Empresa
¿Quiénes somos? Visión y Valores
Herramientas
Email Checker Vigía DNS SSL Checker Password Strength HTTP Headers Password Generator VPN PSK Generator
Alertas
Todas las alertas Vulnerabilidades Incidentes Solo críticas En CISA KEV Vigía LATAM
Editorial
Análisis técnico ¿Cuál es mi IP?
Blog
Blog 2MCI Noticias ISO 27001 Amenazas LATAM Recursos Gratuitos eBook Gratuito Newsletter Podcast / YouTube
Empresa
Servicios Contacto Suscribirse al Newsletter
Nuevo en 2MCI
Crear cuenta gratis Ver herramientas sin registro
Ya tengo cuenta
Iniciar sesión
Equipo
Portal interno 2MCI
Inicio/Alertas
Seguridad de la Información

Alertas de Seguridad de la Información

Vulnerabilidades explotadas activamente, incidentes y análisis relevantes para México y LATAM. Actualizado automáticamente desde fuentes oficiales.

48 vulnerabilidades en CISA KEV — explotación activa confirmada Ver todas →
Última alerta publicada ahora mismo
25,067
Total alertas
5089
Críticas
19150
Altas
8
Ransomware
2624
Esta semana
RSS
Alta × nvd × Limpiar todo ×
M Alto vulnerabilidad
06/09/2026
Inyección SQL alta en Task Management System PHP 1.0 afecta módulo de autenticación
Se ha identificado una vulnerabilidad de inyección SQL en el componente de login del Sistema de Gestión de Tareas en PHP versión 1.0, específicamente en el parámetro email del archivo /index.php. La vulnerabilidad permite a atacantes remotos ejecutar comandos SQL maliciosos sin autenticación previa, comprometiendo bases de datos que almacenan información alta de proyectos y usuarios. El exploit está disponible públicamente, aumentando el riesgo inmediato para empresas en LATAM que utilicen esta plataforma en producción.
nvdaltovulnerabilidad CVSS 7.3 NVD
M Alto vulnerabilidad
06/09/2026
Vulnerabilidad alta en SureCart (WordPress) permite escalada de privilegios y takeover de cuentas
El plugin SureCart para WordPress en versiones anteriores a 4.6.3 contiene una falla de validación que permite a usuarios con permisos de suscriptor modificar direcciones de correo de otros usuarios, incluidos administradores, y tomar control de sus cuentas mediante reset de contraseña. Esta vulnerabilidad afecta directamente a tiendas en línea y plataformas de comercio electrónico operadas en México y Latinoamérica que usan este plugin.
nvdaltovulnerabilidad CVSS 8.8 NVD
M Alto vulnerabilidad
06/09/2026
Vulnerabilidad de XSS almacenado en plugin Kirki para WordPress anterior a v6.3.0
El plugin Kirki para WordPress anterior a la versión 6.3.0 no valida correctamente las entidades HTML, permitiendo que usuarios no autenticados inyecten JavaScript malicioso en comentarios. El código ejecutado afecta a visitantes y administradores en todas las páginas que muestren comentarios, incluyendo encabezados y pies de página.
nvdaltovulnerabilidad CVSS 7.5 NVD
M Alto vulnerabilidad
06/09/2026
Inyección SQL alta en code-projects CMS 1.0 permite acceso remoto no autenticado
Se ha identificado una vulnerabilidad de inyección SQL en code-projects Content Management System versión 1.0, ubicada en el parámetro user_name del archivo /login.php. Un atacante remoto puede explotar este fallo sin autenticación previa para comprometer la integridad de bases de datos en servidores corporativos. El exploit está disponible públicamente, incrementando significativamente el riesgo para sistemas en producción en LATAM.
nvdaltovulnerabilidad CVSS 7.3 NVD
M Alto vulnerabilidad
06/09/2026
Vulnerabilidad alta de desbordamiento de buffer en Tenda HG10 300001138
Se identificó una vulnerabilidad en el componente Boa Web Server del router Tenda HG10 (modelo 300001138) que permite desbordamiento de buffer mediante manipulación del parámetro 'if' en la función formWanRedirect. El exploit ha sido divulgado públicamente y puede ser explotado de forma remota. Esta vulnerabilidad afecta principalmente a pequeñas y medianas empresas en México y Latinoamérica que utilizan este dispositivo como router de acceso a Internet o en infraestructuras de red.
nvdaltovulnerabilidad CVSS 8.8 NVD
M Alto vulnerabilidad
06/09/2026
Inyección SQL alta en SourceCodester Online Voting System 1.0
Se identificó una vulnerabilidad de inyección SQL en SourceCodester Online Voting System 1.0 a través del parámetro ID en /ajax.php?action=delete_category. Un atacante remoto puede explotar esta falla sin autenticación para comprometer la integridad de bases de datos electorales, acceder a registros de votantes o manipular resultados. El exploit está disponible públicamente, elevando el riesgo inmediato para organizaciones electorales, municipios y empresas que utilicen este sistema en México y Latinoamérica.
nvdaltovulnerabilidad CVSS 7.3 NVD
M Alto vulnerabilidad
06/09/2026
[CVE-2026-86162] A vulnerability was determined in SourceCodester Online Voting System 1.0. This affects an unknown f…
A vulnerability was determined in SourceCodester Online Voting System 1.0. This affects an unknown function of the file /ajax.php?action=login. Executing a manipulation of the argument Username can lead to sql injection. The attack can be executed remotely. The exploit has been publicly disclosed and may be utilized.
nvdaltovulnerabilidad CVSS 7.3 NVD

