Alertas de Seguridad de la Información

@fastify/jwt is a JSON Web Token plugin for Fastify. In versions before 10.2.2, a per-request verification key passed to request.jwtVerify({ key }) is silently overridden by the plugin's globally configured secret, because the option merge applies the global key last. Applications that use different keys for different authorization domains, for example separate user and admin keys, therefore accep…

El plugin Templately para WordPress (versiones hasta 3.7.1) es vulnerable a ejecución remota de código a través de la función fetch_remote_file, que valida incorrectamente el tipo de archivo permitiendo inyección de código malicioso. Sitios web en México y LATAM que usan este plugin de plantillas de Elementor/Gutenberg están expuestos a compromisos totales del servidor.

El plugin Wholesale Market para WordPress (versiones hasta 2.2.2) contiene una vulnerabilidad de escalada de privilegios mediante la acción AJAX ced_wholesale_request_send. El defecto en la validación del nonce y autenticación permite a usuarios autenticados elevar sus permisos sin restricciones. Afecta tiendas de comercio electrónico en LATAM que utilizan este complemento para gestión de ventas mayoristas.

El plugin 'Invisible Anti-Spam & CAPTCHA — reCAPTCHA Alternative for All Forms' para WordPress (versiones hasta 5.1) contiene una vulnerabilidad de Cross-Site Scripting (XSS) almacenado en el parámetro 'action' por falta de sanitización. Atacantes no autenticados pueden inyectar scripts maliciosos que se ejecutan cuando usuarios acceden a páginas con formularios afectados. Este riesgo impacta directamente sitios web de empresas, tiendas en línea y portales institucionales en LATAM que usan este plugin.

El plugin 'Cookie Banner for GDPR / CCPA – WPLP Cookie Consent' en WordPress es vulnerable a inyección de scripts almacenados (Stored XSS) a través del parámetro 'regionArray' en versiones hasta la 4.3.5 debido a sanitización insuficiente. Atacantes no autenticados pueden inyectar código malicioso que se ejecuta cuando usuarios acceden a páginas con el plugin, afectando potencialmente datos de visitantes y credenciales en sitios de comercio electrónico, gobiernos digitales y financieras de la región.

El plugin MaxUpload para WordPress (versiones hasta 1.4.0) contiene una vulnerabilidad de carga arbitraria de archivos (CVSS 8.8) en la función handle_upload. Un atacante puede eludir validaciones de extensión y MIME en el archivo final ensamblado, permitiendo la ejecución de código malicioso en servidores WordPress. Afecta principalmente a sitios en LATAM que usan este plugin para gestionar cargas de archivos grandes sin aplicar validaciones adicionales.

El plugin 'Online Booking & Scheduling Calendar for WordPress by vcita' contiene una vulnerabilidad de Cross-Site Scripting (XSS) almacenado en el parámetro 'business_id' debido a sanitización insuficiente. Atacantes no autenticados pueden inyectar scripts maliciosos que se ejecutan cuando usuarios acceden a páginas afectadas. Esto representa un riesgo alta para sitios de reservas y agendamiento en LATAM que confían en este plugin para capturar clientes.

El plugin bLoyal: Loyalty & Promotions para WordPress en versiones hasta 3.1.611.78 contiene una vulnerabilidad de escalada de privilegios (CVSS 8.8) que permite a atacantes ejecutar acciones administrativas sin autenticación válida. Las acciones AJAX `save_bloyal_configuration_data` y `save_bloyal_accesskeyverification_data` carecen de validaciones de capacidad y nonce, mientras que la función `bloyal_customer_auto_login` confía incondicionalmente en parámetros controlables por el usuario. Esto afecta directamente a tiendas de comercio electrónico en LATAM que usan este plugin para gestionar programas de lealtad y promociones.

El plugin Object Sync for Salesforce para WordPress contiene una vulnerabilidad alta de inyección SQL (CVE-2026-15162, CVSS 7.5) que permite a atacantes no autenticados ejecutar comandos SQL a través del parámetro wordpress_object_type en la ruta /wp-json/object-sync-for-salesforce/push/. La falta de validación de permisos y nonce expone directamente a empresas mexicanas y latinoamericanas que integran Salesforce con WordPress, comprometiendo bases de datos de clientes y datos sensibles de negocio.

Laravel Socialite's Facebook provider contains an authentication bypass vulnerability that allows unauthenticated attackers to replay captured OIDC id_tokens by exploiting the missing nonce claim validation in the getUserByOIDCToken() function within FacebookProvider.php. Attackers who obtain a valid, unexpired id_token issued for the same Facebook App ID can submit the captured token to the backe…

Semaphore versions prior to 2.18.20 contain an OS command injection (argument injection) vulnerability in the repository git_url handling that allows authenticated users holding the Manager or Owner role on any project to achieve remote code execution on the Semaphore server host. Attackers can craft a malicious git_url value using git's --upload-pack= option to inject and execute arbitrary shell …

Improper neutralization of special elements used in a command ('command injection') in Microsoft PowerShell allows an authorized attacker to execute code locally.

Cockpit CMS 2.14.0 and prior contains a command injection vulnerability in the FFmpeg integration that allows authenticated users with only the assets/upload permission to execute arbitrary commands by uploading a video file with a shell metacharacter-laden filename. The unsanitized filename is interpolated into a shell command executed via Process::fromShellCommandline() before the slugify() sani…

PAX Technology Q80 XCB Daemon Missing Authentication Vulnerability. This vulnerability allows network-adjacent attackers to disclose sensitive information and modify configuration on affected installations of PAX Technology Q80. Authentication is not required to exploit this vulnerability. The specific flaw exists within the XCB daemon. The issue results from the lack of authentication prior to a…

PAX Technology Q80 AIP File Parsing Link Following Remote Code Execution Vulnerability. This vulnerability allows network-adjacent attackers to execute arbitrary code on affected installations of PAX Technology Q80. Authentication is not required to exploit this vulnerability. The specific flaw exists within the parsing of AIP files. By creating a symbolic link, an attacker can abuse the installe…

PAX Technology Q80 Application Installer Signature Verification Bypass Remote Code Execution Vulnerability. This vulnerability allows network-adjacent attackers to execute arbitrary code on affected installations of PAX Technology Q80. Authentication is not required to exploit this vulnerability. The specific flaw exists within the application installer. The issue results from the lack of proper …

IBM Db2 Mirror for i 7.4, 7.5, and 7.6 could allow a remote attacker to obtain sensitive information due to external control of system configuration.

ImpressCMS contains an authenticated remote code execution vulnerability in the custom tag module that allows authenticated administrators to execute arbitrary PHP code by storing a malicious payload in a custom tag with PHP type enabled. The application decodes HTML-encoded content via undoHtmlSpecialChars() before passing it to eval() in the renderWithPhp() method, bypassing HTML Purifier saniti…

Netatalk is a Free and Open Source file server suite for Unix-like operating systems. In versions 3.1.19 through 4.4.2, a stack-based buffer overflow exists in the copydir() function of Netatalk's afpd daemon due to an integer underflow in the calculation of the remaining buffer size used for path construction. copydir() is a utility function called when a file operation crosses a device boundary…

Heap-based buffer overflow in Microsoft Edge (Chromium-based) allows an unauthorized attacker to execute code over a network.