Empresa
¿Quiénes somos? Visión y Valores
Herramientas
Email Checker Vigía DNS SSL Checker Password Strength HTTP Headers Password Generator VPN PSK Generator
Alertas
Todas las alertas Vulnerabilidades Incidentes Solo críticas En CISA KEV Vigía LATAM
Editorial
Análisis técnico ¿Cuál es mi IP?
Blog
Blog 2MCI Noticias ISO 27001 Amenazas LATAM Recursos Gratuitos eBook Gratuito Newsletter Podcast / YouTube
Empresa
Servicios Contacto Suscribirse al Newsletter
Nuevo en 2MCI
Crear cuenta gratis Ver herramientas sin registro
Ya tengo cuenta
Iniciar sesión
Equipo
Portal interno 2MCI
Inicio/Alertas
Seguridad de la Información

Alertas de Seguridad de la Información

Vulnerabilidades explotadas activamente, incidentes y análisis relevantes para México y LATAM. Actualizado automáticamente desde fuentes oficiales.

48 vulnerabilidades en CISA KEV — explotación activa confirmada Ver todas →
Última alerta publicada ahora mismo
Buscando: "Php" — 1107 resultados ✕ Limpiar búsqueda
26,354
Total alertas
5292
Críticas
20184
Altas
8
Ransomware
1731
Esta semana
RSS
Alta × Limpiar todo ×
M Alto vulnerabilidad
21/09/2026
[CVE-2026-36467] Unrestricted Upload of File with Dangerous Type in core/modules/media.php in CuteNews v.2.1.2 allows…
Unrestricted Upload of File with Dangerous Type in core/modules/media.php in CuteNews v.2.1.2 allows remote authenticated users with access to the Media Manager panel to execute arbitrary code in the context of the web application, leading to remote server access by triggering a reverse shell.
nvdaltovulnerabilidad CVSS 7.2 NVD
M Alto vulnerabilidad
21/09/2026
Vulnerabilidad de inyección SQL alta en QCMS hasta versión 6.0.6
Se ha detectado una vulnerabilidad de inyección SQL (CVSS 7.3) en QCMS versiones hasta 6.0.6 que afecta la función self_Tmp en el componente Content Detail Page. Un atacante remoto puede manipular el parámetro ID para ejecutar comandos SQL no autorizados, especialmente porque el router procesa REQUEST_URI sin decodificación de URL. Este exploit ha sido divulgado públicamente y representa riesgo inmediato para portales de contenido y aplicaciones web en producción.
nvdaltovulnerabilidad CVSS 7.3 NVD
M Alto vulnerabilidad
20/09/2026
[CVE-2026-94015] A vulnerability was identified in SourceCodester Drug Recommendation System 1.0. This affects an unk…
A vulnerability was identified in SourceCodester Drug Recommendation System 1.0. This affects an unknown function of the file /drug_recommender/Admin/edit_user.php. Such manipulation of the argument ID leads to sql injection. The attack may be launched remotely. The exploit is publicly available and might be used.
nvdaltovulnerabilidad CVSS 7.3 NVD
M Alto vulnerabilidad
20/09/2026
Vulnerabilidad alta de inyección de comandos OS en getID3 anterior a 1.9.26
getID3 versiones anteriores a 1.9.26 contiene una vulnerabilidad de inyección de comandos del sistema operativo en manejadores shell que no escapan correctamente nombres de archivo en cadenas de comando. Atacantes pueden crear nombres de archivo maliciosos con metacaracteres de shell para inyectar comandos arbitrarios ejecutados con los privilegios del proceso que integra getID3. Esta vulnerabilidad afecta principalmente a servidores web y aplicaciones de procesamiento de multimedia en empresas de LATAM que utilizan librerías PHP desactualizadas.
nvdaltovulnerabilidad CVSS 8.8 NVD
M Alto vulnerabilidad
20/09/2026
Vulnerabilidad alta en NivoCart: tokens de restablecimiento predecibles permiten acceso administrativo
NivoCart versiones hasta 2.4.0 contiene una vulnerabilidad de severidad alta (CVSS 8.1) en el endpoint forgotten.php que genera tokens de recuperación predecibles usando substr(md5(mt_rand()), 0, 10). Un atacante que conozca el correo de un administrador puede solicitar un restablecimiento de contraseña, predecir el token y obtener acceso administrativo sin limitaciones de tasa ni expiración. Esta vulnerabilidad afecta directamente a plataformas de e-commerce en México y LATAM que utilizan NivoCart para gestionar tiendas en línea.
nvdaltovulnerabilidad CVSS 8.1 NVD
M Alto vulnerabilidad
20/09/2026
Inyección SQL alta en SourceCodester Drug Recommendation System 1.0
Se ha identificado una vulnerabilidad de inyección SQL (CVSS 7.3) en SourceCodester Drug Recommendation System 1.0 a través del parámetro ID en /Admin/edit_symptom.php. La vulnerabilidad permite a atacantes remotos ejecutar comandos SQL arbitrarios y comprometer bases de datos de sistemas de salud. El exploit está disponible públicamente, incrementando significativamente el riesgo en instituciones médicas y farmacias en LATAM que utilicen este software.
nvdaltovulnerabilidad CVSS 7.3 NVD
M Alto vulnerabilidad
20/09/2026
Vulnerabilidad alta de inyección de código en DedeCMS hasta versión 5.7.118
Se identificó una vulnerabilidad de inyección de código en DedeCMS versiones hasta 5.7.118, localizada en el archivo plus/mytag_js.php que permite manipulación remota del parámetro 'aid'. El exploit está públicamente disponible y representa un riesgo inmediato para sitios web y portales de contenido en México y Latinoamérica que utilizan este CMS. La vulnerabilidad permite ejecución de código arbitrario con impacto alta en la integridad y disponibilidad de aplicaciones web.
nvdaltovulnerabilidad CVSS 7.3 NVD

