Empresa
¿Quiénes somos? Visión y Valores
Herramientas
Email Checker Vigía DNS SSL Checker Password Strength HTTP Headers Password Generator VPN PSK Generator
Alertas
Todas las alertas Vulnerabilidades Incidentes Solo críticas En CISA KEV Vigía LATAM
Editorial
Análisis técnico ¿Cuál es mi IP?
Blog
Blog 2MCI Noticias ISO 27001 Amenazas LATAM Recursos Gratuitos eBook Gratuito Newsletter Podcast / YouTube
Empresa
Servicios Contacto Suscribirse al Newsletter
Nuevo en 2MCI
Crear cuenta gratis Ver herramientas sin registro
Ya tengo cuenta
Iniciar sesión
Equipo
Portal interno 2MCI
Inicio/Alertas
Seguridad de la Información

Alertas de Seguridad de la Información

Vulnerabilidades explotadas activamente, incidentes y análisis relevantes para México y LATAM. Actualizado automáticamente desde fuentes oficiales.

48 vulnerabilidades en CISA KEV — explotación activa confirmada Ver todas →
Última alerta publicada ahora mismo
Buscando: "Php" — 1428 resultados ✕ Limpiar búsqueda
26,377
Total alertas
5296
Críticas
20202
Altas
8
Ransomware
1694
Esta semana
RSS
Vulnerabilidades × Limpiar todo ×
M Crítico vulnerabilidad
27/08/2026
[CVE-2026-19092] The Tutor LMS WordPress plugin before 4.0.6 does not prevent request data from overwriting internal …
The Tutor LMS WordPress plugin before 4.0.6 does not prevent request data from overwriting internal variables while rendering templates, allowing unauthenticated users to invoke arbitrary zero-argument PHP functions and receive their output.
nvdcriticovulnerabilidad CVSS 9.8 NVD
M Crítico vulnerabilidad
27/08/2026
Inyección de objetos PHP sin autenticación en Geo Controller <= 8.9.8
Se ha identificado una vulnerabilidad crítica (CVSS 9.8) de inyección de objetos PHP sin autenticación en Geo Controller versiones 8.9.8 y anteriores. Un atacante remoto podría ejecutar código arbitrario y comprometer completamente sistemas que utilicen esta extensión, afectando potencialmente aplicaciones web en infraestructuras de empresas y gobiernos en LATAM. La gravedad se debe a la ausencia de validación de autenticación previa al procesamiento de datos en el controlador Geo.
nvdcriticovulnerabilidad CVSS 9.8 NVD
M Crítico vulnerabilidad
27/08/2026
Inyección de objetos PHP sin autenticación en Hash Form <= 1.4.1 (CVE-2026-78292)
Vulnerabilidad crítica (CVSS 9.8) en Hash Form versión 1.4.1 y anteriores permite inyección de objetos PHP sin requerir autenticación. Un atacante remoto puede ejecutar código arbitrario comprometiendo servidores web en empresas mexicanas y latinoamericanas. El riesgo es máximo en entornos de e-commerce, plataformas de gestión y aplicaciones expuestas a internet.
nvdcriticovulnerabilidad CVSS 9.8 NVD
M Alto vulnerabilidad
27/08/2026
[CVE-2026-78293] Unauthenticated Cross Site Scripting (XSS) in WP w3all phpBB <= 3.0.6 versions.
Unauthenticated Cross Site Scripting (XSS) in WP w3all phpBB
nvdaltovulnerabilidad CVSS 7.1 NVD
M Alto vulnerabilidad
27/08/2026
[CVE-2026-78276] Editor PHP Object Injection in Fluent Boards Pro <= 2.0.11 versions.
Editor PHP Object Injection in Fluent Boards Pro
nvdaltovulnerabilidad CVSS 7.2 NVD
M Alto vulnerabilidad
27/08/2026
[CVE-2026-78257] Contributor PHP Object Injection in Booking and Rental Manager <= 2.7.5 versions.
Contributor PHP Object Injection in Booking and Rental Manager
nvdaltovulnerabilidad CVSS 8.8 NVD
M Alto vulnerabilidad
26/08/2026
[CVE-2026-81203] A vulnerability has been found in SourceCodester Simple Online Food Ordering System 1.0. This affect…
A vulnerability has been found in SourceCodester Simple Online Food Ordering System 1.0. This affects an unknown function of the file /admin/ajax.php?action=login2. The manipulation of the argument email leads to sql injection. It is possible to initiate the attack remotely. The exploit has been disclosed to the public and may be used.
nvdaltovulnerabilidad CVSS 7.3 NVD

📬 Alertas semanales SI directo en tu email

Las vulnerabilidades más críticas para LATAM, con contexto y recomendaciones accionables. Gratis.

