Empresa
¿Quiénes somos? Visión y Valores
Herramientas
Email Checker Vigía DNS SSL Checker Password Strength HTTP Headers
Alertas
Todas las alertas Vulnerabilidades Incidentes Solo críticas En CISA KEV
Editorial
Análisis técnico ¿Cuál es mi IP?
Blog
Blog 2MCI ISO 27001 Amenazas LATAM Recursos Gratuitos eBook Gratuito Newsletter Podcast / YouTube
Empresa
Servicios Contacto Suscribirse al Newsletter
Nuevo en 2MCI
Crear cuenta gratis Ver herramientas sin registro
Ya tengo cuenta
Iniciar sesión
Equipo
Portal interno 2MCI
Inicio/Alertas
Seguridad de la Información

Alertas de Seguridad de la Información

Vulnerabilidades explotadas activamente, incidentes y análisis relevantes para México y LATAM. Actualizado automáticamente desde fuentes oficiales.

48 vulnerabilidades en CISA KEV — explotación activa confirmada Ver todas →
Última alerta publicada ahora mismo
Buscando: "Ni" — 5671 resultados ✕ Limpiar búsqueda
22,181
Total alertas
4701
Críticas
16892
Altas
8
Ransomware
1051
Esta semana
RSS
Alta × Limpiar todo ×
M Alto vulnerabilidad
Hace 4 días
[CVE-2026-105629] Plane is an open-source project management tool. Prior to 1.4.0, BulkEstimatePointEndpoint.destroy r…
Plane is an open-source project management tool. Prior to 1.4.0, BulkEstimatePointEndpoint.destroy resolves an estimate point through a bare primary-key lookup without workspace, project, or estimate scoping. An administrator or member of one workspace can permanently delete an estimate point belonging to another workspace by supplying the target UUID in a URL under the attacker's own workspace. T…
nvdaltovulnerabilidad CVSS 7.1 NVD
M Alto vulnerabilidad
Hace 4 días
[CVE-2026-105630] Plane is an open-source project management tool. Prior to 1.4.0, an authenticated low-privilege work…
Plane is an open-source project management tool. Prior to 1.4.0, an authenticated low-privilege workspace member, including a Guest, can upload an image/svg+xml file as a generic or issue attachment. The file retains the attacker-controlled Content-Type, and the asset-download endpoint creates a presigned URL with Content-Disposition: inline. In the default self-hosted MinIO deployment, the asset …
nvdaltovulnerabilidad CVSS 8.7 NVD
M Alto vulnerabilidad
Hace 4 días
[CVE-2026-105384] A vulnerability was found in UNION HospitalManagementSystem up to 9ef91ed6007314b6473110ed699dff76d1…
A vulnerability was found in UNION HospitalManagementSystem up to 9ef91ed6007314b6473110ed699dff76d158f61d. Affected is an unknown function of the file patient_info.php. Performing a manipulation of the argument patient_id results in sql injection. The attack is possible to be carried out remotely. The exploit has been made public and could be used. This product adopts a rolling release strategy t…
nvdaltovulnerabilidad CVSS 7.3 NVD
M Alto vulnerabilidad
Hace 4 días
[CVE-2026-105385] A vulnerability was determined in onetwothreeneth HospitalManagementSystem up to 9ef91ed6007314b6473…
A vulnerability was determined in onetwothreeneth HospitalManagementSystem up to 9ef91ed6007314b6473110ed699dff76d158f61d. Affected by this vulnerability is an unknown functionality of the file transaction_details.php. Executing a manipulation of the argument transaction_id can lead to sql injection. The attack may be performed from remote. The exploit has been publicly disclosed and may be utiliz…
nvdaltovulnerabilidad CVSS 7.3 NVD
M Alto vulnerabilidad
Hace 4 días
[CVE-2026-105628] Plane is an open-source project management tool. Prior to 1.4.0, Plane's OAuth avatar synchronizatio…
Plane is an open-source project management tool. Prior to 1.4.0, Plane's OAuth avatar synchronization flow fetches avatar_url from provider user data through a server-side HTTP request without internal IP validation and follows redirects by default. An attacker can provide an avatar URL that redirects to an internal-only resource, such as a metadata endpoint, and Plane uploads the fetched response…
nvdaltovulnerabilidad CVSS 7.6 NVD
M Alto vulnerabilidad
Hace 4 días
[CVE-2026-104974] Plane is an open-source project management tool. Prior to 1.4.0, a user whose account has been deact…
Plane is an open-source project management tool. Prior to 1.4.0, a user whose account has been deactivated by setting is_active=False can still log in with existing credentials. Successful authentication silently changes is_active back to True, reactivating the account without notifying the administrator. This issue is fixed in 1.4.0.
nvdaltovulnerabilidad CVSS 8.1 NVD
M Alto vulnerabilidad
Hace 4 días
[CVE-2026-101919] A flaw was found in the HyperShift operator. The operator copies user-provided Kubernetes configurat…
A flaw was found in the HyperShift operator. The operator copies user-provided Kubernetes configuration (kubeconfig) secrets directly into the privileged control plane namespace without proper validation or sanitization. An authenticated user with cluster and secret creation permissions can exploit this vulnerability by supplying a configuration containing unauthorized executable plugins. When dow…
nvdaltovulnerabilidad CVSS 8.8 NVD

