Alertas de Seguridad de la Información

M Alto vulnerabilidad

29/08/2026

[CVE-2026-82455] RubyGems fails to re-validate path containment after filesystem symlink resolution during gem extrac…

RubyGems fails to re-validate path containment after filesystem symlink resolution during gem extraction. When a pre-existing symlink inside the destination directory points outside the extraction root, extracted files that appear to be written under the destination directory can instead be written outside of it, breaking the extraction safety boundary. The fix resolves the real path of the parent…

nvdaltovulnerabilidad CVSS 7.1 NVD

M Alto vulnerabilidad

29/08/2026

[CVE-2026-82457] su-exec through 0.3 fails to validate numeric user and group identifiers parsed with strtol before a…

su-exec through 0.3 fails to validate numeric user and group identifiers parsed with strtol before assigning to uid_t and gid_t, allowing truncation of out-of-range values to zero. Attackers can supply large numeric identifiers that truncate to root's identifier, causing su-exec to execute target programs with root privileges instead of intended unprivileged accounts.

nvdaltovulnerabilidad CVSS 7.8 NVD

M Alto vulnerabilidad

29/08/2026

[CVE-2026-82450] BookStack before 26.05.4 contains a remote code execution vulnerability in the portable ZIP import f…

BookStack before 26.05.4 contains a remote code execution vulnerability in the portable ZIP import functionality that allows users with Import Content and Create Books permissions to upload a PHP polyglot file as a book cover. Attackers can bypass image extension validation by embedding a PHP file with a .php filename in the ZIP archive, which is stored in the public web root and executed by unaut…

nvdaltovulnerabilidad CVSS 8.8 NVD

M Alto vulnerabilidad

29/08/2026

[CVE-2026-82447] Skyvern before 1.0.45 contains a sandbox escape vulnerability in TextPromptBlock that renders prompt…

Skyvern before 1.0.45 contains a sandbox escape vulnerability in TextPromptBlock that renders prompts twice, first through a sandboxed Jinja environment and then through an unsandboxed environment. Attackers can inject malicious Jinja template syntax through workflow parameters or upstream block output to execute arbitrary code with server process privileges.

nvdaltovulnerabilidad CVSS 8.8 NVD

M Alto vulnerabilidad

29/08/2026

[CVE-2026-76586] The Appointment Booking Calendar Plugin and Scheduling Plugin WordPress plugin before 1.6.3 does no…

The Appointment Booking Calendar Plugin and Scheduling Plugin WordPress plugin before 1.6.3 does not verify the amount actually paid against the server-side price staged for a booking when confirming an online payment, allowing unauthenticated users to have a paid appointment approved for a fraction of its price.

nvdaltovulnerabilidad CVSS 7.5 NVD

M Alto vulnerabilidad

29/08/2026

[CVE-2026-77007] The HEL Online Classroom: AI-powered Online Classrooms WordPress plugin through 1.0.3 does not perfo…

The HEL Online Classroom: AI-powered Online Classrooms WordPress plugin through 1.0.3 does not perform any authorisation check on one of its REST API routes, allowing unauthenticated users to retrieve its stored settings, including the shared secret used to sign API requests to the connected BigBlueButton server.

nvdaltovulnerabilidad CVSS 7.5 NVD

M Alto vulnerabilidad

29/08/2026

[CVE-2026-76548] The User Profile Builder WordPress plugin before 4.0.1 does not properly restrict its front-end fil…

The User Profile Builder WordPress plugin before 4.0.1 does not properly restrict its front-end file upload feature, granting unauthenticated visitors capabilities reserved to privileged roles. This allows them to list the site's media library and to modify unpublished posts, pages and media items belonging to other users.

nvdaltovulnerabilidad CVSS 8.2 NVD

M Alto vulnerabilidad

29/08/2026

[CVE-2026-16600] The SmartAIPress WordPress plugin through 1.2.0 does not perform a capability check on one of its AJ…

