Alertas de Seguridad de la Información

M Crítico vulnerabilidad

17/08/2026

[CVE-2026-65974] ERPNext is a free and open source Enterprise Resource Planning tool. Prior to 15.111.0 and 16.22.0, …

ERPNext is a free and open source Enterprise Resource Planning tool. Prior to 15.111.0 and 16.22.0, limited authenticated users can cross a permission boundary in Frappe safe execution because frappe.render_template is exposed without forcing restrict_globals, allowing server-side template injection and remote code execution. This issue is fixed in versions 15.111.0 and 16.22.0.

nvdcriticovulnerabilidad CVSS 9.9 NVD

M Crítico vulnerabilidad

17/08/2026

[CVE-2026-47686] vm2 is an open source vm/sandbox for Node.js. Prior to 3.11.6, handleException() in lib/setup-sandbo…

vm2 is an open source vm/sandbox for Node.js. Prior to 3.11.6, handleException() in lib/setup-sandbox.js sanitizes SuppressedError.error, SuppressedError.suppressed, and AggregateError.errors but does not sanitize Error.cause, allowing sandbox code to obtain a powerful host object such as process from an embedder-exposed host function that throws an error with that object as its cause and then exe…

nvdcriticovulnerabilidad CVSS 9.9 NVD

M Crítico vulnerabilidad

17/08/2026

[CVE-2026-47698] vm2 is an open source vm/sandbox for Node.js. Prior to 3.11.6, lib/bridge.js and lib/setup-sandbox.j…

vm2 is an open source vm/sandbox for Node.js. Prior to 3.11.6, lib/bridge.js and lib/setup-sandbox.js fail to block stacked indirection through Function.prototype.call around dangerous host prototype getter and setter mutators, allowing sandbox code to sever a host intrinsic's prototype chain and reach e.constructor.constructor for arbitrary host command execution. This issue is fixed in version 3…

nvdcriticovulnerabilidad CVSS 9.8 NVD

M Crítico vulnerabilidad

17/08/2026

[CVE-2026-71472] A flaw was found in acm-search-v2-rhel9. This vulnerability allows an authenticated attacker, such a…

A flaw was found in acm-search-v2-rhel9. This vulnerability allows an authenticated attacker, such as a hub administrator or a Search Custom Resource (CR) editor, to inject malicious shell commands or SQL statements. This occurs because the WORK_MEM string provided in the Search CR is not properly validated before being used in a bash script and an SQL query. Successful exploitation could lead to …

nvdcriticovulnerabilidad CVSS 9.1 NVD

M Crítico vulnerabilidad

17/08/2026

[CVE-2026-66792] A flaw was found in the multicloud-operators-subscription component. This vulnerability allows a use…

A flaw was found in the multicloud-operators-subscription component. This vulnerability allows a user on a managed cluster to escalate their privileges by creating a Subscription with specific, crafted annotations. Successful exploitation grants the attacker the ability to deploy resources into any namespace with the elevated permissions of the controller's Service Account, potentially leading to …

nvdcriticovulnerabilidad CVSS 9.9 NVD

M Crítico vulnerabilidad

17/08/2026

[CVE-2026-51346] SQL Injection vulnerability in StudIP 6.0.x before 6.0.3 and 5.4.x before 5.4.12 allows a remote att…

SQL Injection vulnerability in StudIP 6.0.x before 6.0.3 and 5.4.x before 5.4.12 allows a remote attacker to execute arbitrary code and obtain sensitive information via the store() functions.

nvdcriticovulnerabilidad CVSS 9.1 NVD

M Crítico vulnerabilidad

17/08/2026

[CVE-2026-50768] File Upload vulnerability in T-Systems International GmbH ImageMaster Version: 9.14.2.8.1 allows a r…

File Upload vulnerability in T-Systems International GmbH ImageMaster Version: 9.14.2.8.1 allows a remote attacker to execute arbitrary code via the add attachments feature in the create new document function.

nvdcriticovulnerabilidad CVSS 9.8 NVD

M Crítico vulnerabilidad

17/08/2026

[CVE-2026-71479] New API is a large language mode (LLM) gateway and artificial intelligence (AI) asset management sys…

