Alertas de Seguridad de la Información

M Alto vulnerabilidad

Hace 6 días

[CVE-2026-105210] ZITADEL 3.x before 3.4.15 and 4.x before 4.17.1 contains a missing authentication flaw in the hosted…

ZITADEL 3.x before 3.4.15 and 4.x before 4.17.1 contains a missing authentication flaw in the hosted Login V1 UI, whose second-factor enrollment and initialization handlers act on an identify-only session before any primary factor is verified. Attackers knowing only a victim's login name can enroll attacker-controlled TOTP, OTP-SMS, OTP-Email, or U2F factors, overwrite the verified phone number, a…

nvdaltovulnerabilidad CVSS 8.2 NVD

M Alto vulnerabilidad

Hace 6 días

[CVE-2026-105211] ZITADEL before 4.17.1 contains an authentication bypass vulnerability in Login V2 that allows unauth…

ZITADEL before 4.17.1 contains an authentication bypass vulnerability in Login V2 that allows unauthenticated attackers to take over accounts by obtaining OTP codes via the returnCode delivery type. Attackers knowing a login name of a victim with OTP-Email and OTP-SMS enrolled can read both codes from server-action responses to gain MFA-authenticated sessions, including administrator takeover.

nvdaltovulnerabilidad CVSS 8.1 NVD

M Alto vulnerabilidad

Hace 6 días

[CVE-2026-105213] ZITADEL 4.x before 4.17.1 does not check an organization's inactive state during Login V2 authentica…

ZITADEL 4.x before 4.17.1 does not check an organization's inactive state during Login V2 authentication, verifying only the individual user's status. Users of a deactivated organization who hold valid credentials, an existing session, or a refresh token can still sign in, create sessions, and obtain or refresh tokens.

nvdaltovulnerabilidad CVSS 8.2 NVD

M Alto vulnerabilidad

Hace 6 días

[CVE-2026-105158] A vulnerability was detected in RainyGao DocSys up to 2.02.85. The impacted element is the function …

A vulnerability was detected in RainyGao DocSys up to 2.02.85. The impacted element is the function BaseController.createDBForMysql of the file BaseController.java of the component Database Management. The manipulation of the argument url results in sql injection. The attack can be executed remotely. The exploit is now public and may be used. The project was informed of the problem early through a…

nvdaltovulnerabilidad CVSS 7.3 NVD

M Alto vulnerabilidad

Hace 6 días

[CVE-2026-105148] A vulnerability was identified in SciPhi-AI R2R up to 3.6.6. This vulnerability affects unknown code…

A vulnerability was identified in SciPhi-AI R2R up to 3.6.6. This vulnerability affects unknown code of the file py/shared/abstractions/llm.py of the component Retrieval Completion API Endpoint. Such manipulation of the argument generation_config.api_base leads to server-side request forgery. The attack can be launched remotely. The exploit is publicly available and might be used. The vendor was c…

nvdaltovulnerabilidad CVSS 7.3 NVD

M Alto vulnerabilidad

Hace 6 días

[CVE-2026-105149] A security flaw has been discovered in mooSocial up to 3.2.4. This issue affects some unknown proces…

A security flaw has been discovered in mooSocial up to 3.2.4. This issue affects some unknown processing of the file /stores/all-products. Performing a manipulation of the argument rating results in sql injection. The attack may be initiated remotely. The exploit has been released to the public and may be used for attacks. The vendor was contacted early about this disclosure but did not respond in…

nvdaltovulnerabilidad CVSS 7.3 NVD

M Alto vulnerabilidad

Hace 6 días

[CVE-2026-105147] A vulnerability was determined in SciPhi-AI R2R up to 3.6.6. This affects an unknown part of the com…

A vulnerability was determined in SciPhi-AI R2R up to 3.6.6. This affects an unknown part of the component JWT Secret Handler. This manipulation of the argument DEFAULT_BCRYPT_SECRET_KEY/DEFAULT_NACL_SECRET_KEY causes hard-coded credentials. The attack can be initiated remotely. The exploit has been publicly disclosed and may be utilized. The vendor was contacted early about this disclosure but di…

nvdaltovulnerabilidad CVSS 7.3 NVD

M Alto vulnerabilidad

Hace 6 días

Vulnerabilidad XSS reflejado alta en WP Statistics versiones anteriores a 14.16.15

