Alertas de Seguridad de la Información

M Alto vulnerabilidad

30/08/2026

[CVE-2026-82653] SiYuan before v3.8.1 contains a stored cross-site scripting vulnerability in confirmDialog() where u…

SiYuan before v3.8.1 contains a stored cross-site scripting vulnerability in confirmDialog() where unescaped package names and notebook names are interpolated directly into innerHTML assignments. Attackers can submit malicious bazaar packages with HTML/script payloads in the name field that execute in users' browsers when uninstalling packages or unlocking encrypted notebooks.

nvdaltovulnerabilidad CVSS 8.9 NVD

M Alto vulnerabilidad

30/08/2026

[CVE-2026-82641] keploy versions 3.1.0 through 3.6.25 bind the agent control-plane HTTP server to all interfaces with…

keploy versions 3.1.0 through 3.6.25 bind the agent control-plane HTTP server to all interfaces without authentication, exposing endpoints that stream TLS session keys and traffic data. Attackers can access the /agent/pcap/keylog endpoint to retrieve NSS keylog lines and decrypt recorded TLS traffic, or invoke /agent/stop and /agent/storemocks to manipulate recording sessions.

nvdaltovulnerabilidad CVSS 8.6 NVD

M Alto vulnerabilidad

30/08/2026

[CVE-2026-82642] Readest is an open-source e-book reader built on Tauri. In versions prior to 0.11.16, EPUB chapter H…

Readest is an open-source e-book reader built on Tauri. In versions prior to 0.11.16, EPUB chapter HTML is sanitized with DOMPurify using a configuration that forbade only the tag (FORBID_TAGS: ['script']) in apps/readest-app/src/services/transformers/sanitizer.ts. DOMPurify does not parse the contents of the srcdoc attribute on elements, treating it as an opaque string attribute…

nvdaltovulnerabilidad CVSS 8.8 NVD

M Alto vulnerabilidad

30/08/2026

[CVE-2026-82639] NextChat versions from 2.15.8 through 2.16.1 contain an improper URL validation vulnerability in the…

NextChat versions from 2.15.8 through 2.16.1 contain an improper URL validation vulnerability in the proxy endpoint that allows attackers to obtain the server's OpenAI API key. The x-base-url header is validated using substring matching instead of hostname parsing, allowing any URL containing 'api.openai.com' to pass validation and receive the server's credentials in the Authorization header.

nvdaltovulnerabilidad CVSS 7.5 NVD

M Alto vulnerabilidad

30/08/2026

[CVE-2026-82543] A vulnerability was detected in vastsa FileCodeBox up to 2.3. This vulnerability affects the functio…

A vulnerability was detected in vastsa FileCodeBox up to 2.3. This vulnerability affects the function update_file_usage of the file apps/base/views.py of the component Pickup Limit Handler. Performing a manipulation results in race condition. It is possible to initiate the attack remotely. The exploit is now public and may be used. Upgrading to version 2.5.0 is able to resolve this issue. The patc…

nvdaltovulnerabilidad CVSS 7.3 NVD

M Alto vulnerabilidad

30/08/2026

[CVE-2026-82635] Pake before 3.13.1 joins the JavaScript-supplied filename for the download_file Tauri command onto t…

Pake before 3.13.1 joins the JavaScript-supplied filename for the download_file Tauri command onto the user's Downloads directory with no sanitization. A filename containing path traversal sequences (for example ../Library/LaunchAgents/com.evil.plist) or an absolute path resolves outside ~/Downloads. The command then fetches attacker-controlled content from the supplied URL (via Rust HTTP, not the…

nvdaltovulnerabilidad CVSS 8.8 NVD

M Alto vulnerabilidad

30/08/2026

Vulnerabilidad alta de subdesbordamiento entero en NASA cFS hasta versión 7.0.1

Se ha identificado una falla de seguridad en NASA cFS (Core Flight System) versiones hasta 7.0.1 en la función CFE_SB_GetUserDataLength del módulo cFE Software Bus. Un atacante remoto puede manipular los parámetros TotalMsgSize/HdrSize para provocar un subdesbordamiento entero, potencialmente comprometiendo sistemas aeroespaciales, satélites y aplicaciones embebidas altas en instituciones y empresas de LATAM. Con CVSS 7.4, este vector afecta directamente a organizaciones que utilizan sistemas de vuelo autónomo o infraestructura satelital.

