Alertas de Seguridad de la Información

M Alto vulnerabilidad

Hace 4 días

[CVE-2026-105383] A vulnerability has been found in onetwothreeneth HospitalManagementSystem up to 9ef91ed6007314b6473…

A vulnerability has been found in onetwothreeneth HospitalManagementSystem up to 9ef91ed6007314b6473110ed699dff76d158f61d. This impacts an unknown function of the file php/controller.php. Such manipulation of the argument transaction_idS leads to sql injection. The attack can be executed remotely. The exploit has been disclosed to the public and may be used. This product implements a rolling relea…

nvdaltovulnerabilidad CVSS 7.3 NVD

M Alto vulnerabilidad

Hace 4 días

[CVE-2026-12171] auto-changelog before 2.6.1 merges configuration from inside the target repository (the .auto-change…

auto-changelog before 2.6.1 merges configuration from inside the target repository (the .auto-changelog file and the auto-changelog key in package.json) into its options, and honors security-sensitive options from that untrusted source. The handlebarsSetup option is passed to require(), so running auto-changelog over attacker-controlled repository content (for example, in a CI workflow that checks…

nvdaltovulnerabilidad CVSS 7.8 NVD

M Alto vulnerabilidad

Hace 4 días

[CVE-2026-104970] Plane is an open-source project management tool. From 0.13 until 1.4.0, InstanceAdminSignUpEndpoint …

Plane is an open-source project management tool. From 0.13 until 1.4.0, InstanceAdminSignUpEndpoint in apps/api/plane/license/api/views/admin.py:89-117, 173-229 uses InstanceAdmin.objects.first() for the first-admin check and performs account creation without an atomic transaction, row lock, uniqueness guard, or advisory lock. Two concurrent unauthenticated requests with different email addresses …

nvdaltovulnerabilidad CVSS 8.1 NVD

M Alto vulnerabilidad

Hace 4 días

[CVE-2026-102282] adm-zip is a JavaScript library for creating and extracting ZIP archives in Node.js. Prior to 0.6.1,…

adm-zip is a JavaScript library for creating and extracting ZIP archives in Node.js. Prior to 0.6.1, adm-zip applies the Unix permission bits stored in a zip entry directly to the extracted file via `fs.chmodSync()` when `keepOriginalPermission=true` is passed to `extractAllTo()`/`extractEntryTo()` — and it never filters the setuid/setgid/sticky bits out of those bits. A zip crafted by an attacker…

nvdaltovulnerabilidad CVSS 7.1 NVD

M Crítico vulnerabilidad

Hace 4 días

[CVE-2026-88395] GouGuOA v6.0.5 and before is vulnerable to SQL Injection in /home/message/rubbish via the keywords p…

GouGuOA v6.0.5 and before is vulnerable to SQL Injection in /home/message/rubbish via the keywords parameter.

nvdcriticovulnerabilidad CVSS 9.8 NVD

M Alto vulnerabilidad

Hace 4 días

[CVE-2026-104890] Kunstmaan CMS is an open source content management system based on the Symfony framework. Prior to 7…

Kunstmaan CMS is an open source content management system based on the Symfony framework. Prior to 7.3.2, src/Kunstmaan/MediaBundle/Helper/File/FileHandler.php performs the blacklisted_extensions check case-sensitively in FileHandler::getFilePath and lowercases the stored extension afterward. An authenticated backend user with media access can upload a mixed-case executable extension such as PHP t…

nvdaltovulnerabilidad CVSS 7.2 NVD

M Alto vulnerabilidad

Hace 4 días

[CVE-2026-104891] mppx-condition-gate provides conditional free-access wrappers for mppx payment methods. Prior to @in…

mppx-condition-gate provides conditional free-access wrappers for mppx payment methods. Prior to @insumermodel/mppx-condition-gate 3.0.0 and @insumermodel/mppx-token-gate 1.0.4, the packages read a wallet address from the client-supplied credential.source, checked whether that public address met configured on-chain conditions, and returned a successful free-access receipt without invoking the wrap…

nvdaltovulnerabilidad CVSS 7.5 NVD

M Crítico vulnerabilidad

Hace 4 días

[CVE-2026-79820] A remote user validation failure vulnerability exists in HPE Integrated Lights-Out (iLO) 7 firmware.