Se ha identificado una vulnerabilidad de Cross-Site Scripting (XSS) reflejado en el plugin WP Statistics para WordPress, utilizado ampliamente en sitios corporativos y de comercio electrónico en Latinoamérica. Un atacante puede inyectar código malicioso que se ejecute en el navegador de usuarios autenticados, comprometiendo sesiones, robando credenciales o instalando malware. Esta vulnerabilidad afecta versiones desde la inicial hasta la 14.16.14.

nvdaltovulnerabilidad CVSS 7.1 NVD

M Alto vulnerabilidad

Hace 6 días

Vulnerabilidad XSS reflejado alta en Unlimited Elements for Elementor hasta versión 2.0.20

Se ha identificado una vulnerabilidad de Cross-Site Scripting (XSS) reflejado en el plugin Unlimited Elements for Elementor (versiones hasta 2.0.20) que permite a atacantes inyectar código malicioso durante la generación de páginas web. Esta vulnerabilidad afecta principalmente a sitios WordPress en México y LATAM que utilizan este plugin de widgets y addons. Con un CVSS de 7.1, el riesgo es considerable para plataformas de comercio electrónico, portales corporativos y sitios de contenido que dependen de Elementor.

nvdaltovulnerabilidad CVSS 7.1 NVD

M Alto vulnerabilidad

Hace 6 días

Vulnerabilidad XSS almacenado alta en Kadence Blocks para Gutenberg (CVE-2026-103354)

Se ha identificado una vulnerabilidad de Cross-Site Scripting (XSS) almacenado en el plugin Gutenberg Blocks by Kadence Blocks (versiones hasta 3.7.11.1) que permite a atacantes inyectar código malicioso en páginas web generadas. Esta falla afecta sitios WordPress en México y Latinoamérica que utilizan este plugin para diseño de contenidos, exponiendo datos de usuarios y comprometiendo la integridad de los sitios. Con puntuación CVSS 7.1, constituye una amenaza moderada-alta que requiere atención inmediata.

nvdaltovulnerabilidad CVSS 7.1 NVD

M Alto vulnerabilidad

Hace 6 días

Vulnerabilidad XSS almacenado alta en TranslatePress afecta sitios multiidioma

TranslatePress versión 3.3.6 y anteriores contiene una vulnerabilidad de Cross-Site Scripting (XSS) almacenado que permite a atacantes inyectar código malicioso durante la generación de páginas web. Esta falla afecta principalmente a sitios de comercio electrónico y portales corporativos en LATAM que utilizan este plugin de WordPress para gestionar contenido multiidioma, exponiendo credenciales de administradores y datos de usuarios.

nvdaltovulnerabilidad CVSS 7.1 NVD

M Alto vulnerabilidad

Hace 6 días

Vulnerabilidad alta de autenticación en Ahsay AhsayCBS afecta versiones hasta 10.3.2

Se detectó una vulnerabilidad en Ahsay AhsayCBS (versiones ≤10.3.2) que compromete la función de autenticación checkSysPwd mediante manipulación del parámetro random en la API. El ataque es remoto y el exploit está públicamente disponible. Afecta principalmente a empresas en LATAM que usan este software de backup en cloud híbrido, exponiendo acceso no autorizado a sistemas de respaldo altas.

nvdaltovulnerabilidad CVSS 7.3 NVD

M Alto vulnerabilidad

Hace 6 días

Vulnerabilidad de escalada de privilegios en LaraDashboard anterior a 1.4.8

LaraDashboard versiones anteriores a 1.4.8 contiene una falla en la gestión de privilegios que permite a usuarios autenticados con permisos de edición de roles escalar a Superadmin, renombrando roles o asignándose permisos de suplantación de cuenta (user.login_as). Esto habilita acceso a funciones altas de actualización e instalación de módulos, exponiendo servidores en producción a ejecución remota de código en entornos empresariales de México y Latinoamérica.

nvdaltovulnerabilidad CVSS 7.2 NVD

M Alto vulnerabilidad

Hace 6 días

Vulnerabilidad alta de ejecución remota de código en W (wcms) versión 3.18.0 y anteriores

