Alertas de Seguridad de la Información

Se identificó una vulnerabilidad en CRI-O que afecta la funcionalidad de checkpoint y restauración de contenedores. Un usuario con privilegios suficientes podría eludir validaciones de metadatos durante la restauración, permitiendo operaciones no autorizadas en el sistema de archivos del host. Esta vulnerabilidad impacta directamente infraestructuras containerizadas en Kubernetes y plataformas similares ampliamente utilizadas en centros de datos de LATAM.

La clase CompressionFilter utiliza ZLib para comprimir y descomprimir datos en tránsito. Una falla en el control del tamaño resultante durante la descompresión permite que datos maliciosos con ratios de compresión superiores a 1000:1 agoten la memoria del servidor, causando denegación de servicio. Afecta aplicaciones de procesamiento de datos en infraestructuras altas, financieras y de telecomunicaciones en LATAM.

La aplicación móvil de Canva para HarmonyOS en versiones anteriores a v1.15.1 no restringe adecuadamente los headers devueltos a orígenes externos en WebView privilegiado, permitiendo a actores maliciosos acceder a sesiones activas de usuarios. Esta vulnerabilidad afecta principalmente a usuarios en LATAM que utilizan dispositivos Huawei y sistemas operativos alternativos basados en HarmonyOS.

Se ha identificado una vulnerabilidad de inyección SQL (CVSS 7.3) en el componente ORM de Drogon Framework versiones hasta 1.9.13, específicamente en la función makeCriteria. Un atacante remoto puede manipular parámetros de filtrado para ejecutar consultas SQL no autorizadas. Empresas en LATAM que utilicen esta librería en aplicaciones web deben evaluar inmediatamente su exposición, especialmente en sistemas con acceso a bases de datos sensibles.

Se encontró una vulnerabilidad de severidad alta (CVSS 8.8) en el componente IOCTL Handler del archivo BSMEM64_W10.sys de BioStar BIOS Update Utility versión 1.9.7.3. La falla permite a un atacante local ejecutar una condición de escritura arbitraria en memoria física, comprometiendo la integridad del firmware. El exploit ha sido publicado, incrementando significativamente el riesgo para empresas con sistemas legacy que ejecutan esta utilidad en máquinas de acceso alta.

Se detectó una vulnerabilidad de inyección SQL en el componente ORM Mapper de Drogon Framework (versiones hasta 1.9.13), específicamente en la función Mapper::orderBy. Un atacante remoto puede manipular parámetros de ordenamiento para ejecutar comandos SQL arbitrarios. El exploit es público y activo, afectando aplicaciones web desarrolladas con este framework que procesen entrada de usuarios sin validación adecuada.

Se ha detectado una vulnerabilidad de severidad alta (CVSS 8.8) en el controlador BS_HWMIO64_W10.sys de BioStar Temperature Monitor Utility 1.2.1806.2200. La falla en el manejador IOCTL permite a un atacante local ejecutar una condición write-what-where, comprometiendo la integridad del sistema. El exploit ha sido divulgado públicamente, aumentando el riesgo en entornos empresariales de México y Latinoamérica que utilicen esta herramienta de monitoreo.

Se identificó una vulnerabilidad de inyección de comandos (CVSS 7.4) en el Router Feiyu Star modelo B-MB5E202-210322-r11656 de Chengdu Feiyuxing Technology. El fallo está en el manejador de cookies del archivo /send_order.cgi, donde la manipulación del parámetro session_id permite ejecución remota de comandos sin autenticación. Empresas en México y Latinoamérica que utilicen este equipo en perímetros de red enfrentan riesgo inmediato de compromiso total.

Se detectó una vulnerabilidad de severidad alta (CVSS 8.8) en el controlador BS_LED64.sys del componente IOCTL Handler de BioStar VIVID LED DJ versión 4.0.2411.1500. La falla permite un ataque de write-what-where mediante manipulación del argumento AssociatedIrp, requiriendo acceso local. El exploit está públicamente disponible y representa riesgo inmediato para infraestructuras de entretenimiento y eventos en LATAM que utilicen este software.

Se detectó una vulnerabilidad de escritura arbitraria (write-what-where) en el controlador BS_RVSIO64.sys del sistema de control de acceso BioStar VALKYRIE AURORA versión 2.10.2411.0800. La vulnerabilidad permite a un atacante local con acceso al sistema manipular la dirección física de memoria mediante el IOCTL Handler, comprometiendo la integridad del sistema de control biométrico. El exploit es público y activo.