Suscribirme →
M Alto vulnerabilidad
26/08/2026
[CVE-2026-81202] A flaw has been found in itsourcecode Payroll System 1.0. The impacted element is the function creat…
A flaw has been found in itsourcecode Payroll System 1.0. The impacted element is the function create/read/update/delete of the file ajax.php of the component CRUD Operation Handler. Executing a manipulation of the argument action can lead to missing authentication. The attack may be performed from remote. The exploit has been published and may be used.
nvdaltovulnerabilidad CVSS 7.3 NVD
M Alto vulnerabilidad
26/08/2026
[CVE-2026-32257] Winter is a free, open-source content management system (CMS) based on the Laravel PHP framework. Pr…
Winter is a free, open-source content management system (CMS) based on the Laravel PHP framework. Prior to 1.2.13, custom CSS supplied through the Brand Settings Styles field by a backend user with the backend.manage_branding permission is compiled by the LESS parser and rendered without sanitization on every backend page, allowing stored cross-site scripting against backend users. This issue is f…
nvdaltovulnerabilidad CVSS 8.1 NVD
M Alto vulnerabilidad
26/08/2026
[CVE-2026-32258] Winter is a free, open-source content management system (CMS) based on the Laravel PHP framework. Fr…
Winter is a free, open-source content management system (CMS) based on the Laravel PHP framework. From 1.2.10 through 1.2.12, authenticated backend users with the backend.manage_editor permission can store custom Markup Styles that are compiled by the LESS parser and rendered without sanitization on every backend page, allowing stored cross-site scripting. This issue is fixed in version 1.2.13.
nvdaltovulnerabilidad CVSS 8.1 NVD
M Crítico vulnerabilidad
26/08/2026
[CVE-2026-80428] ILIAS deserialises stored session data for an unauthenticated caller. The Shibboleth back-channel en…
ILIAS deserialises stored session data for an unauthenticated caller. The Shibboleth back-channel endpoint at components/ILIAS/AuthShibboleth/resources/shib_logout.php runs in a context that ilInitialisation exempts from authentication, and its logout-notification handler locates the session to terminate by reading every live row of the session table and passing each row's stored data to a hand-wr…
nvdcriticovulnerabilidad CVSS 9.8 NVD
M Crítico vulnerabilidad
26/08/2026
[CVE-2026-80203] The getgrav/grav-plugin-api plugin before 1.0.18 does not enforce API-key scope in the requireNotSup…
The getgrav/grav-plugin-api plugin before 1.0.18 does not enforce API-key scope in the requireNotSuperTarget() function in UsersController.php across seven sensitive user-management endpoints. The check uses isSuperAdmin() on the acting account rather than verifying whether the specific API key carries super authority (via isSuperWithinScope()). As a result, an API key scoped below full super auth…
nvdcriticovulnerabilidad CVSS 9.8 NVD
M Crítico vulnerabilidad
25/08/2026
Vulnerabilidad crítica en ClipBucket V5: ejecución de comandos arbitrarios en instalador web
El instalador web de ClipBucket V5 no valida correctamente el parámetro php_cli_filepath, permitiendo que atacantes no autenticados ejecuten comandos arbitrarios con privilegios del servidor web mediante una solicitud POST maliciosa. Afecta principalmente a plataformas de video hosting y streaming implementadas en datacenters de LATAM sin actualizaciones de seguridad.
nvdcriticovulnerabilidad CVSS 9.8 NVD
M Alto vulnerabilidad
25/08/2026
Vulnerabilidad alta de inyección SQL en SililaWijesinghe Food Ordering System (CVE-2026-79804)
Se ha identificado una vulnerabilidad de inyección SQL en SililaWijesinghe Food Ordering System que permite manipular el parámetro 'search_box' en el archivo /search.php para ejecutar comandos SQL maliciosos de forma remota. El exploit está públicamente disponible y afecta principalmente a restaurantes y plataformas de delivery en México y Latinoamérica que utilizan este sistema. Con puntuación CVSS 7.3, representa un riesgo alto para la confidencialidad e integridad de bases de datos de clientes y transacciones.
nvdaltovulnerabilidad CVSS 7.3 NVD
M Alto vulnerabilidad
25/08/2026
Inyección SQL alta en Simple Inventory System 1.0 permite ejecución remota
Se identificó una vulnerabilidad de inyección SQL en Simple Inventory System 1.0 que afecta el archivo /InventoryManagement/edit.php mediante manipulación del parámetro ID. La vulnerabilidad permite a atacantes remotos ejecutar comandos SQL arbitrarios contra la base de datos del sistema, comprometiendo la integridad y confidencialidad de datos inventariales. Existe exploit público disponible, representando riesgo inminente para empresas en LATAM que utilicen este software en producción.
nvdaltovulnerabilidad CVSS 7.3 NVD

