Empresa
¿Quiénes somos? Visión y Valores
Herramientas
Email Checker Vigía DNS SSL Checker Password Strength HTTP Headers
Alertas
Todas las alertas Vulnerabilidades Incidentes Solo críticas En CISA KEV
Editorial
Análisis técnico ¿Cuál es mi IP?
Blog
Blog 2MCI Noticias ISO 27001 Amenazas LATAM Recursos Gratuitos eBook Gratuito Newsletter Podcast / YouTube
Empresa
Servicios Contacto Suscribirse al Newsletter
Nuevo en 2MCI
Crear cuenta gratis Ver herramientas sin registro
Ya tengo cuenta
Iniciar sesión
Equipo
Portal interno 2MCI
Inicio/Alertas
Seguridad de la Información

Alertas de Seguridad de la Información

Vulnerabilidades explotadas activamente, incidentes y análisis relevantes para México y LATAM. Actualizado automáticamente desde fuentes oficiales.

48 vulnerabilidades en CISA KEV — explotación activa confirmada Ver todas →
Última alerta publicada ahora mismo
Buscando: "Multiple Vendors" — 15104 resultados ✕ Limpiar búsqueda
24,580
Total alertas
5011
Críticas
18822
Altas
8
Ransomware
2788
Esta semana
RSS
Alta × Limpiar todo ×
M Alto vulnerabilidad
04/09/2026
[CVE-2026-85619] AppFlowy-Cloud 0.9.64 fails to verify that requested collab objects belong to the workspace in autho…
AppFlowy-Cloud 0.9.64 fails to verify that requested collab objects belong to the workspace in authorization checks, allowing attackers to access documents and database rows across workspaces. Attackers can supply a victim's object ID with their own workspace ID to bypass access controls and read, modify, or delete cross-workspace data.
nvdaltovulnerabilidad CVSS 7.5 NVD
M Alto vulnerabilidad
04/09/2026
[CVE-2026-85620] Postgres MCP Pro 0.3.0 contains a restricted-mode bypass vulnerability where function-name validatio…
Postgres MCP Pro 0.3.0 contains a restricted-mode bypass vulnerability where function-name validation is not applied to RangeFunction nodes in FROM clauses. Attackers can execute file-reading functions like pg_read_file through FROM-clause syntax to read arbitrary files despite restricted-mode protections.
nvdaltovulnerabilidad CVSS 8.6 NVD
M Alto vulnerabilidad
04/09/2026
[CVE-2026-85623] goose 1.37.0 executes arbitrary commands from recipe stdio extensions and retry.checks without secur…
goose 1.37.0 executes arbitrary commands from recipe stdio extensions and retry.checks without security inspection. Attackers can distribute malicious recipes that execute shell commands as the user running goose, bypassing the recipe security scan which does not inspect extensions or retry configurations.
nvdaltovulnerabilidad CVSS 8.8 NVD
M Alto vulnerabilidad
04/09/2026
[CVE-2026-85625] sift (sift.js) 17.1.3 enumerates query keys with for...in, which walks the object prototype chain, a…
sift (sift.js) 17.1.3 enumerates query keys with for...in, which walks the object prototype chain, and dispatches any matched operator key including $where. The $where operation compiles a string value into a function using new Function unless CSP_ENABLED is set (not set by default). As a result, if a prototype-pollution primitive elsewhere in the process sets Object.prototype.$where to a maliciou…
nvdaltovulnerabilidad CVSS 8.1 NVD
M Alto vulnerabilidad
04/09/2026
[CVE-2026-85606] firecrawl-mcp-server 3.20.2 contains an arbitrary local file read vulnerability in the firecrawl_par…
firecrawl-mcp-server 3.20.2 contains an arbitrary local file read vulnerability in the firecrawl_parse tool that accepts unconstrained filePath arguments without directory containment validation. Attackers can supply absolute paths or directory traversal sequences to read sensitive files like credentials and environment variables, which are then uploaded and returned to the model context.
nvdaltovulnerabilidad CVSS 7.5 NVD
M Alto vulnerabilidad
04/09/2026
[CVE-2026-85607] Blinko 1.8.7 contains an authorization bypass (IDOR) vulnerability in multiple tRPC procedures (mess…
Blinko 1.8.7 contains an authorization bypass (IDOR) vulnerability in multiple tRPC procedures (message.list, message.update, message.delete, message.clearAfter in server/routerTrpc/message.ts and conversation.clearMessages in server/routerTrpc/conversation.ts). Although these procedures require authentication, they query the database by caller-supplied conversation or message ID without verifying…
nvdaltovulnerabilidad CVSS 8.8 NVD
M Alto vulnerabilidad
04/09/2026
[CVE-2026-85608] Douyin_TikTok_Download_API through 4.1.2 contains a server-side request forgery vulnerability in the…
Douyin_TikTok_Download_API through 4.1.2 contains a server-side request forgery vulnerability in the /api/download and /api/hybrid/video_data endpoints that allows unauthenticated attackers to fetch arbitrary URLs by supplying a url query parameter. Attackers can request internal services including cloud metadata endpoints and retrieve response bodies containing sensitive credentials through error…
nvdaltovulnerabilidad CVSS 7.5 NVD

