Alertas de Seguridad de la Información

M Alto vulnerabilidad

Hace 1 día

Vulnerabilidad de permisos en hMailServer 6.0.0-6.3.5 permite acceso no autorizado a datos

Progressive Robot hMailServer versiones 6.0.0 a 6.3.5 contiene una configuración insegura de permisos en el instalador de Windows que permite a usuarios locales autenticados acceder a datos del servidor de correo. Los directorios de datos, registros, base de datos y archivo de configuración hMailServer.INI heredan permisos débiles durante la instalación, exponiendo información sensible de mensajes y configuración en servidores corporativos de LATAM.

nvdaltovulnerabilidad CVSS 7.8 NVD

M Alto vulnerabilidad

Hace 1 día

Vulnerabilidad de complejidad algorítmica en hMailServer permite denegación de servicio remota

Una deficiencia en el lector JSON de hMailServer permite a atacantes remotos no autenticados causar indisponibilidad de servicios de correo mediante objetos JSON malformados con miembros duplicados. El procesamiento O(N²) genera degradación severa: 1 MB consume 8.9 segundos y 4 MB alcanza 300 segundos. Afecta empresas y proveedores de correo en LATAM que implementen este servidor de mensajería.

nvdaltovulnerabilidad CVSS 7.5 NVD

M Alto vulnerabilidad

Hace 1 día

Vulnerabilidad alta en Progressive Robot hMailServer permite denegación de servicio remota

Una complejidad algorítmica ineficiente en la verificación de firmas DKIM y ARC en Progressive Robot hMailServer 6.0.0 a 6.3.5 permite a atacantes remotos no autenticados saturar servidores de correo mediante mensajes especialmente crafted. El procesamiento de encabezados crece exponencialmente, causando consumo excesivo de recursos y caída del servicio de correo, impactando directamente la comunicación empresarial en organizaciones que dependen de este servidor.

nvdaltovulnerabilidad CVSS 7.5 NVD

M Alto vulnerabilidad

Hace 1 día

Vulnerabilidad alta en Progressive Robot hMailServer permite denegación de servicio remota

Se ha identificado una vulnerabilidad (CVE-2026-107577, CVSS 7.5) en Progressive Robot hMailServer versiones 6.0.0 a 6.3.5 que permite a atacantes remotos no autenticados causar indisponibilidad del servicio de correo. La falla radica en ineficiencia algorítmica y bucles infinitos al procesar encabezados MIME malformados en mensajes recibidos. Afecta directamente a servidores de correo en empresas de México y LATAM que dependan de esta plataforma.

nvdaltovulnerabilidad CVSS 7.5 NVD

M Alto vulnerabilidad

Hace 1 día

Vulnerabilidad de complejidad algorítmica en Progressive Robot hMailServer 6.3.4 y 6.3.5

Una vulnerabilidad de complejidad algorítmica ineficiente en el procesamiento de rebotes y quejas de hMailServer permite a atacantes remotos no autenticados detener la entrega de correo mediante mensajes especialmente crafteados. El riesgo es alta cuando el procesamiento de notificaciones de estado de entrega (RFC 3464) o listas de correo están habilitadas en servidores de correo empresariales y de proveedores de servicios en LATAM.

nvdaltovulnerabilidad CVSS 7.5 NVD

M Alto vulnerabilidad

Hace 1 día

Vulnerabilidad alta en hMailServer: validación de Host faltante permite ataque de fuerza bruta

Progressive Robot hMailServer versiones 6.0.0 a 6.3.5 contienen deficiencias en la validación de encabezados HTTP y falta de limitación de intentos fallidos en su API REST, permitiendo ataques de DNS rebinding para comprometer credenciales de administrador. Empresas en LATAM que utilizan este servidor de correo son vulnerables a toma de control administrativo si el listener REST está habilitado, incluso en configuraciones de loopback.

nvdaltovulnerabilidad CVSS 7.5 NVD

M Alto vulnerabilidad

Hace 1 día

Vulnerabilidad alta de autorización en hMailServer 6.0.0-6.3.5 permite escalada de privilegios local

hMailServer (versiones 6.0.0 a 6.3.5 en Windows) presenta falta de validación de permisos en objetos COM, permitiendo a usuarios locales sin credenciales del servidor leer/escribir archivos arbitrarios con privilegios de cuenta de servicio y suplantar remitentes. Esta vulnerabilidad afecta principalmente servidores de correo empresariales en LATAM que usan versiones antiguas sin hardening de DCOM.

