Alertas de Seguridad de la Información

M Alto vulnerabilidad

04/08/2026

[CVE-2026-67198] Perspective 5.0.0 contains a denial-of-service vulnerability in the VirtualServer protocol dispatche…

Perspective 5.0.0 contains a denial-of-service vulnerability in the VirtualServer protocol dispatcher that allows unauthenticated remote attackers to crash the server process by sending malformed or incomplete protobuf messages. Attackers can send well-formed requests such as ViewToArrowReq with no viewport set or MakeTableReq with no data field to trigger unwrap() calls on None values at nine dis…

nvdaltovulnerabilidad CVSS 7.5 NVD

M Alto vulnerabilidad

04/08/2026

[CVE-2026-67200] Perspective 5.0.0 contains a path traversal vulnerability that allows unauthenticated remote attacke…

Perspective 5.0.0 contains a path traversal vulnerability that allows unauthenticated remote attackers to read arbitrary files from the server filesystem by including literal ../ segments in HTTP request URL paths. Attackers can bypass the insufficient query-string-stripping sanitization to traverse outside the configured asset root directory and retrieve sensitive files such as system credentials…

nvdaltovulnerabilidad CVSS 7.5 NVD

M Alto vulnerabilidad

04/08/2026

[CVE-2026-18770] A vulnerability has been found in vibesurf-ai VibeSurf up to cd6e519d507cdd4d63061300bf60fb176e1f57e…

A vulnerability has been found in vibesurf-ai VibeSurf up to cd6e519d507cdd4d63061300bf60fb176e1f57e0. Impacted is an unknown function of the file /code of the component Python Validation Handler. The manipulation leads to code injection. Remote exploitation of the attack is possible. This product follows a rolling release approach for continuous delivery, so version details for affected or update…

nvdaltovulnerabilidad CVSS 7.3 NVD

M Alto vulnerabilidad

04/08/2026

[CVE-2026-11368] The Bluetooth host ATT layer (subsys/bluetooth/host/att.c) associates each in-flight ATT TX buffer w…

The Bluetooth host ATT layer (subsys/bluetooth/host/att.c) associates each in-flight ATT TX buffer with its owning channel via the static tx_meta_data_storage[] array (data->att_chan = chan). When a buffer's last reference is dropped, its net-buf destroy callback defers the completion handling to the system workqueue (att_tx_destroy -> att_tx_destroy_work_handler -> att_on_sent_cb -> bt_att_sent),…

nvdaltovulnerabilidad CVSS 7.1 NVD

M Alto vulnerabilidad

04/08/2026

Vulnerabilidad de session hijacking en HUMANIST Digital Human Resources por uso de GET con parámetros sensibles

HUMANIST Digital Human Resources (versiones 26.0 a 26.1) expone credenciales y tokens de sesión en strings de consulta GET, permitiendo secuestro de sesiones. Afecta a departamentos de Recursos Humanos en empresas de México y LATAM que utilizan este sistema para gestión de nómina y personal. El riesgo alta radica en la facilidad de captura de información sensible en logs de servidor, proxies corporativos e historiales del navegador.

nvdaltovulnerabilidad CVSS 7.4 NVD

M Alto vulnerabilidad

04/08/2026

[CVE-2026-67243] Vulnerabilidad alta de carga de archivos en freo2 de refirio

freo2 (proporcionado por refirio) contiene una vulnerabilidad de carga sin restricciones de archivos ejecutables que permite a administradores con privilegios máximos ejecutar comandos arbitrarios del sistema operativo. Esta vulnerabilidad afecta servidores en producción que utilicen esta plataforma en empresas mexicanas y latinoamericanas, comprometiendo la integridad y disponibilidad de infraestructuras altas.

nvdaltovulnerabilidad CVSS 7.2 NVD

M Alto vulnerabilidad

04/08/2026

Vulnerabilidad alta de secuestro DLL en GeoVision GV-ASManager permite ejecución de código arbitrario

