Alertas de Seguridad de la Información

M Alto vulnerabilidad

04/08/2026

[CVE-2026-18806] External control of file name or path vulnerability in TÜBİTAK BİLGEM Software Technologies Research…

External control of file name or path vulnerability in TÜBİTAK BİLGEM Software Technologies Research Institute pardus-image-writer allows Removing Important Client Functionality. This issue affects pardus-image-writer: before 1.0.4.

nvdaltovulnerabilidad CVSS 7.1 NVD

M Alto vulnerabilidad

04/08/2026

[CVE-2026-10709] A maliciously crafted FBX file, when parsed through Autodesk FBX SDK, can trigger a stack-based buff…

A maliciously crafted FBX file, when parsed through Autodesk FBX SDK, can trigger a stack-based buffer overflow vulnerability in fbxsdk::FbxIO::BinaryReadSectionHeader. A malicious actor can leverage this vulnerability to execute arbitrary code in the context of the current process.

nvdaltovulnerabilidad CVSS 7.8 NVD

M Alto vulnerabilidad

04/08/2026

[CVE-2026-10710] A maliciously crafted FBX file, when parsed through Autodesk FBX SDK, can trigger a stack-based buff…

A maliciously crafted FBX file, when parsed through Autodesk FBX SDK, can trigger a stack-based buffer overflow vulnerability in fbxsdk::ExtractDrive. A malicious actor can leverage this vulnerability to execute arbitrary code in the context of the current process.

nvdaltovulnerabilidad CVSS 7.8 NVD

M Crítico vulnerabilidad

04/08/2026

Vulnerabilidad crítica en HUMANIST Digital Human Resources por clave criptográfica codificada

Se detectó una vulnerabilidad de severidad alta (CVSS 9.1) en HUMANIST Digital Human Resources versiones 26.0 anteriores a 26.1, que permite a atacantes leer constantes sensibles dentro del ejecutable mediante claves criptográficas hardcodeadas. Esto expone credenciales y datos confidenciales de recursos humanos en empresas de México y LATAM. La vulnerabilidad afecta principalmente a organizaciones que usan este sistema para gestión de nómina y personal.

nvdcriticovulnerabilidad CVSS 9.1 NVD

M Alto vulnerabilidad

04/08/2026

Vulnerabilidad de session hijacking en HUMANIST Digital Human Resources por uso de GET con parámetros sensibles

HUMANIST Digital Human Resources (versiones 26.0 a 26.1) expone credenciales y tokens de sesión en strings de consulta GET, permitiendo secuestro de sesiones. Afecta a departamentos de Recursos Humanos en empresas de México y LATAM que utilizan este sistema para gestión de nómina y personal. El riesgo alta radica en la facilidad de captura de información sensible en logs de servidor, proxies corporativos e historiales del navegador.

nvdaltovulnerabilidad CVSS 7.4 NVD

M Crítico vulnerabilidad

04/08/2026

Vulnerabilidad crítica en HUMANIST Digital Human Resources: almacenamiento en texto plano e inyección SQL

HUMANIST Digital Human Resources (versiones 26.0 a 26.0.x) contiene una vulnerabilidad crítica (CVSS 9.8) que permite el almacenamiento de información sensible en texto plano y inyección SQL. Esta falla afecta directamente sistemas de gestión de recursos humanos en empresas LATAM, exponiendo credenciales, datos de nómina y información personal de empleados. La vulnerabilidad es explotable remotamente sin autenticación previa.

nvdcriticovulnerabilidad CVSS 9.8 NVD

M Crítico vulnerabilidad

04/08/2026

Vulnerabilidad crítica de carga de archivos peligrosos en HUMANIST Digital Human Resources

HUMANIST Digital Human Resources (versiones 26.0 a 26.0.x) contiene una vulnerabilidad de carga sin restricciones que permite a atacantes subir shells web al servidor. Esta falla afecta directamente a departamentos de Recursos Humanos en México y LATAM que gestionen nómina y datos sensibles de empleados. El CVSS 9.8 indica riesgo crítico de compromiso total del sistema.

