Alertas de Seguridad de la Información

M Alto vulnerabilidad Nuevo

Hace 14 horas

[CVE-2026-108159] AstronRPA through 1.1.6 contains a cross-site scripting vulnerability in the desktop client's smart-…

AstronRPA through 1.1.6 contains a cross-site scripting vulnerability in the desktop client's smart-component chat that allows remote attackers to execute OS commands by abusing unsanitized LLM output rendered via v-html. Attackers can embed prompt-injection content in a web page so the model emits HTML event handlers invoking the unrestricted open-path IPC handler with shell metacharacters, execu…

nvdaltovulnerabilidad CVSS 7.5 NVD

M Crítico vulnerabilidad

Hace 1 día

[CVE-2026-107703] @enmaso/node-convert through 1.0.0 contains an OS command injection vulnerability in convert.js that…

@enmaso/node-convert through 1.0.0 contains an OS command injection vulnerability in convert.js that allows attackers to execute shell commands via unsanitized filepath and convertTo arguments. Attackers can inject shell metacharacters or a single quote into the ImageMagick command run by child_process.exec() to execute operating system commands with Node.js process privileges.

nvdcriticovulnerabilidad CVSS 9.8 NVD

M Crítico vulnerabilidad

Hace 1 día

[CVE-2026-107699] ppt2png through 0.0.6 contains an OS command injection vulnerability that allows attackers to execut…

ppt2png through 0.0.6 contains an OS command injection vulnerability that allows attackers to execute operating system commands by supplying unsanitized input or output path arguments. Attackers can append shell metacharacters such as ';' to file names passed to child_process.exec() in ppt2png.js, running commands with Node.js process privileges.

nvdcriticovulnerabilidad CVSS 9.8 NVD

M Alto vulnerabilidad

Hace 1 día

[CVE-2026-107383] MariaDB Connector/Node.js is used to connect applications developed on Node.js to MariaDB and MySQL …

MariaDB Connector/Node.js is used to connect applications developed on Node.js to MariaDB and MySQL databases. Prior to 3.2.5, 3.3.4, 3.4.7, and 3.5.4, the GeoJSON Polygon and MultiPolygon binary encoders size a Buffer.allocUnsafe() allocation from each ring's numeric length before confirming that the ring is an array. A malformed non-array ring can therefore reserve bytes that the writing loop sk…

nvdaltovulnerabilidad CVSS 7.5 NVD

M Alto vulnerabilidad

Hace 1 día

Vulnerabilidad alta en hMailServer 6.0.0-6.3.5: fallo en validación DANE/DNSSEC en SMTP saliente

hMailServer versiones 6.0.0 a 6.3.5 contienen una vulnerabilidad que permite eludir la validación DANE (RFC 7672) en entregas SMTP salientes. El servidor no valida correctamente respuestas DNSSEC incompletas, malformadas o sin pruebas NSEC/NSEC3, permitiendo entregas de correo a destinos no autenticados. Afecta principalmente a proveedores de correo y servidores de mensajería en LATAM que dependen de DNSSEC para seguridad de entrega.

nvdaltovulnerabilidad CVSS 7.4 NVD

M Alto vulnerabilidad

Hace 1 día

Vulnerabilidad de permisos en hMailServer 6.0.0-6.3.5 permite acceso no autorizado a datos

Progressive Robot hMailServer versiones 6.0.0 a 6.3.5 contiene una configuración insegura de permisos en el instalador de Windows que permite a usuarios locales autenticados acceder a datos del servidor de correo. Los directorios de datos, registros, base de datos y archivo de configuración hMailServer.INI heredan permisos débiles durante la instalación, exponiendo información sensible de mensajes y configuración en servidores corporativos de LATAM.

nvdaltovulnerabilidad CVSS 7.8 NVD

M Alto vulnerabilidad

Hace 1 día

Vulnerabilidad de complejidad algorítmica en hMailServer permite denegación de servicio remota

Una deficiencia en el lector JSON de hMailServer permite a atacantes remotos no autenticados causar indisponibilidad de servicios de correo mediante objetos JSON malformados con miembros duplicados. El procesamiento O(N²) genera degradación severa: 1 MB consume 8.9 segundos y 4 MB alcanza 300 segundos. Afecta empresas y proveedores de correo en LATAM que implementen este servidor de mensajería.

