Seguridad de la Información

Alertas de Seguridad de la Información

Vulnerabilidades explotadas activamente, incidentes y análisis relevantes para México y LATAM. Actualizado automáticamente desde fuentes oficiales.

48 vulnerabilidades en CISA KEV — explotación activa confirmada Ver todas →

Última alerta publicada ahora mismo

Buscando: "Ui" — 150 resultados ✕ Limpiar búsqueda

13,509

Total alertas

3066

Críticas

10171

Altas

8

Ransomware

1810

Esta semana

RSS

Crítica × 30 días × Limpiar todo ×

M Crítico vulnerabilidad

Vulnerabilidad crítica de inyección de objetos PHP en plugin WS Form LITE para WordPress

El plugin WS Form LITE (versiones hasta 1.10.80) para WordPress contiene una vulnerabilidad de inyección de objetos PHP (CVE-2026-4703, CVSS 9.8) que permite a atacantes no autenticados inyectar objetos maliciosos a través de la deserialización de datos en envíos de formularios. Este riesgo afecta directamente a miles de sitios WordPress en México y Latinoamérica que utilizan este constructor de formularios, exponiendo datos sensibles de contacto y potencialmente comprometiendo la integridad del servidor.

M Crítico vulnerabilidad

[CVE-2026-76904] GeoTools is an open source Java library that provides tools for geospatial data. Starting in version…

GeoTools is an open source Java library that provides tools for geospatial data. Starting in version 30.5 and prior to versions 33.6, 34.5, and 33.6, an SQL Injection Vulnerability is present when executing OGC Filters with PostGIS DataStore implementation: `jsonArrayContains` function; Requires PostGIS 12 or greater with a String or JSON field. For PostGIS 12 and greater `jsonArrayContains(

M Crítico vulnerabilidad

[CVE-2026-62283] Nezha Monitoring is a self-hostable, lightweight, servers and websites monitoring and O&M tool. Nezh…

Nezha Monitoring is a self-hostable, lightweight, servers and websites monitoring and O&M tool. Nezha versions 1.14.13 through 1.14.14 and 2.0.0 through 2.0.9 do not bind stream identifiers created by CreateStream in service/rpc/io_stream.go to their creating user, and `GET /ws/terminal/:id` and `GET /ws/file/:id` only check whether the supplied UUID exists. An authenticated RoleMember who obtains…

M Crítico vulnerabilidad

[CVE-2026-48750] Incus is a system container and virtual machine manager. Prior to version 7.2.0, the `record-output`…

Incus is a system container and virtual machine manager. Prior to version 7.2.0, the `record-output` parameter of the `/instances/$name/exec` endpoint stores the output of the command in the `exec-output` directory of the instance. If `exec-output` is a symlink, file named `exec_UUID.stdout` and `exec_UUID.stderr` can be written to an arbitrary location where the `.stdout` file will contain arbitr…

M Crítico vulnerabilidad

Vulnerabilidad crítica en SiYuan anterior a v3.7.4 permite traversal de directorios

SiYuan anterior a la versión 3.7.4 no valida correctamente el parámetro packageName en los endpoints de instalación y desinstalación de Bazaar, permitiendo que administradores autenticados ejecuten ataques de traversal de directorios. Un atacante con acceso administrativo puede escribir archivos arbitrarios en cualquier ubicación del sistema o eliminar directorios recursivamente mediante valores crafted en packageName, afectando potencialmente datos críticos en servidores y estaciones de trabajo en LATAM.

M Crítico vulnerabilidad

Inyección de comandos crítica en Comfast CF-N1-S 2.6.0.1 (CVE-2026-77683)

Se ha descubierto una vulnerabilidad crítica (CVSS 9.9) en el router Comfast CF-N1-S versión 2.6.0.1 que permite inyección de comandos remotos a través del parámetro timestr en la función /cgi-bin/mbox-config. Un atacante puede ejecutar comandos del sistema sin autenticación. El exploit está disponible públicamente, incrementando el riesgo de explotación inmediata en infraestructuras de pequeña y mediana empresa en LATAM que utilizan este equipo.

