Empresa
¿Quiénes somos? Visión y Valores
Herramientas
Email Checker Vigía DNS SSL Checker Password Strength HTTP Headers Password Generator VPN PSK Generator
Alertas
Todas las alertas Vulnerabilidades Incidentes Solo críticas En CISA KEV Vigía LATAM
Editorial
Análisis técnico ¿Cuál es mi IP?
Blog
Blog 2MCI Noticias ISO 27001 Amenazas LATAM Recursos Gratuitos eBook Gratuito Newsletter Podcast / YouTube
Empresa
Servicios Contacto Suscribirse al Newsletter
Nuevo en 2MCI
Crear cuenta gratis Ver herramientas sin registro
Ya tengo cuenta
Iniciar sesión
Equipo
Portal interno 2MCI
Inicio/Alertas
Seguridad de la Información

Alertas de Seguridad de la Información

Vulnerabilidades explotadas activamente, incidentes y análisis relevantes para México y LATAM. Actualizado automáticamente desde fuentes oficiales.

48 vulnerabilidades en CISA KEV — explotación activa confirmada Ver todas →
Última alerta publicada ahora mismo
25,013
Total alertas
5083
Críticas
19106
Altas
8
Ransomware
2829
Esta semana
RSS
Alta × alto × Limpiar todo ×
M Alto vulnerabilidad
02/09/2026
Craft CMS: falla de autorización en gestión de activos permite eliminación no autorizada
Craft CMS versiones anteriores a 5.10.11 presentan verificación insuficiente de permisos en el endpoint assets/move-asset cuando se activa el parámetro force=1. Usuarios autenticados sin permisos en activos pueden mover archivos a carpetas de otros usuarios y forzar eliminación de conflictos, comprometiendo la integridad de contenido. Afecta principalmente a agencias digitales, portales de contenido y plataformas de medios en LATAM que dependen de Craft CMS para gestión colaborativa.
nvdaltovulnerabilidad CVSS 7.1 NVD
M Alto vulnerabilidad
02/09/2026
Vulnerabilidad CSRF sin autenticación en Activity Log <= 2.13.1
Se ha identificado una vulnerabilidad de Falsificación de Solicitud Entre Sitios (CSRF) sin requerimiento de autenticación en Activity Log versiones 2.13.1 y anteriores, con puntuación CVSS de 7.1. Esta falla permite a atacantes ejecutar acciones no autorizadas en sistemas vulnerables mediante solicitudes manipuladas. Organizaciones en LATAM que utilicen este componente deben evaluar su exposición inmediatamente.
nvdaltovulnerabilidad CVSS 7.1 NVD
M Alto vulnerabilidad
02/09/2026
Vulnerabilidad CSRF en Simply Schedule Appointments <= 1.6.12.23 permite acciones no autorizadas
Se ha identificado una vulnerabilidad de Falsificación de Solicitud Entre Sitios (CSRF) sin autenticación en Simply Schedule Appointments en versiones hasta 1.6.12.23. Esta vulnerabilidad permite a atacantes realizar acciones no autorizadas en nombre de usuarios legítimos, afectando principalmente a empresas de servicios, clínicas y consultorías en LATAM que utilizan este plugin para gestionar citas. Con un CVSS de 8.8, representa un riesgo alto para la integridad de datos y la continuidad operativa.
nvdaltovulnerabilidad CVSS 8.8 NVD
M Alto vulnerabilidad
02/09/2026
Vulnerabilidad CSRF alta en Mang Board WP versiones ≤2.3.8 permite ataques no autenticados
Se ha identificado una vulnerabilidad de Falsificación de Solicitud entre Sitios (CSRF) no autenticada en el plugin Mang Board WP hasta la versión 2.3.8, con puntuación CVSS 8.8. Esta falla permite a atacantes realizar acciones maliciosas en sitios WordPress afectados sin requerir credenciales, poniendo en riesgo la integridad de contenido, datos de usuarios y configuraciones administrativas en empresas de México y Latinoamérica que dependen de este plugin.
nvdaltovulnerabilidad CVSS 8.8 NVD
M Alto vulnerabilidad
02/09/2026
XSS no autenticado en Interactive Geo Maps versiones ≤ 1.6.30 (CVSS 7.1)
Se ha identificado una vulnerabilidad de Cross Site Scripting (XSS) no autenticado en Interactive Geo Maps que afecta versiones anteriores a 1.6.31. Un atacante remoto puede inyectar código malicioso que se ejecute en los navegadores de usuarios finales, comprometiendo sesiones y robando datos sensibles. Esta vulnerabilidad representa riesgo alta para portales web y aplicaciones geoespaciales desplegadas en México y Latinoamérica que utilizan este complemento.
nvdaltovulnerabilidad CVSS 7.1 NVD
M Alto vulnerabilidad
02/09/2026
Vulnerabilidad XSS sin autenticación en TrustedSite versiones ≤ 1.2.5
Se ha identificado una vulnerabilidad de Cross Site Scripting (XSS) sin autenticación en TrustedSite versiones 1.2.5 y anteriores, con puntuación CVSS 7.1. Un atacante remoto podría inyectar código malicioso que se ejecute en navegadores de usuarios legítimos, comprometiendo credenciales y sesiones. Afecta principalmente a empresas en LATAM que utilizan este complemento para validación de confianza en sitios web.
nvdaltovulnerabilidad CVSS 7.1 NVD
M Alto vulnerabilidad
02/09/2026
Inyección de objetos PHP sin autenticación en Ninja Forms - Layout & Styles ≤ 3.0.31
Se ha identificado una vulnerabilidad alta de inyección de objetos PHP sin autenticación en el plugin Ninja Forms - Layout & Styles en versiones 3.0.31 y anteriores. Los atacantes pueden explotar esta falla para ejecutar código malicioso en servidores web, afectando principalmente a sitios WordPress en México y LATAM que utilizan este complemento. La vulnerabilidad tiene un score CVSS de 8.8, indicando riesgo alta de comprometimiento de integridad y disponibilidad.
nvdaltovulnerabilidad CVSS 8.8 NVD