nvdaltovulnerabilidad CVSS 7.5 NVD

M Alto vulnerabilidad

Hace 1 día

Vulnerabilidad alta en Progressive Robot hMailServer permite denegación de servicio remota

Una complejidad algorítmica ineficiente en la verificación de firmas DKIM y ARC en Progressive Robot hMailServer 6.0.0 a 6.3.5 permite a atacantes remotos no autenticados saturar servidores de correo mediante mensajes especialmente crafted. El procesamiento de encabezados crece exponencialmente, causando consumo excesivo de recursos y caída del servicio de correo, impactando directamente la comunicación empresarial en organizaciones que dependen de este servidor.

nvdaltovulnerabilidad CVSS 7.5 NVD

M Alto vulnerabilidad

Hace 1 día

Vulnerabilidad alta en Progressive Robot hMailServer permite denegación de servicio remota

Se ha identificado una vulnerabilidad (CVE-2026-107577, CVSS 7.5) en Progressive Robot hMailServer versiones 6.0.0 a 6.3.5 que permite a atacantes remotos no autenticados causar indisponibilidad del servicio de correo. La falla radica en ineficiencia algorítmica y bucles infinitos al procesar encabezados MIME malformados en mensajes recibidos. Afecta directamente a servidores de correo en empresas de México y LATAM que dependan de esta plataforma.

nvdaltovulnerabilidad CVSS 7.5 NVD

M Alto vulnerabilidad

Hace 1 día

Vulnerabilidad de complejidad algorítmica en Progressive Robot hMailServer 6.3.4 y 6.3.5

Una vulnerabilidad de complejidad algorítmica ineficiente en el procesamiento de rebotes y quejas de hMailServer permite a atacantes remotos no autenticados detener la entrega de correo mediante mensajes especialmente crafteados. El riesgo es alta cuando el procesamiento de notificaciones de estado de entrega (RFC 3464) o listas de correo están habilitadas en servidores de correo empresariales y de proveedores de servicios en LATAM.

nvdaltovulnerabilidad CVSS 7.5 NVD

M Alto vulnerabilidad

Hace 1 día

CVE-2026-104704: Vulnerabilidad alta en hMailServer 6.0.0-6.3.5 por falta de validación TLS en SMTP

hMailServer versiones 6.0.0 a 6.3.5 no implementa correctamente la validación DANE/TLSA para entregas SMTP salientes, permitiendo degradación a conexiones sin TLS cuando los registros DNSSEC no contienen registros DANE-EE. Esto expone las comunicaciones de correo en tránsito a empresas mexicanas y latinoamericanas que usan este servidor de correo, comprometiendo la confidencialidad de mensajes según RFC 7672.

nvdaltovulnerabilidad CVSS 7.4 NVD

M Alto vulnerabilidad

Hace 1 día

Vulnerabilidad XSS alta en hMailServer 6.3.2-6.3.5 permite ejecución de scripts en webmail

Se ha identificado una vulnerabilidad de cross-site scripting (XSS) en el cliente webmail de Progressive Robot hMailServer que afecta versiones 6.3.2 a 6.3.5. Un atacante remoto puede enviar mensajes cifrados (S/MIME u OpenPGP) que, al ser descifrados en el navegador, ejecutan código malicioso con los permisos de sesión del usuario. Esto compromete la confidencialidad de correos y credenciales en empresas que usan este servidor de correo.

nvdaltovulnerabilidad CVSS 8.0 NVD

M Alto vulnerabilidad

Hace 2 días

Inyección SQL ciega alta en Pix por Piggly para WooCommerce (CVE-2026-42714)

Se identificó una vulnerabilidad de inyección SQL ciega en el complemento Pix por Piggly (versiones hasta 2.1.2) para WooCommerce que permite a atacantes ejecutar comandos SQL maliciosos sin autenticación. Esta falla afecta directamente a tiendas de comercio electrónico en México y Latinoamérica que dependen de este método de pago. La vulnerabilidad puede comprometer datos sensibles de clientes y transacciones financieras.