📬 Alertas semanales SI directo en tu email

Las vulnerabilidades más críticas para LATAM, con contexto y recomendaciones accionables. Gratis.

Suscribirme →
M Alto vulnerabilidad
Hace 4 días
[CVE-2026-105382] A flaw has been found in onetwothreeneth HospitalManagementSystem up to 9ef91ed6007314b6473110ed699d…
A flaw has been found in onetwothreeneth HospitalManagementSystem up to 9ef91ed6007314b6473110ed699dff76d158f61d. This affects the function update_subaccount of the file php/controller.php of the component Account Administration. This manipulation of the argument user_id causes improper authorization. Remote exploitation of the attack is possible. The exploit has been published and may be used. Th…
nvdaltovulnerabilidad CVSS 7.3 NVD
M Alto vulnerabilidad
Hace 4 días
[CVE-2026-105383] A vulnerability has been found in onetwothreeneth HospitalManagementSystem up to 9ef91ed6007314b6473…
A vulnerability has been found in onetwothreeneth HospitalManagementSystem up to 9ef91ed6007314b6473110ed699dff76d158f61d. This impacts an unknown function of the file php/controller.php. Such manipulation of the argument transaction_idS leads to sql injection. The attack can be executed remotely. The exploit has been disclosed to the public and may be used. This product implements a rolling relea…
nvdaltovulnerabilidad CVSS 7.3 NVD
M Alto vulnerabilidad
Hace 4 días
[CVE-2026-12171] auto-changelog before 2.6.1 merges configuration from inside the target repository (the .auto-change…
auto-changelog before 2.6.1 merges configuration from inside the target repository (the .auto-changelog file and the auto-changelog key in package.json) into its options, and honors security-sensitive options from that untrusted source. The handlebarsSetup option is passed to require(), so running auto-changelog over attacker-controlled repository content (for example, in a CI workflow that checks…
nvdaltovulnerabilidad CVSS 7.8 NVD
M Alto vulnerabilidad
Hace 4 días
[CVE-2026-104970] Plane is an open-source project management tool. From 0.13 until 1.4.0, InstanceAdminSignUpEndpoint …
Plane is an open-source project management tool. From 0.13 until 1.4.0, InstanceAdminSignUpEndpoint in apps/api/plane/license/api/views/admin.py:89-117, 173-229 uses InstanceAdmin.objects.first() for the first-admin check and performs account creation without an atomic transaction, row lock, uniqueness guard, or advisory lock. Two concurrent unauthenticated requests with different email addresses …
nvdaltovulnerabilidad CVSS 8.1 NVD
M Alto vulnerabilidad
Hace 4 días
[CVE-2026-102282] adm-zip is a JavaScript library for creating and extracting ZIP archives in Node.js. Prior to 0.6.1,…
adm-zip is a JavaScript library for creating and extracting ZIP archives in Node.js. Prior to 0.6.1, adm-zip applies the Unix permission bits stored in a zip entry directly to the extracted file via `fs.chmodSync()` when `keepOriginalPermission=true` is passed to `extractAllTo()`/`extractEntryTo()` — and it never filters the setuid/setgid/sticky bits out of those bits. A zip crafted by an attacker…
nvdaltovulnerabilidad CVSS 7.1 NVD
M Alto vulnerabilidad
Hace 5 días
[CVE-2026-92931] CWE-918: Server-Side Request Forgery in the Progress @progress/sitefinity-nextjs-sdk npm package ver…
CWE-918: Server-Side Request Forgery in the Progress @progress/sitefinity-nextjs-sdk npm package versions 15.1.8326 through 15.4.8637 may allow a remote attacker to make server-side requests to an attacker-controlled host, potentially exposing sensitive information.
nvdaltovulnerabilidad CVSS 8.8 NVD
M Alto vulnerabilidad
Hace 5 días
Vulnerabilidad alta de autenticación en Casdoor hasta versión 3.161.1
Se detectó una vulnerabilidad en la función ApiFilter del componente API Endpoint de Casdoor (versiones hasta 3.161.1) que permite eludir mecanismos de autenticación mediante manipulación remota. El exploit es público y activo. Esta falla afecta directamente a sistemas de gestión de identidades y acceso en empresas latinoamericanas, exponiendo APIs internas a acceso no autorizado.
nvdaltovulnerabilidad CVSS 7.3 NVD
M Alto vulnerabilidad
Hace 5 días
Vulnerabilidad alta de SSRF en feelec-yishu feelcrm-os 1.0.0
Se identificó una vulnerabilidad de Server-Side Request Forgery (SSRF) en feelcrm-os versión 1.0.0 que permite manipular el parámetro URL en el endpoint getCurlData del controlador GoogleController.class.php. Un atacante remoto puede ejecutar solicitudes no autorizadas desde el servidor afectado hacia sistemas internos o externos, comprometiendo la confidencialidad de datos y la integridad de la infraestructura. El exploit ha sido divulgado públicamente, elevando significativamente el riesgo para empresas mexicanas y latinoamericanas que utilicen este CRM.
nvdaltovulnerabilidad CVSS 7.3 NVD