The SmartAIPress WordPress plugin through 1.2.0 does not perform a capability check on one of its AJAX actions and does not validate a user-supplied URL before fetching it server-side, allowing users with subscriber-level access and above to make the site retrieve arbitrary internal or external URLs and read the response, resulting in a full-read Server-Side Request Forgery.

nvdaltovulnerabilidad CVSS 7.7 NVD

M Alto vulnerabilidad

29/08/2026

[CVE-2026-16061] The Rest Routes WordPress plugin through 5.5.5 does not sanitize and validate a value taken from th…

The Rest Routes WordPress plugin through 5.5.5 does not sanitize and validate a value taken from the URL of one of its public REST routes before using it in a SQL query, allowing unauthenticated attackers to perform SQL injection attacks.

nvdaltovulnerabilidad CVSS 8.6 NVD

M Alto vulnerabilidad

29/08/2026

Vulnerabilidad alta de intercepción de tráfico en BOSH Director vCenter CPI (CVE-2026-41012)

Una vulnerabilidad de intercepción de tráfico en BOSH Director vCenter CPI permite a atacantes posicionados entre el Director y vCenter suplantar la API REST de vCenter y capturar credenciales de administrador mediante autenticación HTTP Basic. Un atacante con capacidad de interceptar tráfico puede comprometer completamente la infraestructura de virtualización. En LATAM, esto afecta altas centros de datos y plataformas de IaaS que dependen de vCenter para gestión de máquinas virtuales.

nvdaltovulnerabilidad CVSS 7.7 NVD

M Alto vulnerabilidad

28/08/2026

Vulnerabilidad alta en MapFish Print permite inyección XXE en servidores de mapas

MapFish Print versiones anteriores a 3.28.30, 3.30.32, 3.31.24, 3.33.16 y 4.0.5 contienen una vulnerabilidad de inyección XML External Entity (XXE) en el endpoint /api/print3/print. Un atacante remoto puede enviar capas GML maliciosas para ejecutar ataques XXE sin validación de entidades externas, poniendo en riesgo servidores de cartografía y sistemas SIG en gobiernos, empresas constructoras y plataformas de infraestructura en LATAM.

nvdaltovulnerabilidad CVSS 8.6 NVD

M Alto vulnerabilidad

28/08/2026

Vulnerabilidad alta en free5GC 1.4.4 permite acceso no autorizado a contexto de autenticación

free5GC, implementación de código abierto del núcleo 5G, presenta una vulnerabilidad en el componente AUSF (Authentication Server Function) en versiones 1.4.4 y anteriores. El almacenamiento inseguro de estado de autenticación por suscriptor en una estructura global permite que atacantes accedan o manipulen credenciales de usuarios. Esta vulnerabilidad afecta directamente a operadores de telecomunicaciones y proveedores de infraestructura 5G en LATAM que ejecuten free5GC en entornos de producción.

nvdaltovulnerabilidad CVSS 7.5 NVD

M Alto vulnerabilidad

28/08/2026

Vulnerabilidad alta en Graylog Server y Forwarder permite manipulación de logs (CVE-2026-55841)

Una vulnerabilidad en el parser de syslog FortiGate de Graylog Server (versiones anteriores a 6.3.12, 7.0.7 y 7.1.2) y Graylog Forwarder (anterior a 7.3) permite a atacantes manipular campos de log mediante texto especialmente crafteado dentro de valores entrecomillados. Esto afecta a empresas en LATAM que utilizan Graylog para centralizar y auditar logs de seguridad, comprometiendo la integridad de registros altas para forensia y cumplimiento normativo.

nvdaltovulnerabilidad CVSS 7.5 NVD

M Alto vulnerabilidad

28/08/2026

Vulnerabilidad DoS en multer permite bloqueo de event loop en Node.js

multer, middleware popular para procesar multipart/form-data en Node.js, es vulnerable a ataques de denegación de servicio (DoS). Un atacante puede enviar solicitudes HTTP especialmente diseñadas con nombres de campo malformados que fuerzan al parser a iterar arreglos sparse de tamaño máximo, bloqueando el event loop e impidiendo que la aplicación procese otras peticiones. Afecta aplicaciones web en producción que usen multer para carga de archivos, especialmente relevante en empresas LATAM con infraestructura Node.js alta.