📬 Alertas semanales SI directo en tu email

Las vulnerabilidades más críticas para LATAM, con contexto y recomendaciones accionables. Gratis.

Suscribirme →
M Alto vulnerabilidad
02/09/2026
Exposición de datos sensibles sin autenticación en WooCommerce Product Attachment ≤ 2.3.3
WooCommerce Product Attachment versión 2.3.3 y anteriores contiene una vulnerabilidad que permite a atacantes acceder a datos sensibles sin requerir autenticación, con puntuación CVSS 7.5. Esta exposición afecta principalmente a tiendas en línea operadas en México y Latinoamérica que utilizan este plugin en WordPress. El riesgo se amplifica en entornos de comercio electrónico que manejan información de clientes, productos o transacciones.
nvdaltovulnerabilidad CVSS 7.5 NVD
M Alto vulnerabilidad
02/09/2026
Vulnerabilidad XSS sin autenticación en Estatik versiones ≤4.3.4 (CVSS 7.1)
Se ha identificado una vulnerabilidad de Cross-Site Scripting (XSS) sin autenticación en Estatik versiones 4.3.4 y anteriores, que permite a atacantes inyectar código malicioso en aplicaciones web expuestas. Esta vulnerabilidad afecta principalmente a organizaciones en LATAM que utilizan este generador de sitios estáticos en entornos de producción sin restricciones de acceso. El riesgo es elevado si la aplicación procesa entrada de usuarios o está accesible desde internet.
nvdaltovulnerabilidad CVSS 7.1 NVD
M Alto vulnerabilidad
02/09/2026
[CVE-2026-81283] Subscriber PHP Object Injection in WP User Frontend <= 4.3.10 versions.
Subscriber PHP Object Injection in WP User Frontend
nvdaltovulnerabilidad CVSS 8.8 NVD
M Alto vulnerabilidad
02/09/2026
[CVE-2026-81288] Unauthenticated Cross Site Scripting (XSS) in Upsell Order Bump Offer for WooCommerce <= 3.1.5 versi…
Unauthenticated Cross Site Scripting (XSS) in Upsell Order Bump Offer for WooCommerce
nvdaltovulnerabilidad CVSS 7.1 NVD
M Alto vulnerabilidad
02/09/2026
[CVE-2026-81289] Unauthenticated Cross Site Scripting (XSS) in MP3 Audio Player for Music, Radio & Podcast by Sonaar …
Unauthenticated Cross Site Scripting (XSS) in MP3 Audio Player for Music, Radio & Podcast by Sonaar
nvdaltovulnerabilidad CVSS 7.1 NVD
M Alto vulnerabilidad
02/09/2026
[CVE-2026-81769] Incorrect Privilege Assignment vulnerability in LiquidThemes Booking Hub allows Privilege Escalation…
Incorrect Privilege Assignment vulnerability in LiquidThemes Booking Hub allows Privilege Escalation. This issue affects Booking Hub: from n/a through 1.3.1.
nvdaltovulnerabilidad CVSS 8.8 NVD
M Alto vulnerabilidad
02/09/2026
[CVE-2026-19219] In Progress® Telerik® UI for AJAX prior to v2026.3.812, insufficient integrity protection of dialog …
In Progress® Telerik® UI for AJAX prior to v2026.3.812, insufficient integrity protection of dialog request parameters used by the RadEditor file browser may allow an attacker who has obtained certain application encryption key material to alter the folders the file browser reads from, writes to, and uploads into, potentially resulting in remote code execution.
nvdaltovulnerabilidad CVSS 8.1 NVD
M Alto vulnerabilidad
02/09/2026
[CVE-2026-18672] In Progress® Telerik® UI for AJAX prior to v2026.3.812, insufficient validation of client-supplied s…
In Progress® Telerik® UI for AJAX prior to v2026.3.812, insufficient validation of client-supplied state in RadImageEditor may allow an attacker to influence which file is returned by the control's image cache, potentially exposing file contents outside the intended image directories.
nvdaltovulnerabilidad CVSS 7.5 NVD