A remote user validation failure vulnerability exists in HPE Integrated Lights-Out (iLO) 7 firmware.

nvdcriticovulnerabilidad CVSS 9.0 NVD

M Alto vulnerabilidad

Hace 4 días

[CVE-2026-92931] CWE-918: Server-Side Request Forgery in the Progress @progress/sitefinity-nextjs-sdk npm package ver…

CWE-918: Server-Side Request Forgery in the Progress @progress/sitefinity-nextjs-sdk npm package versions 15.1.8326 through 15.4.8637 may allow a remote attacker to make server-side requests to an attacker-controlled host, potentially exposing sensitive information.

nvdaltovulnerabilidad CVSS 8.8 NVD

M Alto vulnerabilidad

Hace 4 días

[CVE-2026-77805] In Progress® Telerik® Fiddler® Classic for Windows, versions prior to v6.0.20262.10021, the integrit…

In Progress® Telerik® Fiddler® Classic for Windows, versions prior to v6.0.20262.10021, the integrity check applied to the external helper tools launched by the application is insufficient. Before executing a helper tool, the application only verifies that the file carries a valid Authenticode signature whose certificate subject name matches a broad allow list of publisher name fragments, rather t…

nvdaltovulnerabilidad CVSS 7.9 NVD

M Alto vulnerabilidad

Hace 4 días

Vulnerabilidad alta de autenticación en Casdoor hasta versión 3.161.1

Se detectó una vulnerabilidad en la función ApiFilter del componente API Endpoint de Casdoor (versiones hasta 3.161.1) que permite eludir mecanismos de autenticación mediante manipulación remota. El exploit es público y activo. Esta falla afecta directamente a sistemas de gestión de identidades y acceso en empresas latinoamericanas, exponiendo APIs internas a acceso no autorizado.

nvdaltovulnerabilidad CVSS 7.3 NVD

M Alto vulnerabilidad

Hace 4 días

Vulnerabilidad alta de SSRF en feelec-yishu feelcrm-os 1.0.0

Se identificó una vulnerabilidad de Server-Side Request Forgery (SSRF) en feelcrm-os versión 1.0.0 que permite manipular el parámetro URL en el endpoint getCurlData del controlador GoogleController.class.php. Un atacante remoto puede ejecutar solicitudes no autorizadas desde el servidor afectado hacia sistemas internos o externos, comprometiendo la confidencialidad de datos y la integridad de la infraestructura. El exploit ha sido divulgado públicamente, elevando significativamente el riesgo para empresas mexicanas y latinoamericanas que utilicen este CRM.

nvdaltovulnerabilidad CVSS 7.3 NVD

M Crítico vulnerabilidad

Hace 4 días

Vulnerabilidad crítica de desbordamiento de búfer en Totolik A3002MU 1.0.0-B20230403.1455

Se ha identificado una vulnerabilidad de desbordamiento de búfer basado en pila (CVSS 10.0) en el manejador de reglas QoS del router Totolik A3002MU. La vulnerabilidad afecta el componente /boafrm/formIpQoS y puede ser explotada remotamente manipulando parámetros como addQos/comment/entry_name. El exploit ha sido divulgado públicamente, elevando el riesgo para infraestructuras críticas que utilizan este dispositivo en México y Latinoamérica.

nvdcriticovulnerabilidad CVSS 10.0 NVD

M Alto vulnerabilidad

Hace 4 días

Vulnerabilidad alta en controlador i3c afecta validación de memoria del sistema

Se ha identificado una vulnerabilidad en el verificador de llamadas al sistema para i3c_do_ccc() en drivers/i3c/i3c_handlers.c que no valida correctamente los búferes de datos por destino en la estructura i3c_ccc_target_payload. Un atacante local podría explotar esta deficiencia para acceder o modificar memoria del kernel, afectando sistemas embebidos e IoT industriales comúnmente desplegados en infraestructura alta de LATAM.