📬 Alertas semanales SI directo en tu email

Las vulnerabilidades más críticas para LATAM, con contexto y recomendaciones accionables. Gratis.

Suscribirme →
M Alto vulnerabilidad
20/09/2026
Vulnerabilidad alta de carga arbitraria de archivos en NivoCart hasta versión 2.4.0
NivoCart versiones 2.4.0 y anteriores contienen una vulnerabilidad de carga arbitraria de archivos en el endpoint File Manager multi() que permite a atacantes con acceso de solo lectura al back-office subir archivos PHP a directorios web accesibles (image/data/) y ejecutar código remoto. La validación de extensiones de archivo falla cuando el parámetro chunks es 2 o superior. Afecta principalmente a pequeñas y medianas empresas en LATAM que utilizan este carrito de compras para e-commerce.
nvdaltovulnerabilidad CVSS 8.8 NVD
M Alto vulnerabilidad
20/09/2026
Inyección SQL alta en Internship Management System 1.0 afecta portales de gestión de pasantías
Se ha identificado una vulnerabilidad de inyección SQL (CVSS 7.3) en el archivo /employer/login.php del sistema de gestión de pasantías versión 1.0, permitiendo a atacantes remotos manipular credenciales y acceder a bases de datos de empresas. El exploit público incrementa el riesgo para instituciones educativas y corporativos en LATAM que utilizan este software para administrar programas de internados.
nvdaltovulnerabilidad CVSS 7.3 NVD
M Alto vulnerabilidad
20/09/2026
Inyección SQL alta en Internship Management System 1.0 afecta formularios de autenticación
Se ha identificado una vulnerabilidad de inyección SQL en el componente de formulario de login administrativo (/admin/login.php) del sistema Internship Management System versión 1.0. Un atacante remoto puede manipular el parámetro de contraseña para ejecutar comandos SQL no autorizados, comprometiendo la integridad de bases de datos de gestión de practicantes en instituciones educativas y empresas de LATAM. La vulnerabilidad tiene un score CVSS de 7.3 y ya cuenta con exploits públicos disponibles.
nvdaltovulnerabilidad CVSS 7.3 NVD
M Alto vulnerabilidad
20/09/2026
Inyección SQL alta en Internship Management System 1.0 de code-projects
Se identificó una vulnerabilidad de inyección SQL en el archivo /login.php del sistema de gestión de prácticas Internship Management System 1.0, permitiendo manipulación remota del parámetro Password. El exploit público incrementa el riesgo de acceso no autorizado a bases de datos en instituciones educativas y empresas de LATAM que utilicen esta plataforma. Con CVSS 7.3, representa una amenaza significativa para credenciales y datos de estudiantes.
nvdaltovulnerabilidad CVSS 7.3 NVD
M Alto vulnerabilidad
20/09/2026
Inyección SQL alta en SourceCodester Online Reviewer Management System 1.0
Se detectó una vulnerabilidad de inyección SQL en SourceCodester Online Reviewer Management System versión 1.0, específicamente en el archivo /reviewer_0/admins/assessments/subject/btn_functions.php mediante manipulación del parámetro ID. El exploit es público y puede ser explotado remotemente sin autenticación. Instituciones educativas y empresas que utilizan este sistema para evaluación de código en México y Latinoamérica están en riesgo inmediato de acceso no autorizado a bases de datos.
nvdaltovulnerabilidad CVSS 7.3 NVD
M Alto vulnerabilidad
20/09/2026
Inyección SQL alta en SourceCodester Online Reviewer Management System 1.0
Se ha identificado una vulnerabilidad de inyección SQL en SourceCodester Online Reviewer Management System versión 1.0, específicamente en el parámetro ID del archivo btn_functions.php?action=remove. Un atacante remoto puede manipular este parámetro para ejecutar comandos SQL arbitrarios, comprometiendo la integridad y confidencialidad de las bases de datos académicas. El exploit está públicamente disponible y representa un riesgo inmediato para instituciones educativas en LATAM que utilizan este sistema.
nvdaltovulnerabilidad CVSS 7.3 NVD
M Alto vulnerabilidad
20/09/2026
Inyección SQL alta en SourceCodester Online Reviewer Management System 1.0
Se detectó una vulnerabilidad de inyección SQL en SourceCodester Online Reviewer Management System versión 1.0 a través del parámetro courseID en el archivo /reviewer_0/admins/assessments/course/btn_functions.php. La falla permite ejecución remota de comandos SQL sin autenticación, comprometiendo bases de datos de evaluaciones académicas. El exploit está disponible públicamente, incrementando el riesgo para instituciones educativas y plataformas de gestión de contenido en Latinoamérica.
nvdaltovulnerabilidad CVSS 7.3 NVD
M Alto vulnerabilidad
20/09/2026
[CVE-2026-85017] The Unlimited Elements For Elementor WordPress plugin before 2.0.20 does not perform a capability ch…
The Unlimited Elements For Elementor WordPress plugin before 2.0.20 does not perform a capability check on an AJAX action and deserializes attacker-controlled stored data through it, which makes it possible for authenticated attackers with subscriber-level access to inject arbitrary PHP objects. A partial fix in the 2.0.18 to 2.0.19 releases raised the privilege required to reach the vulnerable ac…
nvdaltovulnerabilidad CVSS 7.5 NVD

