Empresa
¿Quiénes somos? Visión y Valores
Herramientas
Email Checker Vigía DNS SSL Checker Password Strength HTTP Headers Password Generator VPN PSK Generator
Alertas
Todas las alertas Vulnerabilidades Incidentes Solo críticas En CISA KEV Vigía LATAM
Editorial
Análisis técnico ¿Cuál es mi IP?
Blog
Blog 2MCI Noticias ISO 27001 Amenazas LATAM Recursos Gratuitos eBook Gratuito Newsletter Podcast / YouTube
Empresa
Servicios Contacto Suscribirse al Newsletter
Nuevo en 2MCI
Crear cuenta gratis Ver herramientas sin registro
Ya tengo cuenta
Iniciar sesión
Equipo
Portal interno 2MCI
Inicio/Alertas
Seguridad de la Información

Alertas de Seguridad de la Información

Vulnerabilidades explotadas activamente, incidentes y análisis relevantes para México y LATAM. Actualizado automáticamente desde fuentes oficiales.

48 vulnerabilidades en CISA KEV — explotación activa confirmada Ver todas →
Última alerta publicada hace 37 min
Buscando: "Multiple Vendors" — 20434 resultados ✕ Limpiar búsqueda
26,227
Total alertas
5270
Críticas
20093
Altas
8
Ransomware
1725
Esta semana
RSS
Vulnerabilidades × Limpiar todo ×
M Crítico vulnerabilidad
11/10/2026
[CVE-2026-108860] BotSharp through 5.2.0 contains an authentication bypass vulnerability that allows unauthenticated r…
BotSharp through 5.2.0 contains an authentication bypass vulnerability that allows unauthenticated remote attackers to forge bearer tokens using the hard-coded Jwt:Key in WebStarter appsettings.json. Attackers can sign tokens with the committed HMAC secret and fixed botsharp issuer and audience to impersonate any known user, including administrators, on Authorize-protected API routes.
nvdcriticovulnerabilidad CVSS 9.1 NVD
M Alto vulnerabilidad
11/10/2026
[CVE-2026-108853] UnicomAI Wanwu before 0.6.3 contains an insecure direct object reference vulnerability that allows a…
UnicomAI Wanwu before 0.6.3 contains an insecure direct object reference vulnerability that allows authenticated low-privileged users to delete other tenants' agent or RAG applications by supplying their appId. Attackers can send requests to DELETE /v1/appspace/app with guessed sequential assistant IDs to permanently delete victims' applications, workflows, conversations, and associated data.
nvdaltovulnerabilidad CVSS 8.1 NVD
M Alto vulnerabilidad
11/10/2026
[CVE-2026-108758] Easy!Appointments through 1.6.0 contains an authorization bypass vulnerability in Booking::register(…
Easy!Appointments through 1.6.0 contains an authorization bypass vulnerability in Booking::register() that allows unauthenticated attackers to modify any appointment by supplying an appointment id without its hash. Attackers can enumerate sequential appointment ids with a self-asserted manage_mode flag to rewrite appointment details, rebind them to attacker-controlled customers, and obtain managem…
nvdaltovulnerabilidad CVSS 8.2 NVD
M Alto vulnerabilidad
11/10/2026
[CVE-2026-108760] LlamaFarm through 0.0.34 contains an insecure default configuration that binds its unauthenticated F…
LlamaFarm through 0.0.34 contains an insecure default configuration that binds its unauthenticated FastAPI server to 0.0.0.0 on port 14345, while the lf CLI silently discards HOST overrides. Network-adjacent attackers can call the project and dataset management API to read stored provider API keys, modify projects, trigger ingestion, and irreversibly delete projects.
nvdaltovulnerabilidad CVSS 7.6 NVD
M Crítico vulnerabilidad
11/10/2026
[CVE-2026-108753] Agnaistic agnai through 1.0.555 contains a hard-coded credentials vulnerability in self-host.docker-…
Agnaistic agnai through 1.0.555 contains a hard-coded credentials vulnerability in self-host.docker-compose.yml, which sets a fixed admin password and public JWT secret. Unauthenticated attackers can log in as admin or sign their own JWT with admin: true to impersonate users, reset passwords, and change server configuration.
nvdcriticovulnerabilidad CVSS 9.4 NVD
M Alto vulnerabilidad
11/10/2026
[CVE-2026-108746] Vearch 3.5.2 through 3.5.9 contains an incorrect authorization vulnerability in Role.HasPermissionFo…
Vearch 3.5.2 through 3.5.9 contains an incorrect authorization vulnerability in Role.HasPermissionForResources that ignores stored ReadOnly or None privilege levels for resources listed in a role. Authenticated non-root users can upsert and delete documents with read-only access, or call PUT /roles to grant their role WriteRead privileges, escalating toward cluster administrator access.
nvdaltovulnerabilidad CVSS 8.8 NVD
M Alto vulnerabilidad
11/10/2026
[CVE-2026-108739] OpenAgents Workspace backend through launcher-v1.0.17 contains an information disclosure vulnerabili…
OpenAgents Workspace backend through launcher-v1.0.17 contains an information disclosure vulnerability that allows unauthenticated attackers to list all workspaces via GET /v1/workspaces. Attackers can read the unmasked browserfabric_api_key in each workspace's settings map, along with workspace ids, slugs, creator emails and member lists.
nvdaltovulnerabilidad CVSS 7.5 NVD

