Alertas de Seguridad de la Información

M Crítico vulnerabilidad Nuevo

Ahora mismo

[CVE-2026-66648] Unauthenticated Privilege Escalation in Jawn <= 1.4.2 versions.

Unauthenticated Privilege Escalation in Jawn

nvdcriticovulnerabilidad CVSS 9.8 NVD

M Crítico vulnerabilidad Nuevo

Ahora mismo

[CVE-2026-66650] Unauthenticated PHP Object Injection in FreightCo <= 1.1.15 versions.

Unauthenticated PHP Object Injection in FreightCo

nvdcriticovulnerabilidad CVSS 9.8 NVD

M Crítico vulnerabilidad Nuevo

Ahora mismo

[CVE-2026-66587] Unauthenticated Local File Inclusion in WP Cafe Pro < 3.0.15 versions.

Unauthenticated Local File Inclusion in WP Cafe Pro < 3.0.15 versions.

nvdcriticovulnerabilidad CVSS 9.8 NVD

M Crítico vulnerabilidad Nuevo

Ahora mismo

[CVE-2026-32551] Unauthenticated SQL Injection in Woo Essential <= 4.3.0 versions.

Unauthenticated SQL Injection in Woo Essential

nvdcriticovulnerabilidad CVSS 9.3 NVD

M Crítico vulnerabilidad Nuevo

Ahora mismo

[CVE-2026-32558] Unauthenticated Privilege Escalation in Affiliate Pro - Affiliate Program for WooCommerce & WordPres…

Unauthenticated Privilege Escalation in Affiliate Pro - Affiliate Program for WooCommerce & WordPress

nvdcriticovulnerabilidad CVSS 9.8 NVD

M Crítico vulnerabilidad Nuevo

Ahora mismo

[CVE-2026-28165] Unauthenticated Privilege Escalation in Digits <= 9.2 versions.

Unauthenticated Privilege Escalation in Digits

nvdcriticovulnerabilidad CVSS 9.8 NVD

M Crítico vulnerabilidad Nuevo

Ahora mismo

[CVE-2026-66897] A path traversal vulnerability in LXD's instance template processing allows an attacker with contain…

A path traversal vulnerability in LXD's instance template processing allows an attacker with container edit permissions, or any user launching a crafted image, to overwrite arbitrary files on the host system as root. When processing target template paths specified in metadata.yaml, LXD validates the path against a confined os.Root directory handle but subsequently opens and creates the file using …

nvdcriticovulnerabilidad CVSS 9.9 NVD

M Crítico vulnerabilidad Nuevo

Hace 3 horas

[CVE-2026-78211] 4MOSAn GCB Doctor developed by 4MOSAn Security Technology has a OS Command Injection vulnerability. …

4MOSAn GCB Doctor developed by 4MOSAn Security Technology has a OS Command Injection vulnerability. Unauthenticated remote attackers can inject malicious commands through an unremoved ADOdb test page parameter, thereby executing arbitrary system commands on the server.

nvdcriticovulnerabilidad CVSS 9.8 NVD

M Crítico vulnerabilidad Nuevo

Hace 5 horas

[CVE-2026-78167] A weakness has been identified in EFM ipTIME T16000M 14.20.2. The impacted element is the function h…

A weakness has been identified in EFM ipTIME T16000M 14.20.2. The impacted element is the function httpcon_check_session_url of the component Session Validation Handler. This manipulation causes improper authentication. Remote exploitation of the attack is possible. The exploit has been made available to the public and could be used for attacks. The vendor was contacted early about this disclosure…

nvdcriticovulnerabilidad CVSS 10.0 NVD

M Crítico vulnerabilidad Nuevo

Hace 5 horas

[CVE-2026-78168] A security vulnerability has been detected in EFM ipTIME T24000M up to 14.20.0. This affects the fun…

A security vulnerability has been detected in EFM ipTIME T24000M up to 14.20.0. This affects the function httpcon_check_session_url of the component Session Validation Handler. Such manipulation leads to improper authentication. The attack can be executed remotely. The exploit has been disclosed publicly and may be used. The vendor was contacted early about this disclosure but did not respond in a…

nvdcriticovulnerabilidad CVSS 9.8 NVD

M Crítico vulnerabilidad Nuevo

Hace 5 horas

[CVE-2026-78169] A vulnerability was detected in UTT HiPER 1250GW up to 3.2.7-210907-180535. This impacts the functio…

A vulnerability was detected in UTT HiPER 1250GW up to 3.2.7-210907-180535. This impacts the function strcpy of the file /goform/aspRemoteApConfTempSend of the component HTTP Request Handler. Performing a manipulation of the argument Profile results in stack-based buffer overflow. The attack is possible to be carried out remotely. The exploit is now public and may be used.

nvdcriticovulnerabilidad CVSS 9.9 NVD

M Crítico vulnerabilidad Nuevo

Hace 6 horas

[CVE-2026-78207] exceljs-hardened before 5.0.0 contains a prototype pollution vulnerability in the deepMerge helper t…

exceljs-hardened before 5.0.0 contains a prototype pollution vulnerability in the deepMerge helper that fails to reject __proto__, constructor, or prototype keys when merging note objects. Attackers can assign parsed JSON with a malicious __proto__ property to cell notes, modifying Object.prototype and affecting all plain objects created in the process.

