Alertas de Seguridad de la Información

M Alto vulnerabilidad

12/10/2026

[CVE-2026-108953] mac-shell-mcp before 2.0.0 contains an OS command injection vulnerability that allows MCP clients to…

mac-shell-mcp before 2.0.0 contains an OS command injection vulnerability that allows MCP clients to bypass the command whitelist by injecting shell metacharacters into execute_command arguments. Attackers or malicious prompts can call a safe command such as pwd with arguments like ';' to run forbidden commands as the server user without approval.

nvdaltovulnerabilidad CVSS 7.8 NVD

M Alto vulnerabilidad

12/10/2026

[CVE-2026-109164] TDuck survey form through 6.0 contains an insecure direct object reference vulnerability that allows…

TDuck survey form through 6.0 contains an insecure direct object reference vulnerability that allows authenticated users to delete other users' form submissions by supplying arbitrary submission ids. Attackers can place their own formKey in the path and iterate sequential submission ids in the request body to permanently delete submissions platform-wide.

nvdaltovulnerabilidad CVSS 7.1 NVD

M Alto vulnerabilidad

12/10/2026

[CVE-2026-108836] A vulnerability has been found in Ollama up to 0.34.1. The affected element is the function IsValid …

A vulnerability has been found in Ollama up to 0.34.1. The affected element is the function IsValid of the file types/model/name.go of the component Pull API. The manipulation leads to server-side request forgery. It is possible to initiate the attack remotely. The exploit has been disclosed to the public and may be used. Upgrading to version 0.34.2 is sufficient to fix this issue. The identifier …

nvdaltovulnerabilidad CVSS 7.3 NVD

M Alto vulnerabilidad

12/10/2026

Vulnerabilidad XSS almacenado alta en Tuleap Enterprise Edition 17.0-17.5

Una vulnerabilidad de cross-site scripting (XSS) almacenado en Tuleap Enterprise Edition versiones 17.0 a 17.5 permite a atacantes ejecutar código malicioso en sesiones de usuarios. Afecta principalmente a equipos que utilizan esta plataforma de gestión de proyectos en entornos corporativos de México y LATAM. El riesgo se amplifica en organizaciones con múltiples usuarios accediendo a datos sensibles o colaborativos.

nvdaltovulnerabilidad CVSS 8.7 NVD

M Alto vulnerabilidad

12/10/2026

Vulnerabilidad alta de omisión de autorización en Tuleap Enterprise Edition 17.0-17.5

Una vulnerabilidad de omisión de autorización en Tuleap Enterprise Edition (versiones 17.0 a 17.5) permite que un atacante con derechos de administración en un rastreador acceda y modifique campos de todos los rastreadores en la instancia. Esta falla afecta directamente a empresas LATAM que utilizan Tuleap para gestión de proyectos y seguimiento de requisitos, comprometiendo la integridad de datos altas. El CVSS 8.1 indica severidad alta, especialmente en organizaciones con múltiples equipos y rastreadores.

nvdaltovulnerabilidad CVSS 8.1 NVD

M Alto vulnerabilidad

12/10/2026

Vulnerabilidad de inyección SQL alta en Tuleap Enterprise Edition 17.5

Una vulnerabilidad de inyección SQL (CVE-2026-105412) en Tuleap Enterprise Edition 17.5 permite a atacantes acceder sin autorización a los datos almacenados en la base de datos, comprometiendo información sensible de proyectos y usuarios. Empresas en LATAM que utilizan esta plataforma para gestión de proyectos y colaboración están expuestas a exfiltración de datos altas. Con un CVSS de 7.1, esta vulnerabilidad representa un riesgo alto que requiere acción inmediata.

nvdaltovulnerabilidad CVSS 7.1 NVD

M Alto vulnerabilidad

12/10/2026

Inyección SQL alta en Zen Cart afecta manejador de pagos PayPal

Se identificó una vulnerabilidad de inyección SQL en Zen Cart versiones hasta 2.2.2 que afecta la función zen_db_perform en el manejador IPN de PayPal (paypaldp.php). Un atacante puede manipular el parámetro txn_id para ejecutar consultas SQL maliciosas de forma remota. El exploit es público y operativo, impactando directamente tiendas de comercio electrónico en LATAM que procesan pagos con PayPal integrado.