nvdaltovulnerabilidad CVSS 7.8 NVD

M Alto vulnerabilidad

Hace 1 día

CVE-2026-104704: Vulnerabilidad alta en hMailServer 6.0.0-6.3.5 por falta de validación TLS en SMTP

hMailServer versiones 6.0.0 a 6.3.5 no implementa correctamente la validación DANE/TLSA para entregas SMTP salientes, permitiendo degradación a conexiones sin TLS cuando los registros DNSSEC no contienen registros DANE-EE. Esto expone las comunicaciones de correo en tránsito a empresas mexicanas y latinoamericanas que usan este servidor de correo, comprometiendo la confidencialidad de mensajes según RFC 7672.

nvdaltovulnerabilidad CVSS 7.4 NVD

M Alto vulnerabilidad

Hace 1 día

Vulnerabilidad de denegación de servicio en hMailServer 6.3.0-6.3.5 en Linux por falta de timeouts

Progressive Robot hMailServer versiones 6.3.0 a 6.3.5 en Linux presenta un defecto alta donde falta configuración de timeouts en conexiones de red, permitiendo a atacantes remotos bloquear threads del servidor e interrumpir la entrega de correo saliente. Este problema afecta directamente a servidores de correo empresariales en México y Latinoamérica que utilizan estas versiones en infraestructura Linux, causando degradación severa del servicio de comunicaciones.

nvdaltovulnerabilidad CVSS 7.5 NVD

M Alto vulnerabilidad

Hace 1 día

Vulnerabilidad alta de escalado de privilegios en hMailServer 6.3.4 y 6.3.5

El servicio hmailserver-update en hMailServer 6.3.4 y 6.3.5 ejecuta operaciones como root sin validar correctamente los parámetros de actualización proporcionados por la cuenta de servicio no privilegiada, permitiendo escalado de privilegios. Un atacante con acceso a la cuenta hmailserver podría comprometer completamente el servidor de correo y la infraestructura subyacente. Esta vulnerabilidad afecta directamente a empresas LATAM que ejecutan hMailServer como solución de correo corporativo.

nvdaltovulnerabilidad CVSS 7.8 NVD

M Alto vulnerabilidad

Hace 1 día

Desbordamiento de búfer en rutina Blowfish de hMailServer 6.0.0-6.3.3 (CVE-2026-103010)

Vulnerabilidad alta en Progressive Robot hMailServer permite a usuarios locales sin credenciales ejecutar desbordamiento de búfer en memoria heap mediante la rutina DecryptFromString, afectando servidores de correo en Windows. El proceso del servicio ejecuta con privilegios LocalSystem, permitiendo escritura de bytes arbitrarios con potencial acceso a datos sensibles y ejecución de código. Impacta infraestructuras de correo empresarial en México y LATAM que mantienen versiones 6.0.0 a 6.3.3.

nvdaltovulnerabilidad CVSS 7.8 NVD

M Alto vulnerabilidad

Hace 1 día

Vulnerabilidad XSS alta en hMailServer 6.3.2-6.3.5 permite ejecución de scripts en webmail

Se ha identificado una vulnerabilidad de cross-site scripting (XSS) en el cliente webmail de Progressive Robot hMailServer que afecta versiones 6.3.2 a 6.3.5. Un atacante remoto puede enviar mensajes cifrados (S/MIME u OpenPGP) que, al ser descifrados en el navegador, ejecutan código malicioso con los permisos de sesión del usuario. Esto compromete la confidencialidad de correos y credenciales en empresas que usan este servidor de correo.

nvdaltovulnerabilidad CVSS 8.0 NVD

M Alto vulnerabilidad

Hace 1 día

[CVE-2026-71183] An authorization vulnerability in Apache DolphinScheduler allows authenticated users to obtain infor…