🛡 ¿Estás expuesto a alguna de estas vulnerabilidades?

Evaluación gratuita inicial con el equipo 2MCI: identifica exposición y plan de remediación.

Habla con un experto →
M Alto vulnerabilidad
Hace 5 días
Vulnerabilidad alta en controlador NXP GAU ADC permite desbordamiento de búfer
El controlador ADC (conversor analógico-digital) GAU de NXP contiene un defecto de validación en la gestión de tamaño de búfer que puede permitir desbordamientos de memoria. La vulnerabilidad afecta sistemas embebidos y dispositivos IoT que utilicen este controlador, siendo especialmente relevante en infraestructura industrial y de automatización en LATAM. Con CVSS 8.4, representa un riesgo alto para integridad y disponibilidad de sistemas altas.
nvdaltovulnerabilidad CVSS 8.4 NVD
M Alto vulnerabilidad
Hace 5 días
SQL Injection alta en itsourcecode Online Admission System 1.0 expone datos de admisiones
Se identificó una vulnerabilidad de inyección SQL en el archivo /admin/login1.php del sistema de admisiones en línea itsourcecode versión 1.0, permitiendo a atacantes remotos manipular el parámetro User para acceder no autorizado a bases de datos. Esta falla afecta directamente a instituciones educativas en LATAM que utilizan esta solución para gestionar procesos de admisión de estudiantes. El exploit ha sido públicamente divulgado, elevando significativamente el riesgo de explotación inmediata.
nvdaltovulnerabilidad CVSS 7.3 NVD
M Alto vulnerabilidad
Hace 5 días
Vulnerabilidad CSRF alta en Blubrry PowerPress Podcasting hasta versión 11.17.9
Se ha identificado una vulnerabilidad de Falsificación de Solicitud Entre Sitios (CSRF) en el plugin Blubrry PowerPress Podcasting para WordPress que afecta versiones hasta 11.17.9. Esta falla permite a atacantes ejecutar acciones no autorizadas en plataformas de podcasting, incluyendo modificación de contenido y configuraciones administrativas. Es especialmente alta para medios, productoras de contenido y plataformas de distribución de audio en LATAM que utilizan este plugin.
nvdaltovulnerabilidad CVSS 7.1 NVD
M Alto vulnerabilidad
Hace 5 días
Inyección SQL ciega en Sirv versiones anteriores a 8.2.6 permite acceso no autorizado
Se identificó una vulnerabilidad de inyección SQL ciega en la plataforma Sirv que afecta versiones hasta la 8.2.5. Un atacante podría explotar esta falla para extraer datos sensibles de bases de datos sin autenticación válida. Empresas en LATAM que utilizan Sirv para gestión de contenido, catálogos de productos o sistemas de e-commerce están en riesgo inmediato.
nvdaltovulnerabilidad CVSS 8.5 NVD
M Alto vulnerabilidad
Hace 5 días
Inyección SQL alta en SourceCodester Online Reviewer Management System 1.0
Se identificó una vulnerabilidad de inyección SQL en SourceCodester Online Reviewer Management System versión 1.0, específicamente en el parámetro 'Subject' del archivo btn_functions.php. La vulnerabilidad permite a atacantes remotos ejecutar comandos SQL maliciosos sin autenticación, comprometiendo bases de datos de instituciones educativas y empresas que utilicen este sistema. El exploit ha sido divulgado públicamente, aumentando el riesgo inmediato de explotación.
nvdaltovulnerabilidad CVSS 7.3 NVD