📬 Alertas semanales SI directo en tu email

Las vulnerabilidades más críticas para LATAM, con contexto y recomendaciones accionables. Gratis.

Suscribirme →
M Alto vulnerabilidad
11/10/2026
[CVE-2026-108740] GoatCounter through 2.7.0 contains a mass assignment privilege escalation vulnerability in the userP…
GoatCounter through 2.7.0 contains a mass assignment privilege escalation vulnerability in the userPrefSave handler that allows logged-in users to modify protected account fields via form-encoded requests. Attackers with read-only access can POST user.access[all]=* and user.email_verified=true to /user/pref, bypassing readonly tags to gain superuser or admin access.
nvdaltovulnerabilidad CVSS 8.3 NVD
M Alto vulnerabilidad
11/10/2026
[CVE-2026-108744] pbi-cli 3.10.1 through 3.12.0 contains an OS command injection vulnerability in desktop_sync.py that…
pbi-cli 3.10.1 through 3.12.0 contains an OS command injection vulnerability in desktop_sync.py that passes unquoted .pbip paths to cmd /c start when reopening projects. Attackers can lure victims into opening a Power BI project from a space-free path containing & to run commands with victim privileges during report write or reload.
nvdaltovulnerabilidad CVSS 7.0 NVD
M Alto vulnerabilidad
11/10/2026
[CVE-2026-108718] Rill 0.77.0 through 0.90.5 contains a missing authorization vulnerability in the admin OAuth server …
Rill 0.77.0 through 0.90.5 contains a missing authorization vulnerability in the admin OAuth server that issues authorization codes to dynamically registered clients without user consent. Attackers can register a client with the long_lived_access_token scope and lure a user to an authorization link, obtaining a non-expiring API token with the user's full permissions.
nvdaltovulnerabilidad CVSS 8.1 NVD
M Alto vulnerabilidad
11/10/2026
[CVE-2026-108714] MCP Kotlin SDK through 0.15.0 contains an uncontrolled memory allocation vulnerability that allows r…
MCP Kotlin SDK through 0.15.0 contains an uncontrolled memory allocation vulnerability that allows remote clients to exhaust server memory because Application.mcpWebSocket installs Ktor WebSockets without a maxFrameSize limit. Attackers can send small frame headers declaring payloads near 2 GiB over one or a few connections, forcing huge heap allocations and causing denial of service.
nvdaltovulnerabilidad CVSS 7.5 NVD
M Crítico vulnerabilidad
11/10/2026
[CVE-2026-108576] A vulnerability was found in TOZED X300 up to 6.01.3. This vulnerability affects the function proces…
A vulnerability was found in TOZED X300 up to 6.01.3. This vulnerability affects the function process_ping of the component IPPingDiagnostics Handler. The manipulation of the argument Host results in os command injection. The attack can be launched remotely. The vendor was contacted early about this disclosure but did not respond in any way.
nvdcriticovulnerabilidad CVSS 10.0 NVD
M Alto vulnerabilidad
11/10/2026
Inyección SQL alta en Xinhu Rainrock RockOA permite ejecución remota de código
Se ha identificado una vulnerabilidad de inyección SQL en Xinhu Rainrock RockOA versiones hasta 2.7.6 en el componente Openkqj Action (archivo openkqjAction.php). Un atacante remoto puede manipular el parámetro ID para ejecutar comandos SQL arbitrarios en la base de datos del sistema. El exploit está disponible públicamente, aumentando el riesgo inmediato para empresas en LATAM que usan esta plataforma de gestión documental.
nvdaltovulnerabilidad CVSS 7.3 NVD
M Alto vulnerabilidad
11/10/2026
Plugin Subscribe to Comments de WordPress vulnerable a XSS reflejado antes de versión 2.3.3
El plugin Subscribe to Comments para WordPress en versiones anteriores a 2.3.3 contiene una vulnerabilidad de Cross-Site Scripting (XSS) reflejado que permite a atacantes no autenticados inyectar código malicioso mediante parámetros sin validar. Un administrador o usuario podría ser comprometido al hacer clic en URLs manipuladas, exponiendo credenciales y sesiones activas. Este riesgo es alta en sitios WordPress mexicanos y latinoamericanos que usan este plugin para gestionar suscripciones a comentarios.
nvdaltovulnerabilidad CVSS 7.1 NVD
M Alto vulnerabilidad
11/10/2026
Vulnerabilidad de validación en plugin Piotnet Forms permite XSS almacenado en WordPress
El plugin Piotnet Forms para WordPress versión 1.0.30 y anteriores no valida solicitudes de carga de archivos, permitiendo a atacantes no autenticados almacenar archivos con contenido JavaScript ejecutable. Cuando un usuario abre el archivo, el código malicioso se ejecuta en el contexto del sitio web, comprometiendo datos de visitantes y administradores. Esta vulnerabilidad afecta a miles de sitios en LATAM que utilizan este plugin para formularios de contacto y recopilación de datos.
nvdaltovulnerabilidad CVSS 8.8 NVD