W (vincent-peugnet/wcms) versión 3.18.0 y anteriores contiene una vulnerabilidad de ejecución remota de código (RCE) que permite a editores autenticados escribir archivos arbitrarios mediante la validación insuficiente en POST /api/v0/media/upload/[*:path]. Los atacantes pueden cargar archivos PHP ejecutables, utilizar secuencias codificadas ../ para escribir fuera del directorio de medios, y eliminar archivos arbitrarios. Esta vulnerabilidad afecta principalmente a plataformas de gestión de contenidos desplegadas en servidores web de empresas mexicanas y latinoamericanas.

nvdaltovulnerabilidad CVSS 8.8 NVD

M Alto vulnerabilidad

03/10/2026

Vulnerabilidad alta de escalada de privilegios en Ultimate Member 2.13.1 y anteriores

Se ha identificado una vulnerabilidad de omisión de autorización en el plugin Ultimate Member para WordPress que permite a atacantes escalar privilegios mediante claves controladas por el usuario. Esta falla afecta versiones hasta 2.13.1 y representa un riesgo alta (CVSS 8.8) para sitios web corporativos, plataformas de membresía y comunidades online en México y Latinoamérica que dependen de este plugin para gestionar roles y permisos de usuarios.

nvdaltovulnerabilidad CVSS 8.8 NVD

M Alto vulnerabilidad

03/10/2026

Vulnerabilidad de validación de entrada en Kirki permite eludir controles de acceso

Una vulnerabilidad de validación impropia en Themeum Kirki (versiones hasta 6.3.1) permite a usuarios no autorizados acceder a funcionalidades que deberían estar restringidas por listas de control de acceso (ACLs). Afecta sitios WordPress en México y Latinoamérica que utilizan este framework de personalización de temas. El CVSS 8.2 refleja riesgo alto para integridad y disponibilidad.

nvdaltovulnerabilidad CVSS 8.2 NVD

M Alto vulnerabilidad

03/10/2026

Vulnerabilidad de omisión de autorización en plugin Nelio Content para WordPress (CVE-2026-94505)

El plugin Nelio Content – Editorial Calendar & Social Media Auto-Posting para WordPress es vulnerable a omisión de autorización en versiones hasta 4.5.0. Atacantes autenticados con acceso de contribuidor pueden eliminar permanentemente contenido de redes sociales reutilizables. Afecta especialmente a agencias de marketing digital y empresas de comunicación en LATAM que usan WordPress con este plugin.

nvdaltovulnerabilidad CVSS 8.1 NVD

M Alto vulnerabilidad

03/10/2026

Vulnerabilidad XSS almacenado alta en plugin WPC Product Options para WooCommerce

El plugin WPC Product Options para WordPress es vulnerable a inyección de scripts almacenados (XSS) en versiones hasta 4.0.5 debido a sanitización insuficiente de parámetros de matriz en campos multipart. Atacantes sin autenticación pueden ejecutar código malicioso en tiendas WooCommerce, comprometiendo datos de clientes y sesiones de administrador. Afecta principalmente a pequeñas y medianas empresas de e-commerce en LATAM que utilizan este plugin de opciones de productos.

nvdaltovulnerabilidad CVSS 7.2 NVD

M Alto vulnerabilidad

03/10/2026

Vulnerabilidad XSS almacenado alta en plugin WP Mail Catcher para WordPress (CVE-2026-93889)

El plugin WP Mail Catcher para WordPress es vulnerable a inyección de scripts maliciosos almacenados (Stored XSS) a través de mensajes de error de PHPMailer en versiones hasta 2.1.12. Atacantes no autenticados pueden inyectar código JavaScript que se ejecuta cuando usuarios acceden a páginas comprometidas, poniendo en riesgo datos sensibles y sesiones administrativas. Afecta especialmente a sitios empresariales en LATAM que utilizan este plugin para gestionar logs de correo.

nvdaltovulnerabilidad CVSS 7.2 NVD

M Alto vulnerabilidad

03/10/2026

Inyección SQL alta en Smart Manager para WooCommerce afecta tiendas online

El plugin Smart Manager para WordPress es vulnerable a inyección SQL a través del parámetro 'access_privileges' en versiones hasta 8.97.0. Atacantes autenticados pueden ejecutar consultas maliciosas y comprometer datos de inventario, clientes y transacciones en tiendas de comercio electrónico. El riesgo es alto en plataformas multitienda comunes en México y Latinoamérica que usan este plugin para gestión masiva de productos.

nvdaltovulnerabilidad CVSS 8.8 NVD