nvdaltovulnerabilidad CVSS 7.6 NVD

M Alto vulnerabilidad

Hace 3 días

[CVE-2026-106371] Incorrect authorization in Transactions Platform in Google Chrome on on Android prior to 155.0.8059.…

Incorrect authorization in Transactions Platform in Google Chrome on on Android prior to 155.0.8059.39 allowed a remote attacker to obtain sensitive information via a crafted HTML page. (Chromium security severity: Low)

nvdaltovulnerabilidad CVSS 8.8 NVD

M Alto vulnerabilidad

Hace 3 días

[CVE-2026-106113] ImageSharp is a 2D graphics library. From 2.0.0 until 4.1.2, decoding an attacker-supplied 32-bit fl…

ImageSharp is a 2D graphics library. From 2.0.0 until 4.1.2, decoding an attacker-supplied 32-bit floating-point TIFF as Image and applying HistogramEqualization can produce a non-finite or out-of-range luminance in ColorNumerics.GetBT709Luminance. GrayscaleLevelsRowOperation.Invoke uses the resulting value as an unchecked histogram offset, causing an unsafe out-of-range access and pr…

nvdaltovulnerabilidad CVSS 7.5 NVD

M Alto vulnerabilidad

Hace 3 días

Control de acceso roto sin autenticación en Easy Digital Downloads versiones ≤ 3.7.1

Easy Digital Downloads, plugin de WordPress ampliamente usado en LATAM para venta de contenido digital, presenta una vulnerabilidad alta de control de acceso que permite a atacantes no autenticados acceder a funcionalidades restringidas. Esta falla afecta principalmente a tiendas digitales y plataformas de distribución de contenido en México y Latinoamérica que dependen de este plugin para gestionar transacciones y datos sensibles.

nvdaltovulnerabilidad CVSS 7.5 NVD

M Alto vulnerabilidad

Hace 3 días

[CVE-2026-39778] Unauthenticated Cross Site Scripting (XSS) in Ansar Import – One Click Starter Sites – for Elementor…

Unauthenticated Cross Site Scripting (XSS) in Ansar Import – One Click Starter Sites – for Elementor & Themes

nvdaltovulnerabilidad CVSS 7.1 NVD

M Alto vulnerabilidad

Hace 4 días

[CVE-2026-105701] The ACPT (Premium) plugin for WordPress is vulnerable to Remote Code Execution in all versions up to…

The ACPT (Premium) plugin for WordPress is vulnerable to Remote Code Execution in all versions up to, and including, 2.0.66 via the render function. This is due to missing capability check on the REST API form creation endpoint and unsandboxed Twig environment rendering email templates. This makes it possible for authenticated attackers, with subscriber-level access and above, to execute code on t…

nvdaltovulnerabilidad CVSS 8.8 NVD

M Alto vulnerabilidad

Hace 4 días

[CVE-2026-105776] A flaw has been found in bhagya3929 Employee-Movement-Tracking-and-Monitoring-Website-for-IOCL up to…

A flaw has been found in bhagya3929 Employee-Movement-Tracking-and-Monitoring-Website-for-IOCL up to ae783195ba7e0390d3b3bfaddd99944b7e9735a4. Affected by this vulnerability is an unknown functionality of the file /admin_transaction.php. This manipulation of the argument Username causes sql injection. It is possible to initiate the attack remotely. The exploit has been published and may be used. T…

nvdaltovulnerabilidad CVSS 7.3 NVD

M Alto vulnerabilidad

Hace 4 días

[CVE-2026-105386] A vulnerability was identified in onetwothreeneth HospitalManagementSystem up to 9ef91ed6007314b6473…

A vulnerability was identified in onetwothreeneth HospitalManagementSystem up to 9ef91ed6007314b6473110ed699dff76d158f61d. Affected by this issue is the function get of the file print.php. The manipulation of the argument transaction_id leads to sql injection. It is possible to initiate the attack remotely. The exploit is publicly available and might be used. This product is using a rolling releas…

nvdaltovulnerabilidad CVSS 7.3 NVD