08/2026

[CVE-2026-19899] A vulnerability was determined in SourceCodester Class and Exam Timetabling System 1.0. The affected…

A vulnerability was determined in SourceCodester Class and Exam Timetabling System 1.0. The affected element is an unknown function of the file /edit_teacher.php. Executing a manipulation of the argument ID can lead to sql injection. The attack may be performed from remote. The exploit has been publicly disclosed and may be utilized.

nvdaltovulnerabilidad CVSS 7.3 NVD

M Alto vulnerabilidad

15/08/2026

[CVE-2026-18500] @fastify/jwt is a JSON Web Token plugin for Fastify. In versions before 10.2.2, a per-request verifi…

@fastify/jwt is a JSON Web Token plugin for Fastify. In versions before 10.2.2, a per-request verification key passed to request.jwtVerify({ key }) is silently overridden by the plugin's globally configured secret, because the option merge applies the global key last. Applications that use different keys for different authorization domains, for example separate user and admin keys, therefore accep…

nvdaltovulnerabilidad CVSS 8.1 NVD

M Alto vulnerabilidad

15/08/2026

[CVE-2026-18549] @fastify/multipart is a multipart form-data parser for Fastify. In versions from 5.3.0 up to but not…

@fastify/multipart is a multipart form-data parser for Fastify. In versions from 5.3.0 up to but not including 10.1.1, when the busboy fileSize limit truncates a file part, the plugin clears its internal current-file reference while the underlying stream is still open. If the client then aborts the connection before sending the terminating boundary, the abort cleanup finds no stream to destroy, so…

nvdaltovulnerabilidad CVSS 7.5 NVD

M Alto vulnerabilidad

15/08/2026

[CVE-2026-19474] @fastify/multipart is a multipart form-data parser for Fastify. In versions from 3.0.0 up to but not…

@fastify/multipart is a multipart form-data parser for Fastify. In versions from 3.0.0 up to but not including 10.1.1, request.saveRequestFiles() can leave completed temporary files on disk when a client disconnects while the parser is advancing between multipart parts. The iterator rejection that occurs between parts falls outside the per-file cleanup path, so an earlier completed file is never r…

nvdaltovulnerabilidad CVSS 7.5 NVD

C Informativo vulnerabilidad

15/08/2026

[CVE-2026-74446] In the Linux kernel, the following vulnerability has been resolved: drm/amdkfd: hold event_mutex wh…

In the Linux kernel, the following vulnerability has been resolved: drm/amdkfd: hold event_mutex while checkpointing CRIU events kfd_criu_checkpoint_events() counts the entries in p->event_idr via kfd_get_num_events(), allocates an array sized to that count, and then walks the same IDR to fill it. Neither the count nor the walk holds p->event_mutex. The CRIU checkpoint caller holds only p->mute…

check-pointcheckpointbajo CVSS 0.0 NVD

M Alto vulnerabilidad

15/08/2026

Ejecución remota de código en plugin Templately para WordPress (CVE-2026-18438)

El plugin Templately para WordPress (versiones hasta 3.7.1) es vulnerable a ejecución remota de código a través de la función fetch_remote_file, que valida incorrectamente el tipo de archivo permitiendo inyección de código malicioso. Sitios web en México y LATAM que usan este plugin de plantillas de Elementor/Gutenberg están expuestos a compromisos totales del servidor.

nvdaltovulnerabilidad CVSS 8.8 NVD

M Crítico vulnerabilidad

15/08/2026

Vulnerabilidad crítica de takeover de cuentas en plugin TrueBooker para WordPress (CVE-2026-16142)

El plugin TrueBooker para WordPress (versiones hasta 1.2.6) permite el robo de cuentas de usuario debido a que el manejador AJAX add_front_user_update() acepta parámetros arbitrarios sin validar autenticación ni propiedad, permitiendo a atacantes modificar cuentas administrativas. Esta vulnerabilidad afecta a miles de sitios WordPress en LATAM que utilizan este plugin para gestión de reservas. El riesgo es crítico (CVSS 9.8) ya que facilita comprometer la integridad completa del sitio.

nvdcriticovulnerabilidad CVSS 9.8 NVD

M Alto vulnerabilidad

15/08/2026

Escalada de privilegios alta en Real Estate Manager Pro para WordPress (CVE-2026-15142)

El plugin Real Estate Manager Pro para WordPress es vulnerable a escalada de privilegios en versiones hasta la 12.8.6. Un defecto en la función allow_attachment_actions() permite que usuarios autenticados con acceso de Suscriptor eleven sus permisos al manipular IDs de archivos adjuntos. Esta vulnerabilidad afecta principalmente a inmobiliarias y plataformas de propiedades en LATAM que dependen de este plugin para gestionar contenido multimedia y control de acceso.

nvdaltovulnerabilidad CVSS 7.5 NVD

M Alto vulnerabilidad

15/08/2026

Vulnerabilidad alta de escalada de privilegios en plugin Wholesale Market para WordPress