nvdaltovulnerabilidad CVSS 7.8 NVD

M Crítico vulnerabilidad

Hace 4 días

Vulnerabilidad crítica de autorización en Totolik A3002MU 1.0.0-B20230403.1455

Se identificó una debilidad en el router Totolink A3002MU versión 1.0.0-B20230403.1455 que permite bypass de autenticación en la función sub_40FCFC del componente /bin/boa. Un atacante remoto puede manipular el mecanismo de verificación de autorización sin credenciales válidas. El exploit está disponible públicamente, exponiendo dispositivos conectados en redes corporativas y residenciales de LATAM a acceso no autorizado.

nvdcriticovulnerabilidad CVSS 10.0 NVD

M Alto vulnerabilidad

Hace 4 días

Vulnerabilidad alta en controlador NXP GAU ADC permite desbordamiento de búfer

El controlador ADC (conversor analógico-digital) GAU de NXP contiene un defecto de validación en la gestión de tamaño de búfer que puede permitir desbordamientos de memoria. La vulnerabilidad afecta sistemas embebidos y dispositivos IoT que utilicen este controlador, siendo especialmente relevante en infraestructura industrial y de automatización en LATAM. Con CVSS 8.4, representa un riesgo alto para integridad y disponibilidad de sistemas altas.

nvdaltovulnerabilidad CVSS 8.4 NVD

M Alto vulnerabilidad

Hace 4 días

SQL Injection alta en itsourcecode Online Admission System 1.0 expone datos de admisiones

Se identificó una vulnerabilidad de inyección SQL en el archivo /admin/login1.php del sistema de admisiones en línea itsourcecode versión 1.0, permitiendo a atacantes remotos manipular el parámetro User para acceder no autorizado a bases de datos. Esta falla afecta directamente a instituciones educativas en LATAM que utilizan esta solución para gestionar procesos de admisión de estudiantes. El exploit ha sido públicamente divulgado, elevando significativamente el riesgo de explotación inmediata.

nvdaltovulnerabilidad CVSS 7.3 NVD

M Alto vulnerabilidad

Hace 4 días

Vulnerabilidad CSRF alta en Blubrry PowerPress Podcasting hasta versión 11.17.9

Se ha identificado una vulnerabilidad de Falsificación de Solicitud Entre Sitios (CSRF) en el plugin Blubrry PowerPress Podcasting para WordPress que afecta versiones hasta 11.17.9. Esta falla permite a atacantes ejecutar acciones no autorizadas en plataformas de podcasting, incluyendo modificación de contenido y configuraciones administrativas. Es especialmente alta para medios, productoras de contenido y plataformas de distribución de audio en LATAM que utilizan este plugin.

nvdaltovulnerabilidad CVSS 7.1 NVD

M Alto vulnerabilidad

Hace 4 días

Inyección SQL ciega en Groundhogg afecta versiones hasta 4.8.3

Se identificó una vulnerabilidad de inyección SQL ciega (CVE-2026-104408, CVSS 7.6) en el plugin Groundhogg para WordPress que permite a atacantes ejecutar consultas SQL maliciosas sin validación adecuada. Esta falla afecta principalmente a empresas en LATAM que usan Groundhogg para automatización de marketing y gestión de contactos, comprometiendo la confidencialidad e integridad de bases de datos. El riesgo es alta en entornos con acceso público al plugin sin autenticación reforzada.

nvdaltovulnerabilidad CVSS 7.6 NVD

M Alto vulnerabilidad

Hace 4 días

Inyección SQL ciega en Sirv versiones anteriores a 8.2.6 permite acceso no autorizado

Se identificó una vulnerabilidad de inyección SQL ciega en la plataforma Sirv que afecta versiones hasta la 8.2.5. Un atacante podría explotar esta falla para extraer datos sensibles de bases de datos sin autenticación válida. Empresas en LATAM que utilizan Sirv para gestión de contenido, catálogos de productos o sistemas de e-commerce están en riesgo inmediato.

nvdaltovulnerabilidad CVSS 8.5 NVD