🛡 ¿Estás expuesto a alguna de estas vulnerabilidades?

Evaluación gratuita inicial con el equipo 2MCI: identifica exposición y plan de remediación.

Habla con un experto →
M Alto vulnerabilidad
11/10/2026
Inyección SQL alta en plugin Recordbrowser de WordPress versión 1.1.7 y anteriores
El plugin Recordbrowser para WordPress versión 1.1.7 y anteriores contiene una vulnerabilidad de inyección SQL que permite a atacantes no autenticados extraer información sensible de bases de datos. Esta falla afecta principalmente a sitios web de pequeñas y medianas empresas en LATAM que utilizan este plugin sin actualizar. Con CVSS 8.6, representa un riesgo alta para la confidencialidad de datos de clientes y operaciones internas.
nvdaltovulnerabilidad CVSS 8.6 NVD
M Alto vulnerabilidad
11/10/2026
Inyección SQL alta en plugin WP-Partner de WordPress hasta versión 1.2.1
El plugin WP-Partner para WordPress versiones hasta 1.2.1 contiene una vulnerabilidad de inyección SQL que permite a atacantes no autenticados ejecutar consultas maliciosas y extraer información sensible de bases de datos. Afecta directamente a sitios WordPress en producción en México y Latinoamérica que utilicen este plugin, poniendo en riesgo datos de clientes, configuraciones y credenciales.
nvdaltovulnerabilidad CVSS 8.6 NVD
M Alto vulnerabilidad
11/10/2026
Vulnerabilidad alta en plugin WP Posts Password Batch Manager permite modificar contraseñas de posts
El plugin WordPress 'WP Posts Password Batch Manager' versión 1.1 y anteriores contiene una vulnerabilidad que permite a atacantes no autenticados modificar o resetear las contraseñas de todos los posts publicados sin validar capacidades o tokens de seguridad. Esto expone contenido protegido o bloquea posts detrás de contraseñas elegidas por el atacante, afectando sitios web corporativos, gubernamentales y de medios en LATAM que dependen de este plugin.
nvdaltovulnerabilidad CVSS 8.6 NVD
M Alto vulnerabilidad
11/10/2026
SQL Injection alta en plugin Datalist it para WordPress versiones ≤0.0.3
El plugin Datalist it de WordPress hasta la versión 0.0.3 contiene una vulnerabilidad de inyección SQL que permite a atacantes no autenticados extraer datos arbitrarios de la base de datos sin requerir credenciales. Afecta especialmente a pequeñas y medianas empresas en LATAM que utilizan WordPress para e-commerce y portales corporativos, exponiendo información de clientes y configuraciones sensibles.
nvdaltovulnerabilidad CVSS 8.6 NVD
M Alto vulnerabilidad
11/10/2026
Inyección SQL alta en plugin ASPL Product Quotation para WordPress hasta v1.1.0
El plugin ASPL Product Quotation para WordPress versión 1.1.0 y anteriores contiene una vulnerabilidad de inyección SQL (CVSS 8.6) que permite a atacantes no autenticados extraer datos arbitrarios de la base de datos al no sanitizar parámetros antes de usarlos en consultas SQL. Esta falla expone información sensible en tiendas de comercio electrónico y sitios corporativos en LATAM que dependen de este plugin para gestionar cotizaciones.
nvdaltovulnerabilidad CVSS 8.6 NVD