Alertas de Seguridad de la Información

M Alto vulnerabilidad

06/09/2026

[CVE-2026-86162] A vulnerability was determined in SourceCodester Online Voting System 1.0. This affects an unknown f…

A vulnerability was determined in SourceCodester Online Voting System 1.0. This affects an unknown function of the file /ajax.php?action=login. Executing a manipulation of the argument Username can lead to sql injection. The attack can be executed remotely. The exploit has been publicly disclosed and may be utilized.

nvdaltovulnerabilidad CVSS 7.3 NVD

M Alto vulnerabilidad

06/09/2026

[CVE-2026-86159] A flaw has been found in SourceCodester Online Voting System 1.0. Impacted is an unknown function of…

A flaw has been found in SourceCodester Online Voting System 1.0. Impacted is an unknown function of the file /ajax.php?action=save_user. This manipulation of the argument ID causes sql injection. The attack may be initiated remotely. The exploit has been published and may be used.

nvdaltovulnerabilidad CVSS 7.3 NVD

M Alto vulnerabilidad

06/09/2026

[CVE-2026-86160] A vulnerability has been found in SourceCodester Online Voting System 1.0. The affected element is a…

A vulnerability has been found in SourceCodester Online Voting System 1.0. The affected element is an unknown function of the file /ajax.php?action=delete_voting. Such manipulation of the argument ID leads to sql injection. The attack may be launched remotely. The exploit has been disclosed to the public and may be used.

nvdaltovulnerabilidad CVSS 7.3 NVD

M Alto vulnerabilidad

05/09/2026

[CVE-2026-0799] In BPF instructions that load/store a value from/to a scratch memory register the register index is …

In BPF instructions that load/store a value from/to a scratch memory register the register index is an unsigned 32-bit integer and must not exceed 15, but libpcap BPF interpreter does not validate the value. In particular uncommon use cases a crafted filter program can cause the interpreter to try reading and writing the OS process memory in the 16GiB starting at the current stack frame on 64-bit…

nvdaltovulnerabilidad CVSS 8.7 NVD

M Alto vulnerabilidad

05/09/2026

[CVE-2026-86188] AVideo with YPTSocket plugin enabled contains a cross-site scripting vulnerability allowing unauthen…

AVideo with YPTSocket plugin enabled contains a cross-site scripting vulnerability allowing unauthenticated attackers to execute arbitrary JavaScript in other users' browsers via the websocket callback mechanism. Attackers can send crafted socket messages with callback names resolving to global functions like avideoConfirmHTML that accept untrusted data and assign it to innerHTML, achieving script…

nvdaltovulnerabilidad CVSS 7.2 NVD

M Alto vulnerabilidad

05/09/2026

Vulnerabilidad alta en Bilibili Desktop: desactivación de verificación TLS y ejecución de código remoto

Bilibili Desktop versión 1.18.0 y anteriores desactiva la verificación de certificados TLS a nivel de proceso y ejecuta configuraciones JavaScript sin firma desde servidores remotos. Un atacante en posición de intermediario de red puede interceptar descargas de configuración, inyectar código JavaScript malicioso con acceso al puente IPC privilegiado, permitiendo ejecución de comandos del sistema y robo de credenciales de sesión.

nvdaltovulnerabilidad CVSS 8.0 NVD

M Alto vulnerabilidad

05/09/2026

Vulnerabilidad alta en Pterodactyl Panel permite ejecución de comandos sin autorización

Pterodactyl Panel anterior a versión 1.14.1 presenta falla en validación de permisos que permite a subusuarios con solo acceso schedule.update ejecutar comandos arbitrarios en servidores de juego. Los atacantes pueden crear y activar tareas programadas para ejecutar comandos en consola, controlar estado de servidores o generar respaldos sin autorizaciones requeridas. Esta vulnerabilidad afecta principalmente a proveedores de hosting y empresas de gaming en LATAM que utilizan este panel de control.

nvdaltovulnerabilidad CVSS 8.8 NVD

M Alto vulnerabilidad

05/09/2026

Vulnerabilidad alta de ejecución remota de código en Axolotl hasta versión 0.18.0

