Alertas de Seguridad de la Información

M Crítico vulnerabilidad

18/08/2026

Vulnerabilidad crítica en ArcadeDB: autenticación SASL no aplicada en protocolo MongoDB

ArcadeDB versiones anteriores a 26.8.1 no valida credenciales SASL en comandos de datos del plugin MongoDB wire-protocol. Atacantes no autenticados pueden ejecutar inserciones, búsquedas, actualizaciones, eliminaciones y creación de bases de datos conectando al puerto 27017 sin credenciales. Afecta infraestructuras que exponen este servicio en empresas de LATAM con bases de datos sensibles.

nvdcriticovulnerabilidad CVSS 9.8 NVD

M Alto vulnerabilidad

18/08/2026

Vulnerabilidad alta en ArcadeDB: falla de autorización en plugin Gremlin (CVE-2026-75853)

El plugin Gremlin de ArcadeDB versiones ≤26.7.3 autentica conexiones pero no valida permisos de acceso a bases de datos, permitiendo que credenciales válidas accedan a cualquier base de datos sin autorización. Esto afecta directamente a empresas con infraestructuras de bases de datos distribuidas en LATAM que dependen del control granular de accesos. La vulnerabilidad tiene puntuación CVSS 8.8, indicando impacto alta en confidencialidad e integridad de datos.

nvdaltovulnerabilidad CVSS 8.8 NVD

M Crítico vulnerabilidad

18/08/2026

Vulnerabilidad crítica de autenticación en ArcadeDB anteriores a 26.8.1 (CVE-2026-75854)

ArcadeDB versiones anteriores a 26.8.1 presentan una vulnerabilidad crítica (CVSS 9.8) en el plugin de protocolo Redis que permite a atacantes no autenticados leer, escribir y eliminar datos. Los atacantes pueden conectarse al puerto Redis y ejecutar comandos arbitrarios contra cualquier base de datos del servidor sin proporcionar credenciales. Esta vulnerabilidad afecta especialmente a empresas en LATAM que utilizan ArcadeDB en entornos de producción con acceso a redes inseguras o expuestas.

nvdcriticovulnerabilidad CVSS 9.8 NVD

M Alto vulnerabilidad

18/08/2026

Vulnerabilidad alta de lectura arbitraria de archivos en ArcadeDB anterior a 26.8.1

ArcadeDB versiones anteriores a 26.8.1 presentan una vulnerabilidad de lectura arbitraria de archivos en la validación del sandbox de GraalVM JavaScript. Atacantes con permisos de creación de triggers pueden explotar expresiones regulares sin escape para acceder a clases de Java (ZipFile, JarFile) y leer archivos del sistema operativo donde se ejecuta el servidor ArcadeDB. Esta vulnerabilidad afecta principalmente a empresas que usan ArcadeDB en entornos de producción o desarrollo con datos sensibles.

nvdaltovulnerabilidad CVSS 7.5 NVD

M Alto vulnerabilidad

18/08/2026

Vulnerabilidad de lectura arbitraria de archivos en ArcadeDB anterior a versión 26.8.1

ArcadeDB en versiones anteriores a 26.8.1 contiene una vulnerabilidad que permite a usuarios autenticados leer archivos locales del servidor mediante la cláusula LOAD CSV FROM en OpenCypher, utilizando el protocolo file://. Atacantes con privilegios de lectura pueden exfiltrar datos sensibles directamente en respuestas de consultas, afectando sistemas de bases de datos en infraestructuras on-premise y en nube en LATAM.

nvdaltovulnerabilidad CVSS 7.7 NVD

M Crítico vulnerabilidad

18/08/2026

Vulnerabilidad crítica en ArcadeDB <26.8.1 permite ejecución de código JavaScript sin autorización

ArcadeDB anterior a la versión 26.8.1 no vincula correctamente el principal autenticado en el executor de transacciones gRPC, permitiendo a usuarios autenticados ejecutar comandos JavaScript sin validación de permisos. Los atacantes pueden crear cuentas administrador a nivel servidor explotando la ejecución no restringida de comandos, comprometiendo completamente la confidencialidad e integridad de bases de datos en infraestructuras críticas de LATAM.