An authorization vulnerability in Apache DolphinScheduler allows authenticated users to obtain information about data sources they are not authorized to access through the /unauth-datasource and /authed-datasource endpoints. These endpoints fail to enforce the required data source access controls and return sensitive connection information, including data source passwords. As a result, an authe…

nvdaltovulnerabilidad CVSS 7.1 NVD

M Alto vulnerabilidad

Hace 1 día

[CVE-2026-71895] An authorization vulnerability in Apache DolphinScheduler allows authenticated non-admin users to re…

An authorization vulnerability in Apache DolphinScheduler allows authenticated non-admin users to retrieve Kubernetes configuration data intended for administrator-managed cluster configuration. The exposed kubeconfig data contains credentials that may allow users to authenticate directly to the Kubernetes API outside DolphinScheduler. The impact depends on the permissions granted to the disclo…

nvdaltovulnerabilidad CVSS 7.1 NVD

M Alto vulnerabilidad

Hace 1 día

[CVE-2026-66084] An authorization bypass vulnerability in Apache DolphinScheduler allows authenticated users to modif…

An authorization bypass vulnerability in Apache DolphinScheduler allows authenticated users to modify task definitions in projects they are not authorized to access through the /dolphinscheduler/projects/{projectCode}/task-definition/{code}/with-upstream endpoint. The endpoint fails to verify that the task definition identified by code belongs to the project specified by projectCode. An authent…

nvdaltovulnerabilidad CVSS 8.1 NVD

M Alto vulnerabilidad

Hace 1 día

[CVE-2026-66087] An authorization bypass vulnerability in Apache DolphinScheduler allows authenticated users to opera…

An authorization bypass vulnerability in Apache DolphinScheduler allows authenticated users to operate task instance in projects they are not authorized to access through the  * /dolphinscheduler/projects/{projectCode}/task-instances/{taskInstanceId}/stop * /dolphinscheduler/projects/{projectCode}/task-instances/{taskInstanceId}/savepoint This issue affects Apache DolphinSchedul…

nvdaltovulnerabilidad CVSS 8.1 NVD

M Alto vulnerabilidad

Hace 1 día

[CVE-2026-103309] The GPTranslate WordPress plugin before 2.34.14 does not properly restrict who can store translatio…

The GPTranslate WordPress plugin before 2.34.14 does not properly restrict who can store translations, and does not escape them when outputting them in translated pages, allowing unauthenticated users to perform Stored Cross-Site Scripting attacks when server-side translations are enabled.

nvdaltovulnerabilidad CVSS 7.5 NVD

M Alto vulnerabilidad

Hace 1 día

[CVE-2026-17196] The Super Forms – Drag & Drop Form Builder plugin for WordPress is vulnerable to Unrestricted File T…

The Super Forms – Drag & Drop Form Builder plugin for WordPress is vulnerable to Unrestricted File Type Upload in all versions up to, and including, 6.3.316 via the upload_files function. This is due to missing file type validation in the upload_files function, which reads and applies an attacker-controlled extensions string from _super_elements post meta verbatim as the allowed MIME type map. Thi…

nvdaltovulnerabilidad CVSS 8.8 NVD

M Alto vulnerabilidad

Hace 2 días

[CVE-2026-82627] The Uncanny Automator – AI + Automation for WordPress | AI Agent, AI Page Builder, Free AI Usage Inc…

The Uncanny Automator – AI + Automation for WordPress | AI Agent, AI Page Builder, Free AI Usage Included plugin for WordPress is vulnerable to PHP Object Injection in all versions up to, and including, 7.6.1.1 via deserialization of untrusted input. This makes it possible for authenticated attackers, with Subscriber-level access and above, to inject a PHP Object when a third-party integration plu…

nvdaltovulnerabilidad CVSS 7.5 NVD

M Alto vulnerabilidad

Hace 2 días

[CVE-2026-89322] Vault and Vault Enterprise did not consistently evaluate ACL policies against the canonical form of …

Vault and Vault Enterprise did not consistently evaluate ACL policies against the canonical form of resource and policy names. This may allow an authenticated user with delegated permissions to bypass an explicit deny restriction and access a protected resource or assign a denied policy, potentially leading to privilege escalation. This vulnerability (CVE-2026-89322) is fixed in Vault Community Ed…

nvdaltovulnerabilidad CVSS 7.2 NVD