Empresa
¿Quiénes somos? Visión y Valores
Herramientas
Email Checker Vigía DNS SSL Checker Password Strength HTTP Headers
Alertas
Todas las alertas Vulnerabilidades Incidentes Solo críticas En CISA KEV
Editorial
Análisis técnico ¿Cuál es mi IP?
Blog
Blog 2MCI ISO 27001 Amenazas LATAM Recursos Gratuitos eBook Gratuito Newsletter Podcast / YouTube
Empresa
Servicios Contacto Suscribirse al Newsletter
🆕 Nuevo en 2MCI
✨ Crear cuenta gratis 🛠️ Ver herramientas sin registro
Ya tengo cuenta
🔒 Iniciar sesión
Equipo
🏠 Portal interno 2MCI
Inicio/Alertas
Seguridad de la Información

Alertas de Seguridad de la Información

Vulnerabilidades explotadas activamente, incidentes y análisis relevantes para México y LATAM. Actualizado automáticamente desde fuentes oficiales.

48 vulnerabilidades en CISA KEV — explotación activa confirmada Ver todas →
Última alerta publicada ahora mismo
Buscando: "Ui" — 448 resultados ✕ Limpiar búsqueda
13,696
Total alertas
3097
Críticas
10327
Altas
8
Ransomware
1880
Esta semana
RSS
Crítica × Limpiar todo ×
M Crítico vulnerabilidad
10/08/2026
[CVE-2026-72877] Dokploy is a free, self-hostable Platform as a Service (PaaS). Prior to 0.29.13, the dockerImage fie…
Dokploy is a free, self-hostable Platform as a Service (PaaS). Prior to 0.29.13, the dockerImage field is interpolated without quoting into shell commands in buildRemoteDocker() in packages/server/src/utils/providers/docker.ts and is validated only as an optional string. An authenticated user with application create or update permission can use shell command substitution in dockerImage to execute …
nvdcriticovulnerabilidad CVSS 9.6 NVD
M Crítico vulnerabilidad
10/08/2026
[CVE-2026-72865] Dokploy is a free, self-hostable Platform as a Service (PaaS). Prior to 0.29.13, the compose.update …
Dokploy is a free, self-hostable Platform as a Service (PaaS). Prior to 0.29.13, the compose.update operation stores an unvalidated composePath that packages/server/src/utils/builders/compose.ts and packages/server/src/services/compose.ts interpolate into docker compose -f, docker stack deploy -c, and touch shell commands executed through /bin/sh -c. An authenticated member with compose write and …
nvdcriticovulnerabilidad CVSS 9.9 NVD
M Crítico vulnerabilidad
10/08/2026
[CVE-2026-72869] Dokploy is a free, self-hostable Platform as a Service (PaaS). Prior to 0.29.13, the backup.restoreB…
Dokploy is a free, self-hostable Platform as a Service (PaaS). Prior to 0.29.13, the backup.restoreBackupWithLogs tRPC subscription passes the databaseName parameter to restore builders in packages/server/src/utils/restore/utils.ts, where PostgreSQL, MariaDB, MySQL, and MongoDB commands embed the value in nested shell text executed by Node.js exec. An authenticated user with backup:restore permiss…
nvdcriticovulnerabilidad CVSS 9.9 NVD
M Crítico vulnerabilidad
10/08/2026
[CVE-2026-72733] Dokploy is a free, self-hostable Platform as a Service (PaaS). Prior to 0.29.13, the backup.restoreB…
Dokploy is a free, self-hostable Platform as a Service (PaaS). Prior to 0.29.13, the backup.restoreBackupWithLogs tRPC subscription builds database restore shell pipelines from the user-controlled databaseName and backupFile fields without safely separating them from shell syntax. packages/server/src/utils/restore/utils.ts interpolates databaseName into database-specific restore commands, while pa…
nvdcriticovulnerabilidad CVSS 9.9 NVD
M Crítico vulnerabilidad
10/08/2026
Vulnerabilidad crítica de inyección de comandos OS en crontab-ui permite ejecución remota sin autenticación
crontab-ui versión 0.4.2 y anteriores contiene una vulnerabilidad de inyección de comandos del sistema operativo (CVSS 9.8) que permite a atacantes remotos no autenticados ejecutar comandos arbitrarios mediante la importación de archivos de base de datos .db manipulados en el endpoint POST /import. El endpoint acepta archivos sin validación y sobrescribe la base de datos de la aplicación, afectando potencialmente servidores de producción en infraestructuras críticas de empresas en México y Latinoamérica que utilizan esta herramienta para gestión de tareas programadas.
nvdcriticovulnerabilidad CVSS 9.8 NVD
M Crítico vulnerabilidad
10/08/2026
Inyección de comandos OS en crontab-ui v0.4.2 permite ejecución remota sin autenticación
Una vulnerabilidad crítica de inyección de comandos en crontab-ui afecta todas las versiones hasta la 0.4.2, permitiendo a atacantes no autenticados inyectar trabajos cron arbitrarios mediante solicitudes GET manipuladas al parámetro env_vars. Esta exposición es de alto riesgo para empresas en LATAM que usan este componente en infraestructuras de automatización, facilitando compromiso de servidores, exfiltración de datos y movimiento lateral en redes corporativas.
nvdcriticovulnerabilidad CVSS 9.8 NVD
M Crítico vulnerabilidad
10/08/2026
Vulnerabilidad crítica de autenticación en phpfm 1.8.0 permite acceso no autorizado al sistema de archivos
phpfm versión 1.8.0 y anteriores contiene una vulnerabilidad de autenticación faltante que permite a atacantes remotos sin credenciales acceder completamente al gestor de archivos del servidor. Los atacantes pueden leer, escribir, eliminar y cargar archivos en cualquier parte del sistema de archivos, comprometiendo la integridad y confidencialidad de datos críticos. Esta vulnerabilidad afecta directamente a empresas en LATAM que utilizan esta herramienta para administración de servidores web.
nvdcriticovulnerabilidad CVSS 9.8 NVD