nvdcriticovulnerabilidad CVSS 9.9 NVD

M Alto vulnerabilidad

18/08/2026

Vulnerabilidad SSRF alta en ArcadeDB anterior a v26.8.1 permite acceso a servicios internos

ArcadeDB versiones anteriores a 26.8.1 contienen una vulnerabilidad de falsificación de solicitudes del lado del servidor (SSRF) en el comando IMPORT DATABASE. Atacantes autenticados pueden eludir validadores de seguridad mediante redirección DNS o HTTP para acceder a endpoints de metadatos en la nube, servicios internos y bases de datos. Esta vulnerabilidad impacta directamente infraestructuras en AWS, Azure y Google Cloud ampliamente desplegadas en México y LATAM.

nvdaltovulnerabilidad CVSS 7.1 NVD

M Alto vulnerabilidad

18/08/2026

Vulnerabilidad XSS almacenado alta en Grav anterior a 2.0.15 afecta renderizado de multimedia

Grav versiones anteriores a 2.0.15 contienen una vulnerabilidad de cross-site scripting (XSS) almacenado en el renderizado de medios de audio y video. Un atacante puede inyectar código JavaScript arbitrario a través de fragmentos de URL en elementos media, ejecutándose en las sesiones de usuarios que visualizan el contenido afectado. Esta vulnerabilidad impacta plataformas de contenido en empresas LATAM que utilizan Grav para gestión de portales web y repositorios multimedia.

nvdaltovulnerabilidad CVSS 7.6 NVD

M Alto vulnerabilidad

18/08/2026

Vulnerabilidad alta de autorización en Plugin API de Grav (CVE-2026-75836)

El plugin API de Grav anterior a versión 1.0.14 presenta una falla en la validación de autorización en el endpoint POST /api/v1/menubar/actions/{plugin}/{action}, permitiendo a usuarios autenticados ejecutar acciones administrativas sin permisos explícitos. La vulnerabilidad afecta principalmente a instancias de Grav con admin-next/API stack expuestas en entornos de producción. Con CVSS 8.8, representa un riesgo alta para sitios web y portales corporativos en LATAM que utilizan este CMS.

nvdaltovulnerabilidad CVSS 8.8 NVD

M Crítico vulnerabilidad

18/08/2026

Vulnerabilidad crítica en Grav anterior a 2.0.14 permite escalada de privilegios a super-admin

Grav antes de la versión 2.0.14 no valida correctamente el campo de acceso en el blueprint de grupos, permitiendo que operadores con permisos de admin.users escalen privilegios a super-admin. Esto habilita acceso a funciones críticas como evaluación Twig y scheduler, comprometiendo la integridad de sitios web en producción. El impacto afecta especialmente a portales corporativos y plataformas de contenido en empresas mexicanas y latinoamericanas que hospedan instancias de Grav.

nvdcriticovulnerabilidad CVSS 9.1 NVD

M Alto vulnerabilidad

18/08/2026

[CVE-2026-75827] Grav before 2.0.15 contains an arbitrary file write vulnerability in the Blueprint dynamic-data bare…

Grav before 2.0.15 contains an arbitrary file write vulnerability in the Blueprint dynamic-data bare-function validation that uses an incomplete denylist instead of a positive allowlist. Attackers with page-edit or blueprint-config access can invoke the error_log function through a data directive to append PHP payloads to web-accessible files, achieving remote code execution.

nvdaltovulnerabilidad CVSS 8.8 NVD

M Alto vulnerabilidad

18/08/2026

Vulnerabilidad XSS almacenado alta en Grav antes de 2.0.15 afecta editores autenticados

Grav versiones anteriores a 2.0.15 contienen una vulnerabilidad de cross-site scripting (XSS) almacenado en la función detectXss() que permite a editores autenticados inyectar manejadores de eventos (como onerror=) que eluden la validación y se ejecutan en navegadores de visitantes. Esta vulnerabilidad afecta particularmente a empresas en LATAM que utilizan Grav para portales corporativos, sitios de contenido y plataformas de gestión de información con múltiples editores.