nvdaltovulnerabilidad CVSS 7.5 NVD

M Alto vulnerabilidad

28/08/2026

Vulnerabilidad alta en IGEL OS 11 y 12: inyección de parámetros de arranque

IGEL OS versiones anteriores a 12.7.6 y 11.11.150 contienen una vulnerabilidad de inyección de parámetros de arranque (CVSS 7.6) que permite a atacantes con acceso físico ejecutar parámetros arbitrarios del cargador Linux. La falla radica en un área de configuración sin encripción ni firma que es leída por el cargador de arranque, permitiendo la inyección de comandos de kernel maliciosos con privilegios de entorno de arranque. Afecta principalmente entornos de terminales sin cliente en bancos, retail y centros de datos en LATAM.

nvdaltovulnerabilidad CVSS 7.6 NVD

M Alto vulnerabilidad

28/08/2026

Vulnerabilidad en MongoDB Connector for BI permite denegación de servicio en esquema

Un usuario de base de datos puede crear una vista que cause fallos en la rutina de muestreo de esquema del MongoDB Connector for BI, interrumpiendo la funcionalidad de actualización de esquema. Esta vulnerabilidad afecta directamente a empresas en LATAM que utilizan BI conectado a MongoDB para análisis de datos, impidiendo la sincronización correcta de metadatos. Con CVSS 7.7, representa un riesgo significativo para operaciones de inteligencia empresarial.

nvdaltovulnerabilidad CVSS 7.7 NVD

M Alto vulnerabilidad

28/08/2026

Vulnerabilidad alta en MongoDB Connector for BI permite denegación de servicio remota

Una parte no autenticada que acceda al puerto del conector MongoDB para BI (mongosqld) puede generar actividad masiva de registros de conexión que agoten el almacenamiento del directorio de logs configurado. Cuando la escritura o rotación de logs falla, el proceso compartido de mongosqld se interrumpe abruptamente, causando denegación de servicio para todos los clientes SQL conectados. Este impacto afecta directamente plataformas de análisis e inteligencia empresarial que dependen de este conector en infraestructuras LATAM.

nvdaltovulnerabilidad CVSS 7.5 NVD

M Alto vulnerabilidad

28/08/2026

Vulnerabilidad en mongosqld: certificados de cliente no validados correctamente

mongosqld no valida correctamente los certificados de cliente durante el handshake TLS cuando está configurado con una autoridad certificadora. Esto permite que clientes sin certificado establezcan sesiones, comprometiendo la autenticación en entornos que dependen exclusivamente de certificados para identificar usuarios. Empresas en LATAM que utilizan MongoDB BI Connector con autenticación basada en certificados están expuestas a acceso no autorizado.

nvdaltovulnerabilidad CVSS 7.5 NVD

M Alto vulnerabilidad

28/08/2026

Vulnerabilidad alta en MongoDB Connector for BI permite agotamiento de recursos por autenticación indefinida

Un cliente de red sin autenticar puede mantener abierta indefinidamente una sesión de autenticación SASL en MongoDB Connector for BI, bloqueando workers y slots de conexión del servidor. Esto facilita ataques de denegación de servicio (DoS) que pueden afectar la disponibilidad de plataformas de Business Intelligence y análisis de datos altas en empresas de LATAM que dependan de este conector.

nvdaltovulnerabilidad CVSS 7.5 NVD

M Alto vulnerabilidad

28/08/2026

Vulnerabilidad alta en MongoDB Connector for BI ODBC: desbordamiento de búfer por inyección SQL

Un atacante puede enviar consultas SQL malformadas a través del controlador ODBC de MongoDB Connector for BI, especificando nombres de cursor que exceden los límites internos del búfer. Esto provoca sobrescritura de memoria adyacente, potencialmente causando denial of service (DoS) o ejecución de código arbitrario en aplicaciones que integren este conector. Afecta directamente a plataformas de análisis y Business Intelligence que dependan de este driver en entornos LATAM.

nvdaltovulnerabilidad CVSS 8.8 NVD