Axolotl versiones 0.18.0 y anteriores contienen una vulnerabilidad de ejecución remota de código (RCE) en la ruta de parche multipack. El parámetro trust_remote_code por defecto es None en lugar de False, permitiendo a atacantes eludir los controles de seguridad. Un adversario puede ejecutar código Python arbitrario al comprometer repositorios de modelos en Hugging Face utilizados como base_model, que se cargan con trust_remote_code=True forzado. Esto afecta principalmente a equipos de ML/IA en LATAM que utilizan modelos preentrenados de repositorios públicos sin validación.

nvdaltovulnerabilidad CVSS 8.8 NVD

M Alto vulnerabilidad

05/09/2026

Vulnerabilidad SSRF alta en MindsDB hasta v26.1.0 permite acceso a servicios internos

MindsDB versiones hasta 26.1.0 contiene una vulnerabilidad de falsificación de solicitudes del lado del servidor (SSRF) en el manejador de rastreo web que permite a atacantes no autenticados recuperar URLs arbitrarias. Los agresores pueden eludir controles de lista blanca explotando configuraciones vacías por defecto y acceder a servicios internos y puntos de acceso de metadatos en la nube sin autenticación. Afecta especialmente a empresas de IA/ML en LATAM que exponen MindsDB en entornos multi-tenant o híbridos.

nvdaltovulnerabilidad CVSS 7.5 NVD

M Alto vulnerabilidad

05/09/2026

Vulnerabilidad alta de SSRF sin autenticación en Webstudio ≤0.296.0

Webstudio versión 0.296.0 y anteriores contiene una vulnerabilidad Server-Side Request Forgery (SSRF) sin autenticación en las rutas proxy /cgi/image, /cgi/video y /cgi/asset cuando la variable de entorno RESIZE_ORIGIN no está configurada. Atacantes pueden suministrar URLs arbitrarias para acceder a metadatos de instancias en la nube, servicios internos y realizar reconocimiento de infraestructura. Este vector afecta directamente a empresas en LATAM que ejecutan Webstudio en entornos cloud (AWS, Azure, Google Cloud).

nvdaltovulnerabilidad CVSS 8.6 NVD

M Alto vulnerabilidad

05/09/2026

SQL Chat: Cuatro endpoints API sin autenticación permiten ejecución de comandos SQL arbitrarios

SQL Chat contiene cuatro endpoints API sin protección de autenticación que aceptan parámetros de conexión a bases de datos suministrados por el atacante, permitiendo ejecutar consultas SQL arbitrarias contra hosts especificados. Los atacantes pueden acceder a bases de datos internas, enumerar esquemas, ejecutar comandos administrativos y pivotar hacia la red interna del servidor comprometido sin requerir credenciales previas. Este vector representa riesgo alta en infraestructuras LATAM donde SQL Chat se utiliza en entornos de desarrollo o acceso a datos corporativos.

nvdaltovulnerabilidad CVSS 8.7 NVD

M Alto vulnerabilidad

05/09/2026

Vulnerabilidad alta de omisión de autenticación en Coolify hasta v4.3.17

Coolify versiones anteriores a 4.3.17 contiene una falla de autenticación en el manejador de callback OAuth que permite a atacantes registrar direcciones de correo de víctimas en proveedores OAuth habilitados para obtener acceso autenticado sin verificar identidades ni requerir contraseña. Empresas que usan Coolify como plataforma de infraestructura o despliegue en México y LATAM corren riesgo de compromiso de cuentas administrativas y acceso no autorizado a recursos altas.

nvdaltovulnerabilidad CVSS 8.1 NVD

M Alto vulnerabilidad

05/09/2026

Escalación de privilegios alta en plugin Abandoned Cart Pro para WooCommerce

El plugin Abandoned Cart Pro para WordPress contiene una vulnerabilidad de escalación de privilegios (CVSS 8.8) que afecta todas las versiones hasta la 10.7.1. Usuarios autenticados pueden ejecutar acciones administrativas sin verificación de capacidades o nonces, comprometiendo tiendas de comercio electrónico en la región. La vulnerabilidad impacta acciones AJAX altas de configuración y envío de correos, exponiendo datos sensibles de clientes y carros abandonados.