New API is a large language mode (LLM) gateway and artificial intelligence (AI) asset management system. Prior to 1.0.0-rc.18, user-controlled image n, video seconds and duration, max_tokens, max_completion_tokens, maxOutputTokens, audio duration, and billing-expression quantities can overflow conversions in common/quota_math.go and related settlement paths, allowing a low-privileged account with …

nvdcriticovulnerabilidad CVSS 9.1 NVD

M Crítico vulnerabilidad

17/08/2026

Vulnerabilidad crítica de desbordamiento de búfer en routers Wavlink WN531P3 y WN535M1

Se identificó una vulnerabilidad de desbordamiento de búfer en la pila (stack-based buffer overflow) en los routers Wavlink WN531P3 y WN535M1 versión V250922. La falla reside en la función strcpy del componente Export Pingortrace CGI (/etc/lighttpd/www/cgi-bin/export_pingortrace.cgi) y puede ser explotada remotamente manipulando el parámetro HTTP_COOKIE. El exploit ha sido divulgado públicamente, aumentando el riesgo para infraestructuras de telecomunicaciones y empresas en LATAM que utilizan estos equipos.

nvdcriticovulnerabilidad CVSS 10.0 NVD

M Crítico vulnerabilidad

17/08/2026

Vulnerabilidad crítica en openssl_encrypt < 1.4.0 compromete descifrado de datos

openssl_encrypt en versiones anteriores a 1.4.0 contiene una falla crítica en el módulo pqc.py que causa que fallos en desencapsulación KEM retrocedan silenciosamente a modo simulación, generando claves compartidas determinísticas a partir de solo 16 bytes de la clave privada. Un atacante que obtenga estos 16 bytes puede calcular la clave compartida y descifrar todos los textos cifrados, comprometiendo confidencialidad de datos sensibles en sistemas financieros, gubernamentales y empresariales de LATAM.

nvdcriticovulnerabilidad CVSS 9.8 NVD

M Crítico vulnerabilidad

17/08/2026

Vulnerabilidad crítica de omisión de autenticación en openssl_encrypt anteriores a v1.4.0

openssl_encrypt versiones previas a 1.4.0 contiene una vulnerabilidad de omisión de autenticación (CVSS 9.8) en pqc.py donde fallos en desencriptación AES-GCM activan una caída no autenticada a modo AES-CTR. Atacantes pueden modificar texto cifrado en tránsito para eludir verificación de integridad y ejecutar ataques de inversión de bits sin detección, comprometiendo confidencialidad e integridad de datos en sistemas financieros, gubernamentales y corporativos de LATAM.

nvdcriticovulnerabilidad CVSS 9.8 NVD

M Crítico vulnerabilidad

17/08/2026

Vulnerabilidad crítica en openssl_encrypt: credenciales PostgreSQL hardcodeadas exponen datos

Versiones de openssl_encrypt anteriores a 1.4.0 contienen credenciales de base de datos hardcodeadas en archivos de configuración del servidor, permitiendo acceso no autorizado a PostgreSQL desde la red local. Afecta principalmente a servidores en datacenters y nube en LATAM con estas versiones activas. El CVSS 9.8 indica riesgo crítico de exfiltración de datos sensibles.

nvdcriticovulnerabilidad CVSS 9.8 NVD

M Crítico vulnerabilidad

17/08/2026

Vulnerabilidad crítica de autenticación en openssl_encrypt anterior a v1.4.0

openssl_encrypt versiones anteriores a 1.4.0 contiene un fallo grave en la función verify_api_token que acepta cualquier token Bearer sin validación, permitiendo a atacantes cargar claves públicas arbitrarias, enumerar todas las claves existentes y revocar accesos de otros usuarios. Esta vulnerabilidad afecta directamente sistemas de encriptación y gestión de certificados críticos en infraestructuras de LATAM, especialmente en sectores financiero, salud y gobierno que dependen de esta librería para autenticación API.

nvdcriticovulnerabilidad CVSS 9.8 NVD

M Crítico vulnerabilidad

17/08/2026

Vulnerabilidad crítica en openssl_encrypt: ejecución de plugins sin restricciones de sandbox

Las versiones de openssl_encrypt anteriores a 1.4.0 no aplican restricciones de aislamiento en la ejecución de plugins, permitiendo a atacantes acceder sin límites al sistema de archivos, red, subprocesos y módulos Python. Esta vulnerabilidad afecta directamente a servidores en LATAM que procesan encriptación y ejecutan plugins dinámicos, comprometiendo la confidencialidad e integridad de datos sensibles.