Se ha detectado una vulnerabilidad de inyección SQL (CVSS 7.3) en QCMS versiones hasta 6.0.6 que afecta la función self_Tmp en el componente Content Detail Page. Un atacante remoto puede manipular el parámetro ID para ejecutar comandos SQL no autorizados, especialmente porque el router procesa REQUEST_URI sin decodificación de URL. Este exploit ha sido divulgado públicamente y representa riesgo inmediato para portales de contenido y aplicaciones web en producción.

A vulnerability was identified in 03-lovepreetSingh MCP up to f95d035c5317fad81af9828286631053ccb23546. This issue affects the function create_file of the file app/api/mcp/route.ts. Such manipulation of the argument filePath/content leads to path traversal. The attack can be launched remotely. The exploit is publicly available and might be used. This product does not use versioning. This is why in…

A security vulnerability has been detected in NonceGeek dim-sum-app. This impacts the function textSearchV2Handler of the file deno/main.tsx of the component Deno Backend. Such manipulation of the argument supabase_url leads to server-side request forgery. The attack can be executed remotely. The exploit has been disclosed publicly and may be used. The name of the patch is 8389032e5d52c28c4855c612…

A vulnerability was detected in vas3k TaxHacker up to 0.8.5. Affected is the function generateInvoicePDF of the file /apps/invoices/actions.ts of the component Invoice PDF Renderer. Performing a manipulation of the argument businessLogo results in server-side request forgery. The attack is possible to be carried out remotely. The exploit is now public and may be used. The project was informed of t…

A security flaw has been discovered in D-Link DIR-X1860 and DIR-X1860Z up to 1.0.2.220120.165402. The impacted element is an unknown function of the file /ubus of the component routerd. The manipulation of the argument passwd_set results in improper access controls. The attack must originate from the local network. The exploit has been released to the public and may be used for attacks.

A vulnerability was identified in SourceCodester Drug Recommendation System 1.0. This affects an unknown function of the file /drug_recommender/Admin/edit_user.php. Such manipulation of the argument ID leads to sql injection. The attack may be launched remotely. The exploit is publicly available and might be used.

getID3 versiones anteriores a 1.9.26 contiene una vulnerabilidad de inyección de comandos del sistema operativo en manejadores shell que no escapan correctamente nombres de archivo en cadenas de comando. Atacantes pueden crear nombres de archivo maliciosos con metacaracteres de shell para inyectar comandos arbitrarios ejecutados con los privilegios del proceso que integra getID3. Esta vulnerabilidad afecta principalmente a servidores web y aplicaciones de procesamiento de multimedia en empresas de LATAM que utilizan librerías PHP desactualizadas.

NivoCart versiones hasta 2.4.0 contiene una vulnerabilidad de severidad alta (CVSS 8.1) en el endpoint forgotten.php que genera tokens de recuperación predecibles usando substr(md5(mt_rand()), 0, 10). Un atacante que conozca el correo de un administrador puede solicitar un restablecimiento de contraseña, predecir el token y obtener acceso administrativo sin limitaciones de tasa ni expiración. Esta vulnerabilidad afecta directamente a plataformas de e-commerce en México y LATAM que utilizan NivoCart para gestionar tiendas en línea.

openEQUELLA versiones anteriores a 2026.1.0 contienen una vulnerabilidad de ejecución remota de código (RCE) en la compilación de plantillas FreeMarker debido a una configuración insegura de TemplateClassResolver. Atacantes autenticados pueden inyectar expresiones maliciosas a través de resúmenes de colecciones, portlets de panel o plantillas MIME para instanciar clases peligrosas como freemarker.template.utility.Execute e invocar comandos del sistema operativo. Esta vulnerabilidad afecta principalmente a instituciones educativas y de investigación en LATAM que utilizan openEQUELLA como repositorio digital.

Se ha identificado una vulnerabilidad de inyección SQL (CVSS 7.3) en SourceCodester Drug Recommendation System 1.0 a través del parámetro ID en /Admin/edit_symptom.php. La vulnerabilidad permite a atacantes remotos ejecutar comandos SQL arbitrarios y comprometer bases de datos de sistemas de salud. El exploit está disponible públicamente, incrementando significativamente el riesgo en instituciones médicas y farmacias en LATAM que utilicen este software.