📬 Alertas semanales SI directo en tu email

Las vulnerabilidades más críticas para LATAM, con contexto y recomendaciones accionables. Gratis.

Suscribirme →
M Alto vulnerabilidad
06/09/2026
[CVE-2026-18056] The HivePress Authentication plugin for WordPress is vulnerable to Authentication Bypass via the acc…
The HivePress Authentication plugin for WordPress is vulnerable to Authentication Bypass via the access_token parameter in all versions up to, and including, 1.1.4. This is due to the authenticate_user function's Facebook authenticator resolving third-party identity by forwarding the attacker-supplied access_token to the Facebook Graph API and trusting the returned email and ID verbatim, without p…
nvdaltovulnerabilidad CVSS 7.5 NVD
M Alto vulnerabilidad
06/09/2026
[CVE-2026-86159] A flaw has been found in SourceCodester Online Voting System 1.0. Impacted is an unknown function of…
A flaw has been found in SourceCodester Online Voting System 1.0. Impacted is an unknown function of the file /ajax.php?action=save_user. This manipulation of the argument ID causes sql injection. The attack may be initiated remotely. The exploit has been published and may be used.
nvdaltovulnerabilidad CVSS 7.3 NVD
M Alto vulnerabilidad
06/09/2026
[CVE-2026-86160] A vulnerability has been found in SourceCodester Online Voting System 1.0. The affected element is a…
A vulnerability has been found in SourceCodester Online Voting System 1.0. The affected element is an unknown function of the file /ajax.php?action=delete_voting. Such manipulation of the argument ID leads to sql injection. The attack may be launched remotely. The exploit has been disclosed to the public and may be used.
nvdaltovulnerabilidad CVSS 7.3 NVD
M Alto vulnerabilidad
05/09/2026
[CVE-2026-0799] In BPF instructions that load/store a value from/to a scratch memory register the register index is …
In BPF instructions that load/store a value from/to a scratch memory register the register index is an unsigned 32-bit integer and must not exceed 15, but libpcap BPF interpreter does not validate the value. In particular uncommon use cases a crafted filter program can cause the interpreter to try reading and writing the OS process memory in the 16GiB starting at the current stack frame on 64-bit…
nvdaltovulnerabilidad CVSS 8.7 NVD
M Alto vulnerabilidad
05/09/2026
[CVE-2026-86188] AVideo with YPTSocket plugin enabled contains a cross-site scripting vulnerability allowing unauthen…
AVideo with YPTSocket plugin enabled contains a cross-site scripting vulnerability allowing unauthenticated attackers to execute arbitrary JavaScript in other users' browsers via the websocket callback mechanism. Attackers can send crafted socket messages with callback names resolving to global functions like avideoConfirmHTML that accept untrusted data and assign it to innerHTML, achieving script…
nvdaltovulnerabilidad CVSS 7.2 NVD
M Alto vulnerabilidad
05/09/2026
Vulnerabilidad alta en Bilibili Desktop: desactivación de verificación TLS y ejecución de código remoto
Bilibili Desktop versión 1.18.0 y anteriores desactiva la verificación de certificados TLS a nivel de proceso y ejecuta configuraciones JavaScript sin firma desde servidores remotos. Un atacante en posición de intermediario de red puede interceptar descargas de configuración, inyectar código JavaScript malicioso con acceso al puente IPC privilegiado, permitiendo ejecución de comandos del sistema y robo de credenciales de sesión.
nvdaltovulnerabilidad CVSS 8.0 NVD
M Alto vulnerabilidad
05/09/2026
Vulnerabilidad alta en tema Nokri Job Board para WordPress permite escalada de privilegios
El tema WordPress Nokri – Job Board (versiones hasta 1.6.4) contiene una falta de validación de permisos en la función 'nokri_account_member_permissions', permitiendo a usuarios autenticados con acceso de Suscriptor crear nuevos usuarios con permisos de empleador. Esta vulnerabilidad afecta especialmente a plataformas de empleo y bolsas de trabajo en LATAM que utilizan este tema para gestionar portales de reclutamiento.
nvdaltovulnerabilidad CVSS 8.8 NVD
M Alto vulnerabilidad
05/09/2026
Vulnerabilidad alta en Pterodactyl Panel permite ejecución de comandos sin autorización
Pterodactyl Panel anterior a versión 1.14.1 presenta falla en validación de permisos que permite a subusuarios con solo acceso schedule.update ejecutar comandos arbitrarios en servidores de juego. Los atacantes pueden crear y activar tareas programadas para ejecutar comandos en consola, controlar estado de servidores o generar respaldos sin autorizaciones requeridas. Esta vulnerabilidad afecta principalmente a proveedores de hosting y empresas de gaming en LATAM que utilizan este panel de control.
nvdaltovulnerabilidad CVSS 8.8 NVD