GeoVision GV-ASManager presenta una vulnerabilidad de secuestro de librerías dinámicas (DLL hijacking) que permite a un atacante local con acceso de escritura ejecutar código arbitrario bajo los privilegios del proceso vulnerable. La amenaza es significativa en instalaciones de videovigilancia y sistemas de control de acceso en México y Latinoamérica, donde GV-ASManager es ampliamente deployado en infraestructura alta, retail y empresarial.

nvdaltovulnerabilidad CVSS 7.3 NVD

M Alto vulnerabilidad

04/08/2026

[CVE-2026-16623] The Create Block WordPress plugin before 2.10.0 does not correctly escape user-supplied text before…

The Create Block WordPress plugin before 2.10.0 does not correctly escape user-supplied text before writing it into a generated PHP pattern file, allowing a multisite subsite administrator (who holds the capability gating this action but is denied the capability that normally gates PHP file editing) to inject and execute arbitrary PHP code on the server.

nvdaltovulnerabilidad CVSS 8.0 NVD

M Alto vulnerabilidad

04/08/2026

Vulnerabilidad alta en GIMP: desbordamiento de búfer en cargador APNG y complemento DDS

GIMP presenta dos vulnerabilidades de desbordamiento de búfer en heap que pueden ser explotadas al abrir archivos APNG malformados (cuando el ancho fcTL excede IHDR) o imágenes DDS con desajuste de bytes por píxel. Un atacante puede desencadenar corrupción de memoria y ejecución arbitraria de código en sistemas donde GIMP procesa archivos sin validación previa. Este riesgo afecta principalmente a organizaciones creativas en México y LATAM que utilizan GIMP para edición de contenido digital.

nvdaltovulnerabilidad CVSS 7.3 NVD

M Alto vulnerabilidad

04/08/2026

Vulnerabilidad alta de inyección de comandos en Zyxel WAX650S (CVE-2026-6837)

Se ha identificado una vulnerabilidad de inyección de comandos posterior a autenticación en el programa CGI 'export-cgi' de los puntos de acceso inalámbrico Zyxel WAX650S en versiones hasta 7.10(ABRM.4)C0. Un administrador comprometido o usuario con privilegios elevados podría ejecutar comandos del sistema operativo en el dispositivo afectado. Esta vulnerabilidad impacta infraestructuras de conectividad corporativa, especialmente en entornos PYME en México y Latinoamérica que despliegan estos equipos como concentradores de red.

nvdaltovulnerabilidad CVSS 7.2 NVD

M Alto vulnerabilidad

04/08/2026

Vulnerabilidad de path traversal no autenticado en CustomSounds (CVE-2026-56845)

Existe una vulnerabilidad de lectura local de archivos (LFI) no autenticada en módulos CustomSounds configurados con almacenamiento FileSystem. Un atacante puede leer archivos arbitrarios del servidor utilizando secuencias ../ en la ruta de solicitud, comprometiendo datos sensibles como credenciales, configuraciones y archivos de aplicación. Esta vulnerabilidad afecta directamente a plataformas de comunicaciones unificadas y sistemas PBX en empresas mexicanas y latinoamericanas.

nvdaltovulnerabilidad CVSS 7.5 NVD

M Alto vulnerabilidad

04/08/2026

Vulnerabilidad alta en Node.js HTTP/2 permite agotamiento de memoria remota

Un defecto en el manejo de HTTP/2 en Node.js permite que bloques de encabezados retenidos eludan el límite maxSessionMemory, facilitando ataques de denegación de servicio por exhaustión de memoria. Afecta Node.js versiones 24.x y 22.x, poniendo en riesgo aplicaciones web y APIs desplegadas en producción en data centers y servicios en la nube de LATAM.

nvdaltovulnerabilidad CVSS 7.5 NVD

M Alto vulnerabilidad

04/08/2026

Falla de validación de origen en Microsoft Edge permite divulgación de información

Se ha identificado una vulnerabilidad alta (CVSS 8.1) en Microsoft Edge basado en Chromium que permite a atacantes no autorizados eludir validaciones de origen y acceder a información sensible a través de la red. Esta falla afecta principalmente a empresas en México y LATAM que dependen de Edge como navegador corporativo, exponiendo datos de sesiones, credenciales y comunicaciones internas.