nvdaltovulnerabilidad CVSS 8.8 NVD

M Alto vulnerabilidad

05/09/2026

Vulnerabilidad alta de XSS almacenado en plugin Contact Form by Supsystic para WordPress

El plugin Contact Form by Supsystic (versiones hasta 1.10.2) contiene una vulnerabilidad de Cross-Site Scripting (XSS) almacenado que permite a atacantes no autenticados inyectar código malicioso a través del encabezado de dirección IP. Esto afecta a miles de sitios WordPress en LATAM que usan este plugin, exponiendo datos de usuarios y permitiendo comprometer la integridad de formularios de contacto. La vulnerabilidad tiene CVSS 7.2, indicando riesgo alto para empresas que recopilan información sensible a través de estos formularios.

nvdaltovulnerabilidad CVSS 7.2 NVD

M Alto vulnerabilidad

05/09/2026

[CVE-2026-78438] The W3 Total Cache plugin for WordPress is vulnerable to Stored Cross-Site Scripting via Comment Con…

The W3 Total Cache plugin for WordPress is vulnerable to Stored Cross-Site Scripting via Comment Content via LazyLoad Background Mutator in all versions up to, and including, 2.10.5 due to insufficient input sanitization and output escaping. This makes it possible for unauthenticated attackers to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page. Thi…

nvdaltovulnerabilidad CVSS 7.2 NVD

M Alto vulnerabilidad

05/09/2026

[CVE-2026-18406] The SureForms – Contact Form Builder, AI Forms, Payment Form, Survey & Quiz plugin for WordPress is …

The SureForms – Contact Form Builder, AI Forms, Payment Form, Survey & Quiz plugin for WordPress is vulnerable to Stored Cross-Site Scripting via Text Field Entity-Encoded Payload in all versions up to, and including, 2.12.2 due to insufficient input sanitization and output escaping. This makes it possible for unauthenticated attackers to inject arbitrary web scripts in pages that will execute whe…

nvdaltovulnerabilidad CVSS 7.2 NVD

M Alto vulnerabilidad

05/09/2026

[CVE-2026-19769] The Ninja Forms – The Contact Form Builder That Grows With You plugin for WordPress is vulnerable to…

The Ninja Forms – The Contact Form Builder That Grows With You plugin for WordPress is vulnerable to Stored Cross-Site Scripting via Repeater Child 'type' Confusion via Unmatched Array Key in all versions up to, and including, 3.15.1 due to insufficient input sanitization and output escaping. This makes it possible for unauthenticated attackers to inject arbitrary web scripts in pages that will ex…

nvdaltovulnerabilidad CVSS 7.2 NVD

M Alto vulnerabilidad

05/09/2026

[CVE-2026-15984] The QuickCal plugin for WordPress is vulnerable to Stored Cross-Site Scripting via Custom Field Para…

The QuickCal plugin for WordPress is vulnerable to Stored Cross-Site Scripting via Custom Field Parameters in all versions up to, and including, 1.0.20 due to insufficient input sanitization and output escaping. This makes it possible for unauthenticated attackers to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page. The nonce guarding the unauthenti…

nvdaltovulnerabilidad CVSS 7.2 NVD

M Alto vulnerabilidad

05/09/2026

[CVE-2026-16649] The Gravity Forms plugin for WordPress is vulnerable to Stored Cross-Site Scripting via Post Body Fi…

The Gravity Forms plugin for WordPress is vulnerable to Stored Cross-Site Scripting via Post Body Field Value in all versions up to, and including, 2.10.5 due to insufficient input sanitization and output escaping. This makes it possible for unauthenticated attackers to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page. The exploit survives save-time…

nvdaltovulnerabilidad CVSS 7.2 NVD

M Alto vulnerabilidad

05/09/2026

[CVE-2026-86145] PCRE2 before 10.48 allows a pcre2_dfa_match out-of-bounds write because reuse of a cached workspace …

PCRE2 before 10.48 allows a pcre2_dfa_match out-of-bounds write because reuse of a cached workspace block, in a recursive DFA matching workspace, lacks a size check (even though a newly allocated block, for the same purpose, does have a size check). This outcome requires an attacker-controlled regular expression, or a recursive pattern in conjunction with a small heap limit (this can be set throug…

nvdaltovulnerabilidad CVSS 8.2 NVD