M Crítico vulnerabilidad

Vulnerabilidad crítica en crate arrayref 0.3.10 de Rust permite ejecución de código malicioso

La librería arrayref versión 0.3.10 para Rust contiene una dependencia comprometida que ejecuta código malicioso durante la compilación de proyectos. El ataque se activa al compilar cualquier proyecto que incluya esta versión vulnerable, permitiendo a atacantes acceso no autorizado a sistemas de desarrollo y compilación en empresas LATAM. Afecta directamente pipelines CI/CD y entornos de trabajo remoto.

📬 Alertas semanales SI directo en tu email

Las vulnerabilidades más críticas para LATAM, con contexto y recomendaciones accionables. Gratis.

Suscribirme →

M Crítico vulnerabilidad

Vulnerabilidad crítica en crate internment 0.8.7 de Rust permite ejecución remota de código

La versión 0.8.7 del crate internment para Rust contiene una dependencia maliciosa que se ejecuta durante la compilación de proyectos, permitiendo a atacantes ejecutar código arbitrario en los servidores de desarrollo. Esto afecta directamente a equipos de DevOps y desarrolladores en LATAM que usan Rust en pipelines CI/CD. El riesgo es crítico (CVSS 9.8) ya que comprometería servidores de compilación y podría contaminar binarios distribuidos.

M Crítico vulnerabilidad

Vulnerabilidad crítica en crate append-only-vec 0.1.9 de Rust permite ejecución remota de código

La dependencia maliciosa incluida en append-only-vec 0.1.9 ejecuta código arbitrario durante la compilación de proyectos Rust, estableciendo conexión con servidores de control remoto. Afecta directamente a desarrolladores y pipelines CI/CD en empresas de tecnología, fintech y servicios en LATAM que utilizan este componente. El CVSS 9.8 refleja acceso sin autenticación y control total del sistema comprometido.

M Crítico vulnerabilidad

[CVE-2026-73256] Mongoose is an embedded web server and network library. Prior to 7.22, a remote unauthenticated atta…

Mongoose is an embedded web server and network library. Prior to 7.22, a remote unauthenticated attacker can exploit an HTTP/1.0 reverse-proxy deployment by sending a request with Transfer-Encoding: chunked and conflicting framing. The http_cb() function in src/http.c tests hm.proto.len with an impossible greater-than-eight condition even though mg_http_parse() requires an eight-byte protocol stri…

M Crítico vulnerabilidad

[CVE-2026-18265] OSNEXUS QuantaStor Missing Authentication Remote Code Execution Vulnerability. This vulnerability al…

OSNEXUS QuantaStor Missing Authentication Remote Code Execution Vulnerability. This vulnerability allows remote attackers to execute arbitrary code on affected installations of OSNEXUS QuantaStor. Authentication is not required to exploit this vulnerability. The specific flaw exists within the configuration of Kapacitor. The issue results from the lack of authentication prior to allowing access t…

M Crítico vulnerabilidad

Inyección SQL sin autenticación en Directory Pro <= 2.5.8

Se ha identificado una vulnerabilidad crítica de inyección SQL sin autenticación en Directory Pro versión 2.5.8 y anteriores (CVSS 9.3), que permite a atacantes ejecutar comandos SQL arbitrarios contra bases de datos expuestas. Esta vulnerabilidad afecta directamente a empresas en México y Latinoamérica que utilicen este software para gestionar directorios corporativos, comprometiendo la confidencialidad e integridad de datos sensibles. El riesgo es crítico dado que no requiere credenciales para su explotación.