nvdaltovulnerabilidad CVSS 8.1 NVD

M Alto vulnerabilidad

03/08/2026

[CVE-2026-18647] A security vulnerability has been detected in jina-ai reader up to 1574bfd380d249c86c82db4dace0d9c8f…

A security vulnerability has been detected in jina-ai reader up to 1574bfd380d249c86c82db4dace0d9c8fe17e2b1. This issue affects the function isValidTLD of the file /backend/functions/src/cloud-functions/crawler.ts of the component Crawler/Puppeteer. The manipulation leads to server-side request forgery. Remote exploitation of the attack is possible. The exploit has been disclosed publicly and may …

nvdaltovulnerabilidad CVSS 7.3 NVD

M Alto vulnerabilidad

03/08/2026

[CVE-2026-69185] Socket.IO enables bidirectional and low-latency communication for every platform. Prior to 4.2.7, 3.…

Socket.IO enables bidirectional and low-latency communication for every platform. Prior to 4.2.7, 3.4.5, and 3.3.6, a specially crafted Socket.IO packet can make the server wait for a large number of binary attachments and buffer them, which can be exploited to make the server run out of memory. This vulnerability is fixed in 4.2.7, 3.4.5, and 3.3.6.

nvdaltovulnerabilidad CVSS 7.5 NVD

M Alto vulnerabilidad

03/08/2026

[CVE-2026-67599] ClearOS 7.9 contains an OS command injection vulnerability in the Log Viewer component that allows a…

ClearOS 7.9 contains an OS command injection vulnerability in the Log Viewer component that allows authenticated attackers to execute arbitrary commands by submitting unsanitized input through the filter parameter, which is interpolated directly into a shell command in File.php. Attackers can inject command substitution payloads into the filter parameter to execute arbitrary commands as the webcon…

nvdaltovulnerabilidad CVSS 7.2 NVD

M Alto vulnerabilidad

03/08/2026

[CVE-2026-18641] A vulnerability was determined in Sangfor Operation and Maintenance Security Management System up to…

A vulnerability was determined in Sangfor Operation and Maintenance Security Management System up to 3.0.13. Affected by this vulnerability is the function com.sbr.fort.foreignDP.DpLoginController of the file /fort/portal_login of the component Login Endpoint. This manipulation causes os command injection. The attack can be initiated remotely. The exploit has been publicly disclosed and may be uti…

nvdaltovulnerabilidad CVSS 7.3 NVD

M Alto vulnerabilidad

03/08/2026

[CVE-2026-61523] WebsiteBaker CMS before 2.13.10 contains a code injection vulnerability in the Droplets editor that …

WebsiteBaker CMS before 2.13.10 contains a code injection vulnerability in the Droplets editor that allows authenticated administrators to inject arbitrary PHP code by submitting malicious content through the droplet Code field, which is written verbatim to a publicly accessible PHP file with no content sanitization. Attackers can save a PHP webshell via the save_droplet handler to a predictable p…

nvdaltovulnerabilidad CVSS 7.2 NVD

M Alto vulnerabilidad

03/08/2026

[CVE-2026-61524] WebsiteBaker CMS before 2.13.10 contains an unrestricted file upload vulnerability in the module ins…

WebsiteBaker CMS before 2.13.10 contains an unrestricted file upload vulnerability in the module installation feature that allows authenticated administrators to achieve remote code execution by uploading a crafted ZIP archive containing a PHP webshell alongside a valid info.php metadata file. Attackers can place the malicious archive through the module installation interface, causing the applicat…

nvdaltovulnerabilidad CVSS 7.2 NVD

M Alto vulnerabilidad

03/08/2026

[CVE-2026-69152] The brace-expansion library generates arbitrary strings containing a common prefix and suffix. Prior…

The brace-expansion library generates arbitrary strings containing a common prefix and suffix. Prior to 1.1.18, 2.1.4, 3.0.6, and 5.0.9, expand() does not apply maxLength while constructing comma-alternative intermediate arrays or padded sequences, allowing attacker-controlled input to exhaust memory or block the event loop. The fix for CVE-2026-14257 is bypassed by the vulnerability. This issue i…

nvdaltovulnerabilidad CVSS 7.5 NVD