📬 Alertas semanales SI directo en tu email

Las vulnerabilidades más críticas para LATAM, con contexto y recomendaciones accionables. Gratis.

Suscribirme →
M Crítico vulnerabilidad
09/08/2026
Vulnerabilidad crítica de inyección de comandos en router MSI Radix AXE6600 (CVE-2026-71990)
El firmware v781521 del router MSI Radix AXE6600 contiene una vulnerabilidad de inyección de comandos en la función TelnetSSH que permite a atacantes remotos ejecutar comandos arbitrarios y obtener privilegios root. Afecta principalmente a empresas en LATAM que utilizan estos equipos como puntos de acceso corporativo o puntos de convergencia de red. La explotación no requiere autenticación previa, facilitando ataques desde Internet público.
nvdcriticovulnerabilidad CVSS 9.8 NVD
M Crítico vulnerabilidad
09/08/2026
Vulnerabilidad crítica de inyección de comandos en router MSI Radix AXE6600 (CVE-2026-71991)
El firmware v781521 del router MSI Radix AXE6600 contiene una vulnerabilidad de inyección de comandos en la función TelnetSSH que permite a atacantes remotos ejecutar comandos arbitrarios y obtener privilegios root. Esta falla afecta directamente a empresas en LATAM que usan este equipamiento en infraestructuras de red crítica, perímetro corporativo o conexiones de sucursales. El CVSS 9.8 indica riesgo crítico con alta probabilidad de explotación remota sin autenticación.
nvdcriticovulnerabilidad CVSS 9.8 NVD
M Crítico vulnerabilidad
09/08/2026
Vulnerabilidad crítica de inyección de comandos en router MSI Radix AXE6600 (CVE-2026-71986)
El firmware v781521 del router MSI Radix AXE6600 contiene una vulnerabilidad de inyección de comandos en la función DMZ que permite a atacantes remotos ejecutar comandos arbitrarios y obtener privilegios de root. Esta vulnerabilidad afecta directamente a pequeñas y medianas empresas en LATAM que utilizan este equipo como puerta de enlace de red, exponiendo la infraestructura interna a compromisos graves sin necesidad de autenticación.
nvdcriticovulnerabilidad CVSS 9.8 NVD
M Crítico vulnerabilidad
09/08/2026
Vulnerabilidad crítica de inyección de comandos en router MSI Radix AXE6600 (CVE-2026-71988)
El router MSI Radix AXE6600 versión de firmware v781521 contiene una vulnerabilidad de inyección de comandos en la función portFw que permite a atacantes remotos ejecutar comandos arbitrarios y obtener privilegios root. Esta vulnerabilidad afecta principalmente a PyMEs y empresas con infraestructura de red basada en equipos de consumo de gama media, comprometiendo la integridad de redes corporativas en México y LATAM. El CVSS 9.8 indica riesgo crítico sin requerir autenticación previa.
nvdcriticovulnerabilidad CVSS 9.8 NVD
M Crítico vulnerabilidad
08/08/2026
[CVE-2026-71958] D-Link DWR-M961 devices with hardware version C1 and software version 1.1.2_C1_202602110044 contain …
D-Link DWR-M961 devices with hardware version C1 and software version 1.1.2_C1_202602110044 contain a buffer overflow vulnerability in the quicksetup.cgi interface. A remote attacker can write overly long strings to the test4, ssid2, and username fields and execute arbitrary commands by crafting a specific payload, or cause the device to crash.
nvdcriticovulnerabilidad CVSS 9.8 NVD
M Crítico vulnerabilidad
07/08/2026
Vulnerabilidad crítica en OpenYak permite ejecución de código remoto desde navegadores web
OpenYak, un runtime local para modelos de IA con herramientas integradas, presenta una vulnerabilidad crítica (CVSS 9.6) en versiones anteriores a 1.1.3. El backend del escritorio expone una API HTTP sin validación de origen, autenticación de loopback ni enforcement de Content-Type, con política CORS abierta. Cualquier página web visitada mientras OpenYak se ejecuta puede ejecutar comandos arbitrarios en el sistema local, comprometiendo completamente la máquina del usuario.
nvdcriticovulnerabilidad CVSS 9.6 NVD
M Crítico vulnerabilidad
07/08/2026
[CVE-2026-48039] Meta Ads MCP is a Model Context Protocol (MCP) server that lets AI assistants run Meta Ads. Prior to…
Meta Ads MCP is a Model Context Protocol (MCP) server that lets AI assistants run Meta Ads. Prior to version 1.0.109, `AuthInjectionMiddleware.dispatch()` at `http_auth_integration.py:272` unconditionally forwards unauthenticated Streamable HTTP requests to downstream MCP tool handlers without issuing a `401` response, allowing any network-reachable caller to invoke MCP tools without authenticatio…
nvdcriticovulnerabilidad CVSS 9.1 NVD
M Crítico vulnerabilidad
07/08/2026
[CVE-2026-19264] Postiz is an open-source social media scheduling tool. The route that serves locally stored media jo…
Postiz is an open-source social media scheduling tool. The route that serves locally stored media joins URL-supplied path segments onto the upload directory and streams the file without normalising the path or confining it to that directory, and the route requires no authentication. Raw dot-segments are collapsed before routing, but URL-encoded separators survive route matching and are decoded onl…
nvdcriticovulnerabilidad CVSS 9.8 NVD