nvdaltovulnerabilidad CVSS 7.3 NVD

M Alto vulnerabilidad

12/10/2026

Vulnerabilidad de autorización en MikroTik RouterOS permite escalación de privilegios vía WinBox

Una falla en el flujo de autenticación WinBox de MikroTik RouterOS permite que un atacante autenticado con credenciales de bajo privilegio obtenga acceso a políticas de autorización de otras cuentas. Esta vulnerabilidad afecta infraestructuras de red altas en LATAM donde RouterOS es ampliamente utilizado en ISPs, empresas y centros de datos. El atacante remoto puede escalar privilegios sin requerir credenciales administrativas.

nvdaltovulnerabilidad CVSS 8.8 NVD

M Alto vulnerabilidad

12/10/2026

Vulnerabilidad alta de inyección de comandos OS en Tuleap Enterprise Edition 17.0-17.5

Una vulnerabilidad de inyección de comandos del sistema operativo (CVSS 8.8) afecta Tuleap Enterprise Edition versiones 17.0 a 17.5, permitiendo a atacantes ejecutar comandos arbitrarios en servidores. Esta falla impacta directamente plataformas de gestión de proyectos y colaboración ampliamente usadas en organizaciones de LATAM. Empresas con instancias afectadas enfrentan riesgo alta de compromiso total del servidor.

nvdaltovulnerabilidad CVSS 8.8 NVD

M Alto vulnerabilidad

12/10/2026

Vulnerabilidad XSS almacenado alta en Tuleap Enterprise Edition 17.0-17.5

Una vulnerabilidad de Cross-site Scripting (XSS) almacenado en Tuleap Enterprise Edition versiones 17.0 a 17.5 permite a atacantes ejecutar código arbitrario en las sesiones de navegador de usuarios. Esta falla afecta principalmente a equipos de desarrollo y gestión de proyectos que utilizan esta plataforma de colaboración en entornos corporativos de México y Latinoamérica. El riesgo incluye compromiso de credenciales, robo de datos sensibles y lateral movement dentro de redes internas.

nvdaltovulnerabilidad CVSS 8.7 NVD

M Alto vulnerabilidad

12/10/2026

Vulnerabilidad XSS almacenado alta en Tuleap Enterprise Edition 17.0-17.5 (CVE-2026-105409)

Tuleap Enterprise Edition versiones 17.0 a 17.5 contiene una vulnerabilidad de Cross-site Scripting (XSS) almacenado con CVSS 8.7 que permite a atacantes ejecutar código arbitrario en sesiones de navegador de usuarios. Afecta plataformas de gestión de proyectos y colaboración ampliamente desplegadas en empresas mexicanas y latinoamericanas. Un atacante autenticado puede inyectar scripts maliciosos que se ejecutan en navegadores de otros usuarios, comprometiendo credenciales y datos sensibles.

nvdaltovulnerabilidad CVSS 8.7 NVD

M Alto vulnerabilidad

12/10/2026

Vulnerabilidad alta en DigiDoc: falsificación de firmas digitales (CVE-2026-103902)

Una vulnerabilidad de verificación criptográfica en DigiDoc (libdigidocpp 4.0.0-4.4.x, DigiDoc4 4.6.0-4.10.x, y versiones Android/iOS) permite a atacantes crear firmas digitales forjadas que las aplicaciones afectadas validan como legítimas. Esto compromete la integridad de documentos firmados digitalmente en transacciones legales, fiscales y administrativas altas en organizaciones de LATAM.

nvdaltovulnerabilidad CVSS 7.5 NVD

M Alto vulnerabilidad

12/10/2026

Vulnerabilidad alta en Agno AGI afecta orquestación de agentes hasta versiones 3.0.6/3.1.1

Se ha descubierto una falla de seguridad en Agno AGI (versiones ≤3.0.6 y ≤3.1.1) en la capa de orquestación de agentes que permite manipulación remota del parámetro 'code', resultando en ejecución dinámica de código no autorizado. La vulnerabilidad es explotable remotamente y ha sido divulgada públicamente, aumentando el riesgo inmediato para organizaciones en LATAM que utilicen este framework.