🛡 ¿Estás expuesto a alguna de estas vulnerabilidades?

Evaluación gratuita inicial con el equipo 2MCI: identifica exposición y plan de remediación.

Habla con un experto →
M Alto vulnerabilidad
02/09/2026
[CVE-2026-75528] The Broken Link Checker plugin for WordPress is vulnerable to Stored Cross-Site Scripting via Commen…
The Broken Link Checker plugin for WordPress is vulnerable to Stored Cross-Site Scripting via Comment Author URL / Link Log in all versions up to, and including, 2.4.13 due to insufficient input sanitization and output escaping. This makes it possible for unauthenticated attackers to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page. Exploitation req…
nvdaltovulnerabilidad CVSS 7.2 NVD
M Alto vulnerabilidad
02/09/2026
[CVE-2026-14828] Zohocorp ManageEngine Password Manager Pro versions before 13235, PAM360 versions before 8561, and A…
Zohocorp ManageEngine Password Manager Pro versions before 13235, PAM360 versions before 8561, and Access Manager Plus versions before 4405 are vulnerable to an authenticated SQL Injection vulnerability.
nvdaltovulnerabilidad CVSS 8.8 NVD
M Alto vulnerabilidad
02/09/2026
[CVE-2026-82883] Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') vulnerability i…
Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') vulnerability in Marcus Login With Ajax allows Reflected XSS. This issue affects Login With Ajax: from n/a through 4.5.1.
nvdaltovulnerabilidad CVSS 7.1 NVD
M Alto vulnerabilidad
02/09/2026
[CVE-2026-81737] The FAQ Builder AYS WordPress plugin before 1.8.5 does not sanitize or escape content submitted by u…
The FAQ Builder AYS WordPress plugin before 1.8.5 does not sanitize or escape content submitted by unauthenticated visitors before storing it and outputting it in an admin area page, and the escaping it does apply is undone by a subsequent decoding step, leading to Stored XSS which will execute in the context of a logged in administrator.
nvdaltovulnerabilidad CVSS 8.8 NVD
M Alto vulnerabilidad
02/09/2026
[CVE-2026-81807] The Simple Ajax Chat WordPress plugin before 20260827 does not escape chat message content before r…
The Simple Ajax Chat WordPress plugin before 20260827 does not escape chat message content before rendering it, allowing unauthenticated users to inject arbitrary HTML attributes into the page and run scripts in the browser of anyone viewing the chat, including administrators.
nvdaltovulnerabilidad CVSS 8.8 NVD