📬 Alertas semanales SI directo en tu email

Las vulnerabilidades más críticas para LATAM, con contexto y recomendaciones accionables. Gratis.

Suscribirme →
M Alto vulnerabilidad
04/09/2026
[CVE-2026-6958] Acunetix 25.11.251107123 for Windows contains a local privilege escalation vulnerability in the Web …
Acunetix 25.11.251107123 for Windows contains a local privilege escalation vulnerability in the Web Vulnerability Scanning Engine (wvsc.exe) that allows low-privileged local attackers to execute arbitrary code as SYSTEM by exploiting a missing hardcoded directory path for OpenSSL-related files. Attackers can create the missing directory, place a malicious file at the expected path, and cause the S…
nvdaltovulnerabilidad CVSS 7.8 NVD
M Alto vulnerabilidad
04/09/2026
[CVE-2026-81832] IBM App Connect Enterprise 13.0.1.0 through 13.0.8.1, and 12.0.1.0 through 12.0.12.28 and IBM Integr…
IBM App Connect Enterprise 13.0.1.0 through 13.0.8.1, and 12.0.1.0 through 12.0.12.28 and IBM Integration Bus for z/OS 10.1.0.0 through 10.1.0.7 SAP Adapter is vulnerable to an XML external entity (XXE) attack.
nvdaltovulnerabilidad CVSS 7.7 NVD
M Alto vulnerabilidad
04/09/2026
[CVE-2026-19205] Observable response discrepancy vulnerability in GastroMenum GastroMenum Web Panel allows Account Fo…
Observable response discrepancy vulnerability in GastroMenum GastroMenum Web Panel allows Account Footprinting. This issue affects GastroMenum Web Panel: before 31.08.2026.
nvdaltovulnerabilidad CVSS 7.5 NVD
M Alto vulnerabilidad
04/09/2026
[CVE-2026-12483] The LearnDash LMS plugin for WordPress is vulnerable to Unrestricted File Type Upload in versions up…
The LearnDash LMS plugin for WordPress is vulnerable to Unrestricted File Type Upload in versions up to and including 5.1.5. This is due to insufficient input validation in the 'learndash_fileupload_process' function, which iterates through an entire array and validates only the first file. This makes it possible for authenticated attackers, with subscriber-level access and above who are enrolled …
nvdaltovulnerabilidad CVSS 7.5 NVD
M Alto vulnerabilidad
04/09/2026
[CVE-2026-85516] A vulnerability was detected in code-projects Vehicle Management System 1.0. The affected element is…
A vulnerability was detected in code-projects Vehicle Management System 1.0. The affected element is an unknown function of the file /busprofile.php. Performing a manipulation of the argument busid results in sql injection. It is possible to initiate the attack remotely. The exploit is now public and may be used.
nvdaltovulnerabilidad CVSS 7.3 NVD
M Alto vulnerabilidad
04/09/2026
[CVE-2026-85649] (Holloway) Chew, Kean Ho's Actualizer v1.2.0 and earlier contains a fail-open password validation vu…
(Holloway) Chew, Kean Ho's Actualizer v1.2.0 and earlier contains a fail-open password validation vulnerability in the Alpha user and root user password loops of Shell/debian-minbase-install.sh. The installer invokes mkpasswd to generate yescrypt password hashes but does not check the command's return value and unconditionally accepts the result. If mkpasswd fails to generate a yescrypt hash, for …
nvdaltovulnerabilidad CVSS 7.9 NVD
M Alto vulnerabilidad
04/09/2026
[CVE-2026-18198] Improper neutralization of special elements used in an SQL command ('SQL injection') vulnerability i…
Improper neutralization of special elements used in an SQL command ('SQL injection') vulnerability in TAC Information Services Internal and External Trade Inc. GOLDENHORN ONEIT allows Blind SQL Injection. This issue affects GOLDENHORN ONEIT: before Göbeklitepe.
nvdaltovulnerabilidad CVSS 8.8 NVD
M Alto vulnerabilidad
04/09/2026
Vulnerabilidad de omisión de autorización en Snipe-IT anterior a v8.6.2 afecta gestión de activos
Snipe-IT versiones anteriores a 8.6.2 contienen una falla de autorización en reportes de aceptación de checkout cuando está habilitado el soporte multi-empresa. Usuarios autenticados con permiso reports.view pueden enumerar IDs secuenciales, eliminar o enviar recordatorios de aceptaciones de otras empresas, comprometiendo la integridad de datos de auditoría y control de activos en organizaciones con múltiples sucursales en LATAM.
nvdaltovulnerabilidad CVSS 8.5 NVD

