Alertas de Seguridad de la Información

OpenPanel antes de la versión 2.3.0 contiene una vulnerabilidad de cross-site scripting (XSS) en el endpoint no autenticado GET /misc/favicon que permite a atacantes remotos ejecutar código malicioso mediante archivos SVG. Los atacantes pueden alojar archivos SVG con scripts embebidos que se ejecutan en el navegador de la víctima con el origen de la API, facilitando solicitudes autenticadas a endpoints protegidos. Esta vulnerabilidad afecta infraestructuras de hosting y control de paneles en servidores de empresas LATAM.

OpenPanel anterior a versión 2.3.0 contiene una vulnerabilidad de Server-Side Request Forgery (SSRF) sin autenticación en el endpoint GET /tools/site-checker que permite a atacantes remotos hacer que el servidor emita solicitudes hacia servicios internos, localhost y endpoints de metadatos en la nube. Un atacante puede explotar esto para leer títulos de respuestas HTTP internas, información sensible de la infraestructura y credenciales almacenadas en metadatos. Esta vulnerabilidad afecta directamente a proveedores de hosting, resellers y empresas que utilizan OpenPanel como panel de control en sus servidores en México y Latinoamérica.

Grav Shortcode Core versiones anteriores a 6.2.5 contiene vulnerabilidades de cross-site scripting (XSS) almacenado en los parámetros de etiqueta [lorem] y resumen [details], que se renderizan sin validación. Atacantes con acceso de edición pueden inyectar código HTML y JavaScript arbitrario que se ejecuta en navegadores de visitantes, incluidos administradores. Afecta sitios Grav en producción que permiten edición de contenido a múltiples usuarios.

SiYuan versiones anteriores a la 3.8.2 contienen una vulnerabilidad de denegación de servicio (DoS) en el endpoint /api/system/uiproc sin autenticación. Un atacante puede enviar solicitudes repetidas con identificadores de proceso controlados para agotar la memoria y degradar la disponibilidad del servicio. Esta vulnerabilidad afecta a empresas en LATAM que utilizan SiYuan como gestor de notas o información sensible sin actualizar.

SiYuan versiones anteriores a v3.8.2 contienen una vulnerabilidad de denegación de servicio en el mecanismo de autenticación básica del servicio de publicación. Atacantes no autenticados pueden enviar múltiples solicitudes de autenticación con nombres de usuario inválidos y únicos para agotar la memoria del servidor y aumentar la carga de sincronización. Esta vulnerabilidad afecta principalmente a empresas en LATAM que utilizan SiYuan para gestión de contenido colaborativo o sistemas de conocimiento compartido.

SiYuan versiones anteriores a v3.8.2 contiene una vulnerabilidad que permite a atacantes no autenticados consumir memoria ilimitada del servidor mediante solicitudes con rutas únicas, degradando la disponibilidad del servicio. Esta falla afecta principalmente a organizaciones en LATAM que utilizan SiYuan para gestión de notas y documentos internos. La vulnerabilidad puede ser explotada sin credenciales, permitiendo ataques de negación de servicio (DoS) contra instancias accesibles en red.

Menulux Portal anterior a versión 20260903211448 almacena contraseñas en texto plano, permitiendo a atacantes acceder a credenciales sensibles si comprometen el servidor o la base de datos. Esta vulnerabilidad afecta directamente a restaurantes, bares y comercios que utilizan este sistema POS en México y Latinoamérica. El riesgo es alta para operaciones que manejan datos de clientes y empleados.

Se ha identificado una vulnerabilidad de tipo Observable Response Discrepancy (CVE-2026-19080, CVSS 7.5) en Menulux Portal que permite a atacantes realizar footprinting de cuentas de usuario explotando diferencias detectables en las respuestas del servidor. Esta debilidad afecta versiones anteriores a 20260903211448 y representa un riesgo moderado-alto para restaurantes, cafeterías y establecimientos gastronómicos en LATAM que utilicen esta plataforma de gestión.

Fastify versiones anteriores a 5.12.2 presentan una validación incompleta de encabezados HTTP case-insensitive en esquemas de rutas. La transformación de minúsculas no se aplica correctamente en dependencias JSON Schema Draft 7, permitiendo que propiedades no normalizadas en el esquema causen comportamiento inesperado o bypass de validaciones. Esto afecta a aplicaciones Node.js en producción que dependen de validación estricta de encabezados para autenticación, autorización o filtrado de solicitudes.

A security flaw has been discovered in SourceCodester Class and Exam Timetabling System 1.0. This vulnerability affects unknown code of the file /admin/session.php. The manipulation of the argument ID results in missing authorization. The attack can be executed remotely. The exploit has been released to the public and may be used for attacks.

DreamMaker developed by Interinfo has a SQL Injection vulnerability. Authenticated remote attackers can inject arbitrary SQL commands to read, modify, and delete database contents.

fastify versions before 5.12.2 decide whether to compile a request schema based on JavaScript truthiness, but JSON Schema Draft 7 defines the boolean false as a valid schema that rejects every instance. When an application assigns false to a route's body, querystring, params, or headers schema to deny all input, fastify treats it as a missing schema, compiles no validator, and runs the route handl…

fastify versions before 5.12.2 treat the object resolved by a successful Ajv async validator as the value result protocol used by custom validator compilers. If a request that passes its route schema contains a property named value at the root, fastify replaces the entire request body with that property's value before the handler runs, so the handler receives a different object than the one that s…

fastify versions >= 4.0.0 and before 5.12.2 can route a malformed URL sent under one plugin prefix to the custom not-found handler of a different sibling plugin, and invoke it without the preHandler hook declared for that handler. The internal not-found router for encapsulated handlers dispatches malformed paths through a single shared handler pointer before URL decoding, ignoring the prefix and s…

PALLET CONTROL products contain an incorrect default permission vulnerability, which may allow a local attacker to execute arbitrary code with SYSTEM privileges on the affected product.

A heap-based buffer overflow was found in Corosync's Totem Process Group (totempg) message reassembly. When processing fragmented multicast messages, the buffer used to reassemble fragments lacks a runtime bounds check in release builds. A network-adjacent attacker able to send crafted multicast protocol messages to the cluster could cause a heap buffer overflow with attacker-controlled data. This…

Improper OCSP response validation in the Snowflake Python, Go, JDBC, and Node.js drivers allowed a revoked TLS certificate to be accepted as valid, because OCSP responses were not reliably bound to the certificate being validated and definitive verification failures were treated as transient. A man-in-the-middle attacker holding a revoked certificate and its private key for a Snowflake or stage ho…

Improper Neutralization of Special Elements used in an SQL Command ('SQL Injection') vulnerability in Automattic WooCommerce allows Blind SQL Injection. This issue affects WooCommerce: from n/a before 11.0.

A flaw was found in libsoup. A malicious HTTP/2 server or a Man-in-the-Middle (MITM) attacker can exploit a heap use-after-free vulnerability in the HTTP/2 client implementation. This occurs when a GNOME application uploads a file using HTTP/2, and the server sends a GOAWAY frame while the file body is being read asynchronously. This can lead to memory corruption, potentially resulting in informat…

The Canva Android App before 2.376.0 did not restrict the headers returned to an external origin running in a privileged WebView. A threat actor with control of the WebView could access a user’s session.