nvdaltovulnerabilidad CVSS 8.7 NVD

M Alto vulnerabilidad

18/08/2026

Inyección de plantillas Twig en grav-plugin-api anteriores a 1.0.15 permite ejecución de código

grav-plugin-api versiones anteriores a 1.0.15 no validan correctamente contenido Twig en el endpoint translate(), permitiendo a atacantes con permisos api.pages.write ejecutar inyecciones de plantillas del lado del servidor. Los atacantes pueden manipular parámetros de encabezado y contenido para evaluar cargas útiles maliciosas durante la renderización de páginas, comprometiendo la integridad del servidor.

nvdaltovulnerabilidad CVSS 8.1 NVD

M Alto vulnerabilidad

18/08/2026

[CVE-2026-75830] grav-plugin-api (getgrav/grav-plugin-api) versions >= 1.0.0-beta.10 and <= 1.0.14 contain a path tra…

grav-plugin-api (getgrav/grav-plugin-api) versions >= 1.0.0-beta.10 and

nvdaltovulnerabilidad CVSS 7.1 NVD

M Alto vulnerabilidad

18/08/2026

[CVE-2026-74902] SiYuan before v3.7.4 contains a cross-site scripting vulnerability in the file upload validation flo…

SiYuan before v3.7.4 contains a cross-site scripting vulnerability in the file upload validation flow that fails to escape filenames before inserting them into HTML via insertAdjacentHTML. Attackers can craft a malicious filename containing script payloads that execute with full OS command access when a user drags, drops, or pastes the file into the editor.

nvdaltovulnerabilidad CVSS 8.6 NVD

M Alto vulnerabilidad

18/08/2026

[CVE-2026-74904] SiYuan before v3.7.4 is missing authorization checks in 17 block metadata/content endpoints in kerne…

SiYuan before v3.7.4 is missing authorization checks in 17 block metadata/content endpoints in kernel/api/block.go (including getRefText, checkBlockExist, and getBlockBreadcrumb). These handlers are gated only by basic authentication (model.CheckAuth) and lack publish-access filtering, allowing anonymous publish-mode readers to disclose private block content-derived text, structural metadata, and …

nvdaltovulnerabilidad CVSS 7.5 NVD

M Alto vulnerabilidad

18/08/2026

[CVE-2026-74906] SiYuan before v3.7.4 contains an incorrect authorization vulnerability in eight publish-mode reader-…

SiYuan before v3.7.4 contains an incorrect authorization vulnerability in eight publish-mode reader-facing endpoints that filter results using the visibility list instead of the disabled list. Anonymous visitors can discover and read content from documents explicitly marked as forbidden from publishing by accessing search, backlink, asset content, saved criteria, recent documents, graph, and tag e…

nvdaltovulnerabilidad CVSS 7.5 NVD

M Alto vulnerabilidad

18/08/2026

[CVE-2026-15585] Improper Limitation of a Pathname to a Restricted Directory ('Path Traversal') vulnerability in AKIN…

Improper Limitation of a Pathname to a Restricted Directory ('Path Traversal') vulnerability in AKIN Software Computer Import Export Industry and Trade Ltd. AKINSOFT Wolvox9 ERP / KontrolPanel.exe allows Path Traversal. This issue affects AKINSOFT Wolvox9 ERP / KontrolPanel.exe: from s26.02.17 before 26.02.22.

nvdaltovulnerabilidad CVSS 7.5 NVD

M Crítico vulnerabilidad

18/08/2026

[CVE-2026-75627] Bastillion fails to properly validate request URI paths in its controller dispatcher, allowing unaut…

Bastillion fails to properly validate request URI paths in its controller dispatcher, allowing unauthenticated attackers to bypass authentication filters by prefixing requests with arbitrary path segments. Attackers can access administrative controllers to read user listings, create manager accounts, and register managed systems, gaining control over SSH access to the managed fleet.

nvdcriticovulnerabilidad CVSS 9.8 NVD

M Crítico vulnerabilidad

18/08/2026

[CVE-2026-75626] SpiderFoot fails to HTML-escape correlation titles built from external scan data sources including s…

SpiderFoot fails to HTML-escape correlation titles built from external scan data sources including server banners and metadata. Attackers can inject malicious HTML elements with event handlers into correlation results that execute scripts in the operator's browser when the correlations view is opened, potentially stealing API keys.

nvdcriticovulnerabilidad CVSS 9.3 NVD