🛡 ¿Estás expuesto a alguna de estas vulnerabilidades?

Evaluación gratuita inicial con el equipo 2MCI: identifica exposición y plan de remediación.

Habla con un experto →
M Alto vulnerabilidad
04/09/2026
Vulnerabilidad de omisión de autorización en snipe-it anterior a 8.6.3 afecta gestión de usuarios
snipe-it versiones anteriores a 8.6.3 contienen una vulnerabilidad de omisión de autorización en la funcionalidad de eliminación masiva que permite a usuarios restringidos eliminar de forma reversible usuarios fuera de su alcance autorizado. Los atacantes pueden incluir IDs de usuario no autorizados en solicitudes de eliminación masiva para eludir restricciones a nivel de instancia y modificar o desactivar cuentas que no deberían poder acceder. Esta vulnerabilidad afecta directamente a empresas LATAM que utilizan snipe-it para gestión de inventario de TI.
nvdaltovulnerabilidad CVSS 8.8 NVD
M Alto vulnerabilidad
04/09/2026
Vulnerabilidad alta de ejecución remota de código en Grav <= 2.0.17
Grav antes de la versión 2.0.19 contiene una vulnerabilidad de ejecución remota de código (RCE) en el filtro Twig sort, que permite a usuarios autenticados ejecutar código PHP arbitrario mediante la función spl_autoload omitida en el denylist de seguridad. Afecta principalmente a sitios que utilizan Grav como CMS para portales web, intranets y aplicaciones empresariales en LATAM. El impacto es alta (CVSS 8.8) ya que compromete completamente la integridad del servidor.
nvdaltovulnerabilidad CVSS 8.8 NVD
M Alto vulnerabilidad
04/09/2026
Vulnerabilidad SSRF alta en Openpanel anterior a versión 2.3.0 permite acceso no autenticado
Openpanel versiones anteriores a 2.3.0 contiene una vulnerabilidad de falsificación de solicitud del lado del servidor (SSRF) sin autenticación en el endpoint GET /tools/site-checker. Un atacante remoto puede enviar URLs arbitrarias a través del parámetro de consulta url, forzando al servidor a realizar peticiones HTTP a sistemas internos y externos sin validación. Este vector afecta especialmente a proveedores de hosting y servicios web en LATAM que utilizan Openpanel como panel de control.
nvdaltovulnerabilidad CVSS 7.5 NVD
M Alto vulnerabilidad
04/09/2026
Vulnerabilidad alta en OpenPanel anteriores a 2.3.0 permite ejecución de código remoto
OpenPanel versiones anteriores a 2.3.0 contiene una falla en la validación de expresiones de fórmulas en gráficos que permite a miembros autenticados del proyecto con acceso de lectura ejecutar código arbitrario. Los atacantes pueden recuperar el constructor nativo de JavaScript a través de objetos matriz de mathjs, cargar módulos de Node.js y ejecutar comandos del sistema operativo con privilegios del proceso API, comprometiendo completamente la infraestructura.
nvdaltovulnerabilidad CVSS 8.8 NVD
M Alto vulnerabilidad
04/09/2026
Vulnerabilidad alta de SSRF en OpenPanel anterior a 2.3.0 permite acceso no autenticado a metadatos internos
OpenPanel versiones anteriores a 2.3.0 contiene una vulnerabilidad de Server-Side Request Forgery (SSRF) en los endpoints /misc/favicon y /misc/og que permite a atacantes no autenticados forzar al servidor a consultar hosts internos y endpoints de metadatos en la nube. Los atacantes pueden enumerar servicios internos, robar credenciales y acceder a información sensible de infraestructura. Esta vulnerabilidad afecta directamente a empresas en LATAM que utilizan OpenPanel como panel de control, especialmente en entornos de hosting compartido y nubes públicas.
nvdaltovulnerabilidad CVSS 7.5 NVD