🛡 ¿Estás expuesto a alguna de estas vulnerabilidades?

Evaluación gratuita inicial con el equipo 2MCI: identifica exposición y plan de remediación.

Habla con un experto →
M Alto vulnerabilidad
05/09/2026
Vulnerabilidad alta de ejecución remota de código en Axolotl hasta versión 0.18.0
Axolotl versiones 0.18.0 y anteriores contienen una vulnerabilidad de ejecución remota de código (RCE) en la ruta de parche multipack. El parámetro trust_remote_code por defecto es None en lugar de False, permitiendo a atacantes eludir los controles de seguridad. Un adversario puede ejecutar código Python arbitrario al comprometer repositorios de modelos en Hugging Face utilizados como base_model, que se cargan con trust_remote_code=True forzado. Esto afecta principalmente a equipos de ML/IA en LATAM que utilizan modelos preentrenados de repositorios públicos sin validación.
nvdaltovulnerabilidad CVSS 8.8 NVD
M Alto vulnerabilidad
05/09/2026
Vulnerabilidad SSRF alta en MindsDB hasta v26.1.0 permite acceso a servicios internos
MindsDB versiones hasta 26.1.0 contiene una vulnerabilidad de falsificación de solicitudes del lado del servidor (SSRF) en el manejador de rastreo web que permite a atacantes no autenticados recuperar URLs arbitrarias. Los agresores pueden eludir controles de lista blanca explotando configuraciones vacías por defecto y acceder a servicios internos y puntos de acceso de metadatos en la nube sin autenticación. Afecta especialmente a empresas de IA/ML en LATAM que exponen MindsDB en entornos multi-tenant o híbridos.
nvdaltovulnerabilidad CVSS 7.5 NVD
M Alto vulnerabilidad
05/09/2026
Vulnerabilidad alta de SSRF sin autenticación en Webstudio ≤0.296.0
Webstudio versión 0.296.0 y anteriores contiene una vulnerabilidad Server-Side Request Forgery (SSRF) sin autenticación en las rutas proxy /cgi/image, /cgi/video y /cgi/asset cuando la variable de entorno RESIZE_ORIGIN no está configurada. Atacantes pueden suministrar URLs arbitrarias para acceder a metadatos de instancias en la nube, servicios internos y realizar reconocimiento de infraestructura. Este vector afecta directamente a empresas en LATAM que ejecutan Webstudio en entornos cloud (AWS, Azure, Google Cloud).
nvdaltovulnerabilidad CVSS 8.6 NVD
M Alto vulnerabilidad
05/09/2026
SQL Chat: Cuatro endpoints API sin autenticación permiten ejecución de comandos SQL arbitrarios
SQL Chat contiene cuatro endpoints API sin protección de autenticación que aceptan parámetros de conexión a bases de datos suministrados por el atacante, permitiendo ejecutar consultas SQL arbitrarias contra hosts especificados. Los atacantes pueden acceder a bases de datos internas, enumerar esquemas, ejecutar comandos administrativos y pivotar hacia la red interna del servidor comprometido sin requerir credenciales previas. Este vector representa riesgo alta en infraestructuras LATAM donde SQL Chat se utiliza en entornos de desarrollo o acceso a datos corporativos.
nvdaltovulnerabilidad CVSS 8.7 NVD
M Alto vulnerabilidad
05/09/2026
Vulnerabilidad alta de omisión de autenticación en Coolify hasta v4.3.17
Coolify versiones anteriores a 4.3.17 contiene una falla de autenticación en el manejador de callback OAuth que permite a atacantes registrar direcciones de correo de víctimas en proveedores OAuth habilitados para obtener acceso autenticado sin verificar identidades ni requerir contraseña. Empresas que usan Coolify como plataforma de infraestructura o despliegue en México y LATAM corren riesgo de compromiso de cuentas administrativas y acceso no autorizado a recursos altas.
nvdaltovulnerabilidad CVSS 8.1 NVD