🛡 ¿Estás expuesto a alguna de estas vulnerabilidades?

Evaluación gratuita inicial con el equipo 2MCI: identifica exposición y plan de remediación.

Habla con un experto →
M Alto vulnerabilidad
20/09/2026
[CVE-2026-93959] A vulnerability was determined in SourceCodester Online Reviewer Management System 1.0. This issue a…
A vulnerability was determined in SourceCodester Online Reviewer Management System 1.0. This issue affects some unknown processing of the file /reviewer_0/admins/assessments/course/btn_functions.php. This manipulation of the argument Course causes sql injection. The attack is possible to be carried out remotely. The exploit has been publicly disclosed and may be utilized.
nvdaltovulnerabilidad CVSS 7.3 NVD
M Alto vulnerabilidad
19/09/2026
Ejecución Remota de Código en plugin Welcomizer para WordPress (CVE-2026-4327)
El plugin Welcomizer para WordPress en versiones hasta 2.8.1 permite ejecución remota de código sin autenticación. La vulnerabilidad CVSS 8.8 se debe a verificación insuficiente de permisos en el manejador AJAX 'savesection' combinado con uso de eval(). Afecta directamente a sitios WordPress en México y LATAM que ejecuten este plugin sin parchear.
nvdaltovulnerabilidad CVSS 8.8 NVD
M Alto vulnerabilidad
19/09/2026
Vulnerabilidad alta en plugin Save as PDF de PDFCrowd para WordPress permite ejecución arbitraria de funciones
El plugin 'Save as PDF Plugin by PDFCrowd' para WordPress (versiones hasta 4.6.1) contiene una vulnerabilidad de invocación arbitraria de funciones a través del atributo shortcode `pdf_created_callback`. La función `eval_shortcode()` no sanitiza ni valida atributos de shortcode, permitiendo a atacantes ejecutar código PHP malicioso en sitios WordPress vulnerables. Esto afecta especialmente a empresas en LATAM que usan este plugin para generar reportes y documentos PDF sin aplicar restricciones de capacidades.
nvdaltovulnerabilidad CVSS 8.8 NVD
M Alto vulnerabilidad
18/09/2026
[CVE-2026-93872] Cotonti 1.0.0 passes the base64-decoded cb parameter to unserialize() without allowed_classes restri…
Cotonti 1.0.0 passes the base64-decoded cb parameter to unserialize() without allowed_classes restriction in the comments plugin EditAction. Registered users with comment write permissions can instantiate arbitrary PHP objects and potentially achieve file write or code execution through gadget chains.
nvdaltovulnerabilidad CVSS 7.5 NVD
M Alto vulnerabilidad
18/09/2026
[CVE-2026-93868] Cotonti through 1.0.0 derives password recovery validation tokens from md5(microtime()) in users.pas…
Cotonti through 1.0.0 derives password recovery validation tokens from md5(microtime()) in users.passrecover.php, creating a predictable token space of approximately one million values per second. Unauthenticated attackers can read the server Date header, precompute candidate tokens within a narrow time window, and probe them against the passrecover authentication endpoint to reset any account pas…
nvdaltovulnerabilidad CVSS 8.1 NVD