nvdcriticovulnerabilidad CVSS 9.8 NVD

M Alto vulnerabilidad

04/08/2026

[CVE-2026-67243] Vulnerabilidad alta de carga de archivos en freo2 de refirio

freo2 (proporcionado por refirio) contiene una vulnerabilidad de carga sin restricciones de archivos ejecutables que permite a administradores con privilegios máximos ejecutar comandos arbitrarios del sistema operativo. Esta vulnerabilidad afecta servidores en producción que utilicen esta plataforma en empresas mexicanas y latinoamericanas, comprometiendo la integridad y disponibilidad de infraestructuras altas.

nvdaltovulnerabilidad CVSS 7.2 NVD

M Crítico vulnerabilidad

04/08/2026

Clave RSA estática incrustada en firmware afecta servidores Lighttpd (CVE-2026-18753)

Firmware de múltiples fabricantes contiene una clave privada RSA estática utilizada por el servidor web Lighttpd para terminación TLS. Su exposición permite a atacantes descifrar tráfico HTTPS, suplantar servidores y comprometer la confidencialidad e integridad de comunicaciones. Afecta especialmente infraestructuras de borde y dispositivos IoT en datacenters LATAM.

nvdcriticovulnerabilidad CVSS 9.1 NVD

M Crítico vulnerabilidad

04/08/2026

Clave RSA privada incrustada en firmware afecta servidores Lighttpd (CVE-2026-18754)

El firmware de múltiples dispositivos contiene una clave RSA privada estática utilizada por el servidor web Lighttpd para terminación TLS. La exposición de esta clave permite a atacantes descifrar comunicaciones HTTPS, suplantar servidores y comprometer la confidencialidad e integridad de datos sensibles en tránsito. Impacta infraestructuras críticas y plataformas de comercio electrónico en LATAM que dependen de este servicio web.

nvdcriticovulnerabilidad CVSS 9.1 NVD

M Alto vulnerabilidad

04/08/2026

Vulnerabilidad alta de secuestro DLL en GeoVision GV-ASManager permite ejecución de código arbitrario

GeoVision GV-ASManager presenta una vulnerabilidad de secuestro de librerías dinámicas (DLL hijacking) que permite a un atacante local con acceso de escritura ejecutar código arbitrario bajo los privilegios del proceso vulnerable. La amenaza es significativa en instalaciones de videovigilancia y sistemas de control de acceso en México y Latinoamérica, donde GV-ASManager es ampliamente deployado en infraestructura alta, retail y empresarial.

nvdaltovulnerabilidad CVSS 7.3 NVD

M Crítico vulnerabilidad

04/08/2026

[CVE-2026-16618] The Improve SEO WordPress plugin through 2.0.11 does not properly validate uploaded files, checking …

The Improve SEO WordPress plugin through 2.0.11 does not properly validate uploaded files, checking only the file content type while writing the file with the attacker-supplied extension into a publicly accessible directory, allowing unauthenticated users to upload executable PHP files and achieve remote code execution.

nvdcriticovulnerabilidad CVSS 9.8 NVD

M Alto vulnerabilidad

04/08/2026

[CVE-2026-16623] The Create Block WordPress plugin before 2.10.0 does not correctly escape user-supplied text before…

The Create Block WordPress plugin before 2.10.0 does not correctly escape user-supplied text before writing it into a generated PHP pattern file, allowing a multisite subsite administrator (who holds the capability gating this action but is denied the capability that normally gates PHP file editing) to inject and execute arbitrary PHP code on the server.

nvdaltovulnerabilidad CVSS 8.0 NVD

M Crítico vulnerabilidad

04/08/2026

[CVE-2026-15958] The Easy Integration for Dropbox WordPress plugin before 2.2.0 does not perform authorization check…

The Easy Integration for Dropbox WordPress plugin before 2.2.0 does not perform authorization checks on several of its file-management AJAX actions that it also registers for unauthenticated users, allowing an unauthenticated attacker to list, download and upload arbitrary files across the connected Dropbox account and to read the connected account and administrator email addresses.