nvdcriticovulnerabilidad CVSS 9.4 NVD

M Crítico vulnerabilidad Nuevo

Hace 17 horas

[CVE-2026-7808] justhtml before 1.16.0 contains multiple HTML sanitization bypass issues that can allow active/dange…

justhtml before 1.16.0 contains multiple HTML sanitization bypass issues that can allow active/dangerous content (e.g., script or style) to survive sanitization, potentially leading to cross-site scripting. The issues primarily affect advanced usage rather than the default JustHTML(..., sanitize=True) path for ordinary parsed HTML: mutating or reusing sanitization policy objects (including exporte…

nvdcriticovulnerabilidad CVSS 9.8 NVD

M Crítico vulnerabilidad Nuevo

Hace 17 horas

[CVE-2026-8445] justhtml versions <= 1.11.0 (fixed in 1.12.0) do not sufficiently escape HTML-significant characters…

justhtml versions are preserved, so untrusted input that is safe in to_html() — including entity-decoded text (e.g. &lt;script&gt;) or t…

nvdcriticovulnerabilidad CVSS 9.8 NVD

M Crítico vulnerabilidad Nuevo

Hace 17 horas

[CVE-2026-5388] justhtml before 1.15.0 contains multiple security issues in URL sanitization helpers (clean_url_valu…

justhtml before 1.15.0 contains multiple security issues in URL sanitization helpers (clean_url_value/clean_url_in_js_string), HTML serialization, Markdown passthrough (html_passthrough=True), and several custom sanitization-policy edge cases. Depending on configuration, an attacker can bypass sanitization to inject active HTML and JavaScript — for example via encoded javascript: URLs, backslash-b…

nvdcriticovulnerabilidad CVSS 9.8 NVD

M Crítico vulnerabilidad Nuevo

Hace 21 horas

Escalada de privilegios crítica en StackGres operator permite acceso administrativo (CVE-2026-78155)

Una vulnerabilidad de escalada de privilegios en el operador StackGres permite que un usuario con privilegios limitados que posee una base de datos obtenga acceso de administrador. Con puntuación CVSS 9.9, afecta directamente a infraestructuras PostgreSQL containerizadas en Kubernetes. Empresas en LATAM que gestionen bases de datos críticas en plataformas cloud con StackGres deben considerar este riesgo como prioritario.

nvdcriticovulnerabilidad CVSS 9.9 NVD

M Crítico vulnerabilidad

Hace 1 día

Desbordamiento de búfer en Comfast CF-N1-S 2.6.0 permite ejecución remota de código

Se identificó una vulnerabilidad crítica (CVSS 9.9) en enrutadores Comfast CF-N1-S versión 2.6.0.1 en el componente de administración web. Un atacante remoto puede explotar un desbordamiento de búfer en la pila mediante manipulación de los parámetros timestr/ntp_client_enabled en la función /cgi-bin/mbox-config para ejecutar código arbitrario. El exploit es público y activamente utilizado en ataques.

nvdcriticovulnerabilidad CVSS 9.9 NVD

M Crítico vulnerabilidad

Hace 1 día

Vulnerabilidad crítica de inyección de objetos PHP en plugin WS Form LITE para WordPress

El plugin WS Form LITE (versiones hasta 1.10.80) para WordPress contiene una vulnerabilidad de inyección de objetos PHP (CVE-2026-4703, CVSS 9.8) que permite a atacantes no autenticados inyectar objetos maliciosos a través de la deserialización de datos en envíos de formularios. Este riesgo afecta directamente a miles de sitios WordPress en México y Latinoamérica que utilizan este constructor de formularios, exponiendo datos sensibles de contacto y potencialmente comprometiendo la integridad del servidor.

nvdcriticovulnerabilidad CVSS 9.8 NVD

M Crítico vulnerabilidad

Hace 1 día

Vulnerabilidad crítica de desbordamiento de búfer en TRENDnet TEW-821DAP 2.2.01b05

Se identificó una vulnerabilidad de severidad crítica (CVSS 10.0) en el manejador de configuración NTP del dispositivo TRENDnet TEW-821DAP versión 2.2.01b05. Un atacante puede manipular parámetros de zona horaria y servidores NTP a través del archivo /cgi-bin/apply_time.cgi para provocar un desbordamiento de búfer en la pila de memoria. Esta vulnerabilidad afecta principalmente a pequeñas y medianas empresas en LATAM que utilizan estos enrutadores/puntos de acceso en infraestructuras de red crítica sin internet directo.

nvdcriticovulnerabilidad CVSS 10.0 NVD

M Crítico vulnerabilidad

Hace 1 día

Vulnerabilidad crítica SSRF en plugin Mailgun para WordPress permite acceso no autorizado

El plugin Mailgun for WordPress versiones hasta 2.2.0 contiene una vulnerabilidad de Server-Side Request Forgery (SSRF) por validación insuficiente en la función add_list(). Atacantes no autenticados pueden explotar el path traversal mediante claves controladas en $_POST['addresses'] para acceder a recursos internos del servidor. Afecta directamente a sitios WordPress en México y LATAM que utilizan este plugin para gestión de correos transaccionales.

nvdcriticovulnerabilidad CVSS 9.8 NVD