🛡 ¿Estás expuesto a alguna de estas vulnerabilidades?

Evaluación gratuita inicial con el equipo 2MCI: identifica exposición y plan de remediación.

Habla con un experto →
M Alto vulnerabilidad
25/08/2026
[CVE-2026-75497] Webkul QloApps does not validate request parameters before a database query. A remote, authenticated…
Webkul QloApps does not validate request parameters before a database query. A remote, authenticated attacker with administrative privileges could send a crafted SQL query to the 'bo_query' parameter in the 'CustomerMessage.php' file. Fixed in 123c97c.
nvdaltovulnerabilidad CVSS 7.2 NVD
M Alto vulnerabilidad
25/08/2026
[CVE-2026-75498] Webkul QloApps does not validate request parameters before a database query. A remote, authenticated…
Webkul QloApps does not validate request parameters before a database query. A remote, authenticated attacker with administrative privileges could send a crafted SQL query to the 'bo_query' parameter in the 'Address.php' file. Fixed in 123c97c.
nvdaltovulnerabilidad CVSS 7.2 NVD
M Alto vulnerabilidad
25/08/2026
[CVE-2026-19913] The Kaltura HTML5 player (mwEmbed / html5lib) contains a local file disclosure vulnerability due to …
The Kaltura HTML5 player (mwEmbed / html5lib) contains a local file disclosure vulnerability due to improper validation of the ServiceUrl parameter in mwEmbedLoader.php. This parameter is used as the base URL for a backend request and accepts non‑HTTP schemes such as file://. When an exception or error occurs, the response is subsequently deserialized and its raw contents are reflected to the clie…
nvdaltovulnerabilidad CVSS 7.5 NVD
M Alto vulnerabilidad
25/08/2026
[CVE-2026-57863] Crater Invoice through 6.0.6 contains a path traversal vulnerability in the self-update API that all…
Crater Invoice through 6.0.6 contains a path traversal vulnerability in the self-update API that allows authenticated company owners to write arbitrary files outside the intended extraction directory by supplying crafted ZIP archives with ../ sequences to the unzip endpoint. Attackers can exploit unsanitized ZIP entry names passed to PHP's ZipArchive::extractTo() to write arbitrary PHP files into …
nvdaltovulnerabilidad CVSS 8.8 NVD
M Alto vulnerabilidad
25/08/2026
Inyección de Objetos PHP en plugin Kalles Addons para WordPress (CVE-2026-78572)
El plugin Kalles Addons para WordPress contiene una vulnerabilidad alta de inyección de objetos PHP (CVSS 8.1) en todas las versiones hasta la 1.0.6. Atacantes no autenticados pueden inyectar objetos maliciosos mediante deserialización de entrada no validada. El impacto depende de cadenas POP presentes en otros plugins o temas instalados, siendo de alto riesgo en tiendas WooCommerce y sitios corporativos de LATAM que usen extensiones adicionales.
nvdaltovulnerabilidad CVSS 8.1 NVD