nvdaltovulnerabilidad CVSS 7.4 NVD

M Alto vulnerabilidad

30/08/2026

Vulnerabilidad alta de desbordamiento de búfer en NASA Trick 19.6.0 (CVE-2026-82478)

Se identificó una vulnerabilidad de desbordamiento de búfer en pila en NASA Trick 19.6.0, específicamente en la función JSONVariableServerThread::parse_request del manejador de sockets TCP. Esta falla permite ejecución remota de código sin autenticación previa. Afecta principalmente a instituciones de investigación, universidades y centros aeroespaciales en Latinoamérica que utilizan esta herramienta de simulación científica.

nvdaltovulnerabilidad CVSS 7.3 NVD

M Alto vulnerabilidad

29/08/2026

[CVE-2026-82475] iFlytek astron-agent: vulnerabilidad de omisión de autorización en copyFlow

iFlytek astron-agent versión 1.1.1 y anteriores contiene una vulnerabilidad de omisión de validación de autorización en el endpoint copyFlow que permite a atacantes autenticados enumerar identificadores de flujos de trabajo y sobrescribir workflows de otros inquilinos o copiar definiciones privadas. El impacto es alta para entornos multitenante en plataformas cloud corporativas de LATAM que utilizan esta solución para automatización de procesos.

nvdaltovulnerabilidad CVSS 8.1 NVD

M Alto vulnerabilidad

29/08/2026

Vulnerabilidad alta en Documenso: carga de PDF sin autenticación en endpoint /api/files/upload-pdf

Documenso versiones anteriores a 2.13.0 permite la carga de archivos PDF sin requerir autenticación en el endpoint /api/files/upload-pdf. Atacantes no autenticados pueden subir PDFs arbitrarios indefinidamente, agotando recursos de almacenamiento y saturando bases de datos con registros huérfanos. Esta vulnerabilidad afecta principalmente a empresas mexicanas y latinoamericanas que utilizan Documenso para gestión de documentos digitales y flujos de firma electrónica.

nvdaltovulnerabilidad CVSS 7.5 NVD

M Alto vulnerabilidad

29/08/2026

Vulnerabilidad alta en KubeEdge CloudCore 1.23.1 permite falsificación de estado de actualización de nodos

KubeEdge CloudCore versiones hasta 1.23.1 acepta reportes de estado de tareas sin autenticación en puerto 10002, permitiendo a atacantes modificar el estado de trabajos de upgrade. Esto compromete la integridad del plano de control en infraestructuras edge/IoT, siendo alta para organizaciones en LATAM con despliegues en manufactura, utilities y telecomunicaciones que dependen de orquestación automática de actualizaciones.

nvdaltovulnerabilidad CVSS 8.2 NVD

M Alto vulnerabilidad

29/08/2026

Vulnerabilidad alta en Sudo permite eludir controles de política en llamadas execveat

Sudo versiones hasta 1.9.17p2 no aplica verificaciones de política de intercepción a la llamada del sistema execveat en modo ptrace, permitiendo a usuarios autorizados ejecutar programas prohibidos mediante execveat o fexecve. Esta evasión compromete la aplicación de políticas y el registro de auditoría en servidores Linux/Unix altas en LATAM donde Sudo gestiona privilegios administrativos.

nvdaltovulnerabilidad CVSS 7.8 NVD

M Alto vulnerabilidad

29/08/2026

Vulnerabilidad alta en pac4j-oidc: falla en validación de tokens de acceso

pac4j-oidc anterior a versión 6.5.6 no valida correctamente firmas de tokens de acceso, emisores, audiencias ni expiración al extraer roles de Keycloak. Atacantes pueden falsificar tokens con roles administrativos combinados con tokens ID válidos para eludir controles de autorización en aplicaciones que dependen de validación de roles en pac4j. Afecta directamente sistemas de identidad y control de acceso en infraestructuras empresariales de México y LATAM que implementen esta librería.