nvdcriticovulnerabilidad CVSS 9.3 NVD

M Alto vulnerabilidad

04/08/2026

Vulnerabilidad alta en GIMP: desbordamiento de búfer en cargador APNG y complemento DDS

GIMP presenta dos vulnerabilidades de desbordamiento de búfer en heap que pueden ser explotadas al abrir archivos APNG malformados (cuando el ancho fcTL excede IHDR) o imágenes DDS con desajuste de bytes por píxel. Un atacante puede desencadenar corrupción de memoria y ejecución arbitraria de código en sistemas donde GIMP procesa archivos sin validación previa. Este riesgo afecta principalmente a organizaciones creativas en México y LATAM que utilizan GIMP para edición de contenido digital.

nvdaltovulnerabilidad CVSS 7.3 NVD

M Alto vulnerabilidad

04/08/2026

Vulnerabilidad de traversal de ruta en Zyxel ATP, USG FLEX y USG20(W)-VPN (CVE-2026-14818)

Una vulnerabilidad de traversal de ruta en comandos CLI de dispositivos Zyxel (ATP, USG FLEX, USG FLEX 50(W) y USG20(W)-VPN) en versiones V4.16 a V5.42 Patch 1 permite a usuarios autenticados acceder a archivos fuera del directorio permitido. Esto afecta principalmente a empresas en LATAM que utilizan estos firewalls de seguridad perimetral. La vulnerabilidad posibilita escalada de privilegios y exposición de configuraciones altas.

nvdaltovulnerabilidad CVSS 7.2 NVD

M Alto vulnerabilidad

04/08/2026

Vulnerabilidad alta de inyección de comandos en Zyxel WAX650S (CVE-2026-6837)

Se ha identificado una vulnerabilidad de inyección de comandos posterior a autenticación en el programa CGI 'export-cgi' de los puntos de acceso inalámbrico Zyxel WAX650S en versiones hasta 7.10(ABRM.4)C0. Un administrador comprometido o usuario con privilegios elevados podría ejecutar comandos del sistema operativo en el dispositivo afectado. Esta vulnerabilidad impacta infraestructuras de conectividad corporativa, especialmente en entornos PYME en México y Latinoamérica que despliegan estos equipos como concentradores de red.

nvdaltovulnerabilidad CVSS 7.2 NVD

M Alto vulnerabilidad

04/08/2026

Vulnerabilidad de path traversal no autenticado en CustomSounds (CVE-2026-56845)

Existe una vulnerabilidad de lectura local de archivos (LFI) no autenticada en módulos CustomSounds configurados con almacenamiento FileSystem. Un atacante puede leer archivos arbitrarios del servidor utilizando secuencias ../ en la ruta de solicitud, comprometiendo datos sensibles como credenciales, configuraciones y archivos de aplicación. Esta vulnerabilidad afecta directamente a plataformas de comunicaciones unificadas y sistemas PBX en empresas mexicanas y latinoamericanas.

nvdaltovulnerabilidad CVSS 7.5 NVD

M Alto vulnerabilidad

04/08/2026

Vulnerabilidad alta en Node.js HTTP/2 permite agotamiento de memoria remota

Un defecto en el manejo de HTTP/2 en Node.js permite que bloques de encabezados retenidos eludan el límite maxSessionMemory, facilitando ataques de denegación de servicio por exhaustión de memoria. Afecta Node.js versiones 24.x y 22.x, poniendo en riesgo aplicaciones web y APIs desplegadas en producción en data centers y servicios en la nube de LATAM.

nvdaltovulnerabilidad CVSS 7.5 NVD

M Alto vulnerabilidad

04/08/2026

Falla de validación de origen en Microsoft Edge permite divulgación de información

Se ha identificado una vulnerabilidad alta (CVSS 8.1) en Microsoft Edge basado en Chromium que permite a atacantes no autorizados eludir validaciones de origen y acceder a información sensible a través de la red. Esta falla afecta principalmente a empresas en México y LATAM que dependen de Edge como navegador corporativo, exponiendo datos de sesiones, credenciales y comunicaciones internas.

nvdaltovulnerabilidad CVSS 8.1 NVD