nvdaltovulnerabilidad CVSS 7.3 NVD

M Alto vulnerabilidad

12/10/2026

Vulnerabilidad alta en agno-agi (CVE-2026-108818) permite eludir autenticación

Se identificó una vulnerabilidad en agno-agi versiones hasta 2.7.3 y 3.0.6 que permite eludir mecanismos de autenticación mediante manipulación del parámetro security_key en la función get_authentication_dependency del archivo auth.py. El exploit está disponible públicamente y puede explotarse de forma remota, afectando servidores y aplicaciones en la región que utilicen estas versiones. El fabricante fue notificado pero aún no ha publicado parches confirmados.

nvdaltovulnerabilidad CVSS 7.3 NVD

M Crítico vulnerabilidad

12/10/2026

Vulnerabilidad crítica en OTRS: tokens de autenticación no se invalidan inmediatamente

OTRS contiene una falla de seguridad donde los tokens JWT emitidos no se revocan de inmediato cuando se desactiva una cuenta o se cambia la contraseña, permaneciendo válidos hasta 16 horas. Un atacante que posea un token válido puede mantener acceso con privilegios de agente o cliente incluso después de la desactivación de la cuenta. Esta vulnerabilidad afecta directamente a centros de soporte técnico, equipos de atención al cliente y sistemas de ticketing críticos en empresas LATAM.

nvdcriticovulnerabilidad CVSS 9.1 NVD

M Crítico vulnerabilidad

12/10/2026

Vulnerabilidad crítica en OTRS Community Edition 6: bypass de autenticación HTTP Basic

OTRS Community Edition versión 6 y anteriores contiene una vulnerabilidad que permite a atacantes no autenticados eludir la autenticación HTTP Basic mediante encabezados manipulados (Remote-User). En despliegues CGI y mod_perl, los encabezados HTTP se mapean a variables de entorno HTTP_*, permitiendo suplantación de identidad remota. Afecta directamente a sistemas de tickets y gestión de incidentes en empresas mexicanas y latinoamericanas que usan esta plataforma.

nvdcriticovulnerabilidad CVSS 9.4 NVD

M Alto vulnerabilidad

12/10/2026

Vulnerabilidad de traversal de directorios en OTRS afecta eliminación de archivos

Una vulnerabilidad de traversal de rutas en la funcionalidad SendSupportBundle de OTRS permite que administradores autenticados eliminen archivos fuera del directorio previsto en servidores de soporte técnico. El riesgo es alta (CVSS 8.7) en versiones anteriores a OTRS 7, donde los permisos efectivos del servidor web amplían el acceso. Empresas de helpdesk y soporte en LATAM que usen OTRS deben evaluar su exposición inmediatamente.

nvdaltovulnerabilidad CVSS 8.7 NVD

M Alto vulnerabilidad

12/10/2026

Inyección SQL alta en EmployeeRecruitmentSystem afecta portales de reclutamiento

Se identificó una vulnerabilidad de inyección SQL (CVSS 7.3) en EmployeeRecruitmentSystem que permite manipulación remota del componente Registration Handler mediante el archivo adminregister.php. El exploit está disponible públicamente, poniendo en riesgo sistemas de gestión de personal y bases de datos de candidatos en empresas de LATAM que utilicen esta solución.

nvdaltovulnerabilidad CVSS 7.3 NVD

M Crítico vulnerabilidad

12/10/2026

[CVE-2026-108804] A vulnerability was detected in TRENDnet TEW-751DR, TEW-752DRU and TEW733GR 1.03B01/1.03B03. Affecte…

A vulnerability was detected in TRENDnet TEW-751DR, TEW-752DRU and TEW733GR 1.03B01/1.03B03. Affected is the function fwrite of the file pigwidgeon.cgi of the component Web Management Backend. The manipulation of the argument service results in os command injection. It is possible to launch the attack remotely. The exploit is now public and may be used. The vendor confirms: "As this router was EOL…

nvdcriticovulnerabilidad CVSS 10.0 NVD

M Alto vulnerabilidad

12/10/2026

[CVE-2026-108805] A flaw has been found in krupalshah EmployeeRecruitmentSystem up to 922ff6d208278282e7c8e36d70d9ae35…

A flaw has been found in krupalshah EmployeeRecruitmentSystem up to 922ff6d208278282e7c8e36d70d9ae356adec9fe. Affected by this vulnerability is the function mysql_query of the file source/loginprocessing.php of the component Login Handler. This manipulation of the argument email/password causes sql injection. The attack can be initiated remotely. The exploit has been published and may be used. Con…

nvdaltovulnerabilidad CVSS 7.3 NVD