El plugin Wholesale Market para WordPress (versiones hasta 2.2.2) contiene una vulnerabilidad de escalada de privilegios mediante la acción AJAX ced_wholesale_request_send. El defecto en la validación del nonce y autenticación permite a usuarios autenticados elevar sus permisos sin restricciones. Afecta tiendas de comercio electrónico en LATAM que utilizan este complemento para gestión de ventas mayoristas.

nvdaltovulnerabilidad CVSS 8.8 NVD

M Crítico vulnerabilidad

15/08/2026

Bypasa de autenticación en User Profile Builder para WordPress (CVE-2026-15826)

El plugin User Profile Builder para WordPress versiones hasta 3.16.4 contiene una vulnerabilidad crítica (CVSS 9.8) que permite bypasear autenticación mediante confusión de tipos en la función wppb_log_in_user(). Un atacante puede registrarse con nombres de usuario de 61-70 caracteres para eludir validaciones y acceder sin credenciales válidas. Afecta directamente a sitios WordPress en empresas LATAM que dependen de este plugin para gestión de usuarios y control de acceso.

nvdcriticovulnerabilidad CVSS 9.8 NVD

C Informativo vulnerabilidad

15/08/2026

[CVE-2026-72161] In the Linux kernel, the following vulnerability has been resolved: ocfs2: add journal NULL check i…

In the Linux kernel, the following vulnerability has been resolved: ocfs2: add journal NULL check in ocfs2_checkpoint_inode() During unmount, ocfs2_journal_shutdown() frees the journal and sets osb->journal to NULL. Later, when VFS evicts remaining cached inodes, ocfs2_evict_inode() -> ocfs2_clear_inode() -> ocfs2_checkpoint_inode() -> ocfs2_ci_fully_checkpointed() dereferences osb->journal, cau…

check-pointcheckpointbajo CVSS 0.0 NVD

M Alto vulnerabilidad

15/08/2026

Vulnerabilidad XSS almacenado en plugin WordPress 'Invisible Anti-Spam & CAPTCHA' (CVE-2026-16145)

El plugin 'Invisible Anti-Spam & CAPTCHA — reCAPTCHA Alternative for All Forms' para WordPress (versiones hasta 5.1) contiene una vulnerabilidad de Cross-Site Scripting (XSS) almacenado en el parámetro 'action' por falta de sanitización. Atacantes no autenticados pueden inyectar scripts maliciosos que se ejecutan cuando usuarios acceden a páginas con formularios afectados. Este riesgo impacta directamente sitios web de empresas, tiendas en línea y portales institucionales en LATAM que usan este plugin.

nvdaltovulnerabilidad CVSS 7.2 NVD

M Alto vulnerabilidad

15/08/2026

Vulnerabilidad de Cross-Site Scripting en plugin WPLP Cookie Consent para WordPress (CVE-2026-13360)

El plugin 'Cookie Banner for GDPR / CCPA – WPLP Cookie Consent' en WordPress es vulnerable a inyección de scripts almacenados (Stored XSS) a través del parámetro 'regionArray' en versiones hasta la 4.3.5 debido a sanitización insuficiente. Atacantes no autenticados pueden inyectar código malicioso que se ejecuta cuando usuarios acceden a páginas con el plugin, afectando potencialmente datos de visitantes y credenciales en sitios de comercio electrónico, gobiernos digitales y financieras de la región.

nvdaltovulnerabilidad CVSS 7.2 NVD

M Alto vulnerabilidad

15/08/2026

Vulnerabilidad alta de carga arbitraria de archivos en plugin MaxUpload para WordPress

El plugin MaxUpload para WordPress (versiones hasta 1.4.0) contiene una vulnerabilidad de carga arbitraria de archivos (CVSS 8.8) en la función handle_upload. Un atacante puede eludir validaciones de extensión y MIME en el archivo final ensamblado, permitiendo la ejecución de código malicioso en servidores WordPress. Afecta principalmente a sitios en LATAM que usan este plugin para gestionar cargas de archivos grandes sin aplicar validaciones adicionales.

nvdaltovulnerabilidad CVSS 8.8 NVD

M Alto vulnerabilidad

15/08/2026

Vulnerabilidad XSS almacenado en plugin vcita para WordPress afecta versiones hasta 4.6.0

El plugin 'Online Booking & Scheduling Calendar for WordPress by vcita' contiene una vulnerabilidad de Cross-Site Scripting (XSS) almacenado en el parámetro 'business_id' debido a sanitización insuficiente. Atacantes no autenticados pueden inyectar scripts maliciosos que se ejecutan cuando usuarios acceden a páginas afectadas. Esto representa un riesgo alta para sitios de reservas y agendamiento en LATAM que confían en este plugin para capturar clientes.

nvdaltovulnerabilidad CVSS 7.2 NVD