M Crítico vulnerabilidad

[CVE-2026-13097] A privilege escalation flaw was found in FreeIPA. The uniqueness constraint enforced on Kerberos pri…

A privilege escalation flaw was found in FreeIPA. The uniqueness constraint enforced on Kerberos principal name attributes in the 389-ds directory server does not properly account for equivalent representations of the same principal name, allowing a user with sufficient LDAP write privileges to create a service principal that impersonates an existing privileged one. This can lead to unauthorized a…

M Crítico vulnerabilidad

[CVE-2026-53546] Termix is a web-based server management platform with SSH terminal, tunneling, and file editing capa…

Termix is a web-based server management platform with SSH terminal, tunneling, and file editing capabilities. Prior to 2.3.2, the terminal WebSocket accepts a user-controlled hostConfig.id and src/backend/ssh/host-resolver.ts resolves that host without requiring ownership or explicit access. When no credential is shared with the requester, resolveHostById performs an owner credential fallback, and…

M Crítico vulnerabilidad

[CVE-2026-55089] Etherpad is a real-time collaborative editor. From 2.1.0 until 3.1.0, Etherpad's src/node/handler/AP…

Etherpad is a real-time collaborative editor. From 2.1.0 until 3.1.0, Etherpad's src/node/handler/APIHandler.ts authorizes requests to /api/2/* in the authorization_code OAuth path by using requiredClaims with the admin claim. This check requires only that the claim exists, while src/node/security/OAuth2Provider.ts issues admin: false for configured non-admin users. A non-admin user with a valid s…

🛡 ¿Estás expuesto a alguna de estas vulnerabilidades?

Evaluación gratuita inicial con el equipo 2MCI: identifica exposición y plan de remediación.

Habla con un experto →

M Crítico vulnerabilidad

[CVE-2026-70496] A flaw was found in search-v2-operator. The operator's ClusterRole has permissions equivalent to a c…

A flaw was found in search-v2-operator. The operator's ClusterRole has permissions equivalent to a cluster administrator, allowing it to impersonate other entities, write Role-Based Access Control (RBAC) configurations, approve Certificate Signing Requests (CSRs), and manage ManifestWork. This grants excessive privileges beyond what is necessary for the operator's intended function, potentially le…

M Crítico vulnerabilidad

[CVE-2026-71960] Cudy WR3000 2.0 running firmware before 2.5.24 contains a hard-coded JWT HMAC signing secret vulnera…

Cudy WR3000 2.0 running firmware before 2.5.24 contains a hard-coded JWT HMAC signing secret vulnerability in the Mosquitto MQTT broker's authentication plugin that allows unauthenticated attackers to forge valid JWT tokens by extracting the secret from the firmware image. Attackers can use the extracted secret to craft arbitrary JWT tokens and authenticate to the MQTT broker without legitimate cr…

M Crítico vulnerabilidad

[CVE-2026-53451] Ground Station is a browser-based suite for satellite tracking, SDR reception, hardware control, and…

Ground Station is a browser-based suite for satellite tracking, SDR reception, hardware control, and telemetry decoding. Prior to version 0.4.13, the unauthenticated save-waterfall-snapshot Socket.IO command passes attacker-controlled snapshotName input from backend/handlers/entities/sdr.py to backend/server/snapshots.py, where os.path.join permits an absolute path or parent-directory traversal an…

M Crítico vulnerabilidad

[CVE-2026-18051] The W3 Total Cache WordPress plugin before 2.10.5 does not properly validate the request path it use…

The W3 Total Cache WordPress plugin before 2.10.5 does not properly validate the request path it uses to build cache file names, allowing unauthenticated attackers to write a file into any existing directory on the server, inside or outside the web root, overwriting whatever occupies the target name. On Apache, the same flaw overwrites the site's .htaccess files, which breaks the site and can stri…

M Crítico vulnerabilidad

Vulnerabilidad crítica de desbordamiento de búfer en UTT HiPER 1200GW hasta versión 2.5.3-170306

Se ha identificado una debilidad en los equipos UTT HiPER 1200GW (versiones hasta 2.5.3-170306) que permite un desbordamiento de búfer basado en pila mediante manipulación remota del parámetro 'timestart' en la función strcpy del archivo /goform/formGroupConfig. Con puntuación CVSS 9.9, este dispositivo ampliamente utilizado en redes corporativas de LATAM como gateway de seguridad es vulnerable a ejecución remota de código. El exploit está disponible públicamente, elevando significativamente el riesgo de compromiso.

1 2 3 … 8 Siguiente →