nvdaltovulnerabilidad CVSS 8.1 NVD

M Alto vulnerabilidad

29/08/2026

Vulnerabilidad alta de elusión de autenticación en Rodauth anterior a 2.46.0

Rodauth versiones anteriores a 2.46.0 contiene una vulnerabilidad de elusión de autenticación en la ruta webauthn_login que permite a usuarios autenticados suplantarse como otras cuentas. El defecto reside en la lógica impropia de resolución de cuentas que utiliza identificadores de sesión en lugar de validar correctamente el vínculo de credenciales, exponiendo sistemas que dependen de WebAuthn en México y LATAM a compromisos de cuentas no autorizados.

nvdaltovulnerabilidad CVSS 8.7 NVD

M Alto vulnerabilidad

29/08/2026

[CVE-2026-82457] su-exec through 0.3 fails to validate numeric user and group identifiers parsed with strtol before a…

su-exec through 0.3 fails to validate numeric user and group identifiers parsed with strtol before assigning to uid_t and gid_t, allowing truncation of out-of-range values to zero. Attackers can supply large numeric identifiers that truncate to root's identifier, causing su-exec to execute target programs with root privileges instead of intended unprivileged accounts.

nvdaltovulnerabilidad CVSS 7.8 NVD

M Alto vulnerabilidad

29/08/2026

[CVE-2026-16061] The Rest Routes WordPress plugin through 5.5.5 does not sanitize and validate a value taken from th…

The Rest Routes WordPress plugin through 5.5.5 does not sanitize and validate a value taken from the URL of one of its public REST routes before using it in a SQL query, allowing unauthenticated attackers to perform SQL injection attacks.

nvdaltovulnerabilidad CVSS 8.6 NVD

M Alto vulnerabilidad

29/08/2026

Vulnerabilidad alta de intercepción de tráfico en BOSH Director vCenter CPI (CVE-2026-41012)

Una vulnerabilidad de intercepción de tráfico en BOSH Director vCenter CPI permite a atacantes posicionados entre el Director y vCenter suplantar la API REST de vCenter y capturar credenciales de administrador mediante autenticación HTTP Basic. Un atacante con capacidad de interceptar tráfico puede comprometer completamente la infraestructura de virtualización. En LATAM, esto afecta altas centros de datos y plataformas de IaaS que dependen de vCenter para gestión de máquinas virtuales.

nvdaltovulnerabilidad CVSS 7.7 NVD

M Alto vulnerabilidad

28/08/2026

Vulnerabilidad alta en MapFish Print permite inyección XXE en servidores de mapas

MapFish Print versiones anteriores a 3.28.30, 3.30.32, 3.31.24, 3.33.16 y 4.0.5 contienen una vulnerabilidad de inyección XML External Entity (XXE) en el endpoint /api/print3/print. Un atacante remoto puede enviar capas GML maliciosas para ejecutar ataques XXE sin validación de entidades externas, poniendo en riesgo servidores de cartografía y sistemas SIG en gobiernos, empresas constructoras y plataformas de infraestructura en LATAM.

nvdaltovulnerabilidad CVSS 8.6 NVD

M Alto vulnerabilidad

28/08/2026

Vulnerabilidad alta en free5GC 1.4.4 permite acceso no autorizado a contexto de autenticación

free5GC, implementación de código abierto del núcleo 5G, presenta una vulnerabilidad en el componente AUSF (Authentication Server Function) en versiones 1.4.4 y anteriores. El almacenamiento inseguro de estado de autenticación por suscriptor en una estructura global permite que atacantes accedan o manipulen credenciales de usuarios. Esta vulnerabilidad afecta directamente a operadores de telecomunicaciones y proveedores de infraestructura 5G en LATAM que ejecuten free5GC en entornos de producción.

nvdaltovulnerabilidad CVSS 7.5 NVD

M Alto vulnerabilidad

28/08/2026

Vulnerabilidad alta en Graylog Server y Forwarder permite manipulación de logs (CVE-2026-55841)

Una vulnerabilidad en el parser de syslog FortiGate de Graylog Server (versiones anteriores a 6.3.12, 7.0.7 y 7.1.2) y Graylog Forwarder (anterior a 7.3) permite a atacantes manipular campos de log mediante texto especialmente crafteado dentro de valores entrecomillados. Esto afecta a empresas en LATAM que utilizan Graylog para centralizar y auditar logs de seguridad, comprometiendo la integridad de registros altas para forensia y cumplimiento normativo.

nvdaltovulnerabilidad CVSS 7.5 NVD