🛡 ¿Estás expuesto a alguna de estas vulnerabilidades?

Evaluación gratuita inicial con el equipo 2MCI: identifica exposición y plan de remediación.

Habla con un experto →
M Crítico vulnerabilidad
07/08/2026
[CVE-2026-16258] The Ajax Search Lite WordPress plugin before 4.14.5 does not prevent the deserialization of untrust…
The Ajax Search Lite WordPress plugin before 4.14.5 does not prevent the deserialization of untrusted input, allowing unauthenticated attackers to perform PHP Object Injection. When a suitable POP chain is present via another installed Ajax Search Lite WordPress plugin before 4.14.5 or , this can be leveraged to achieve Remote Code Execution.
nvdcriticovulnerabilidad CVSS 9.8 NVD
M Crítico vulnerabilidad
06/08/2026
[CVE-2026-67622] Flowise through 3.1.4 contains an insecure direct object reference vulnerability in the OpenAI Assis…
Flowise through 3.1.4 contains an insecure direct object reference vulnerability in the OpenAI Assistants integration that allows authenticated attackers to access credentials belonging to other workspaces by supplying an arbitrary credential UUID to Assistants endpoints without workspace ownership verification. Attackers can enumerate cross-workspace assistant metadata, retrieve file and vector s…
nvdcriticovulnerabilidad CVSS 9.9 NVD
M Crítico vulnerabilidad
06/08/2026
[CVE-2026-3418] The System REST API accepts user-supplied file uploads without enforcing sufficient validation on th…
The System REST API accepts user-supplied file uploads without enforcing sufficient validation on the file type or destination, allowing files to be written to arbitrary server-accessible locations. Exploitation requires authenticated administrative access with publisher privileges. Successful exploitation permits an authenticated publisher to upload files to server-accessible locations. Dependin…
nvdcriticovulnerabilidad CVSS 9.1 NVD
M Crítico vulnerabilidad
06/08/2026
[CVE-2026-14812] The Premium SEO WordPress plugin is malicious: it ships an unauthenticated backdoor that creates a h…
The Premium SEO WordPress plugin is malicious: it ships an unauthenticated backdoor that creates a hidden administrator account and, in some builds, also enables remote code execution, server-side request forgery and arbitrary front-end script/content injection, giving an unauthenticated attacker full control of the affected site.
nvdcriticovulnerabilidad CVSS 10.0 NVD
M Crítico vulnerabilidad
06/08/2026
[CVE-2026-65556] Unauthenticated PHP Object Injection in WPBruiser {no- Captcha anti-Spam} <= 3.1.43 versions.
Unauthenticated PHP Object Injection in WPBruiser {no- Captcha anti-Spam}
nvdcriticovulnerabilidad CVSS 9.8 NVD