nvdcriticovulnerabilidad CVSS 9.8 NVD

M Crítico vulnerabilidad

17/08/2026

Vulnerabilidad crítica en openssl_encrypt permite evasión de sandbox y ejecución de comandos

Versiones anteriores a 1.4.0 de openssl_encrypt contienen una vulnerabilidad de evasión de sandbox (CVSS 9.8) en el analizador AST DangerousPatternVisitor que no detecta técnicas de traversal de atributos dunder (__class__, __bases__, __subclasses__(), __globals__). Atacantes pueden ejecutar comandos arbitrarios desde código de plugins, comprometiendo servidores en México y Latinoamérica que dependan de esta librería para cifrado y procesamiento de datos sensibles.

nvdcriticovulnerabilidad CVSS 9.8 NVD

M Crítico vulnerabilidad

17/08/2026

Vulnerabilidad crítica de escape de sandbox en openssl_encrypt anterior a 1.4.0

openssl_encrypt versiones anteriores a 1.4.0 contienen una vulnerabilidad de escape de sandbox (CVSS 9.8) en IsolatedPluginExecutor que expone objetos de tipo Python en builtins de exec() restringido. Atacantes pueden recorrer la jerarquía de clases Python mediante __class__.__mro__.__subclasses__() para acceder a funciones del sistema y ejecutar comandos OS arbitrarios. Esta vulnerabilidad afecta directamente a aplicaciones que utilizan esta librería para procesamiento seguro de código en entornos empresariales de LATAM.

nvdcriticovulnerabilidad CVSS 9.8 NVD

M Crítico vulnerabilidad

17/08/2026

Vulnerabilidad crítica en openssl_encrypt: elusión de sandbox permite ejecución arbitraria de código

Versiones anteriores a 1.4.0 de openssl_encrypt contienen una vulnerabilidad que permite eludir el análisis de seguridad mediante ofuscación de strings, habilitando la importación de módulos peligrosos (sys, shutil, pickle, importlib) para ejecución de código arbitrario. Afecta sistemas de cifrado y aplicaciones que procesan datos sensibles en servidores de LATAM. El CVSS 9.8 indica riesgo crítico con impacto potencial en infraestructuras financieras y gubernamentales.

nvdcriticovulnerabilidad CVSS 9.8 NVD

M Crítico vulnerabilidad

17/08/2026

Vulnerabilidad crítica en openssl_encrypt anterior a v1.4.0 debilita derivación de claves criptográficas

Las versiones de openssl_encrypt anteriores a 1.4.0 implementan HKDF sin salt y parámetros estáticos en funciones de normalización de claves, reduciendo la entropía en la extracción criptográfica. Atacantes pueden explotar la derivación predecible de claves para comprometer la seguridad en ataques multi-objetivo contra sistemas que procesen transacciones financieras, datos de autenticación o comunicaciones sensibles en empresas mexicanas y latinoamericanas.

nvdcriticovulnerabilidad CVSS 9.8 NVD

M Crítico vulnerabilidad

17/08/2026

Vulnerabilidad crítica en openssl_encrypt anteriores a 1.4.0 permite filtración de secretos

openssl_encrypt en versiones anteriores a 1.4.0 contiene una vulnerabilidad (CVSS 9.8) en la función PublicKeyBundle.from_dict() que procesa datos no verificados sin validar firmas criptográficas. Un atacante puede manipular bundles de claves públicas para cifrar datos con claves controladas por el atacante, exponiendo información sensible en bases de datos, sistemas de pago y plataformas cloud comúnmente utilizadas en LATAM.

nvdcriticovulnerabilidad CVSS 9.8 NVD

M Crítico vulnerabilidad

17/08/2026

[CVE-2026-74880] openssl_encrypt versions before 1.4.0 accept refresh tokens as URL query parameters in keyserver and…

openssl_encrypt versions before 1.4.0 accept refresh tokens as URL query parameters in keyserver and telemetry server routes. Attackers can extract tokens from server logs, proxy logs, browser history, and HTTP Referer headers to gain unauthorized access.

nvdcriticovulnerabilidad CVSS 9.8 NVD