Alertas de Seguridad de la Información

A vulnerability has been identified in Simcenter Femap (All versions < V2606.0001). The affected applications contains an out of bounds read vulnerability while parsing specially crafted BMP files. This could allow an attacker to execute code in the context of the current process.

A vulnerability has been identified in Solid Edge SE2025 (All versions < V225.0 Update 15), Solid Edge SE2026 (All versions < V226.0 Update 7). The affected applications contains an out of bounds read vulnerability while parsing specially crafted DFT files. This could allow an attacker to execute code in the context of the current process.

A vulnerability has been identified in Solid Edge SE2025 (All versions < V225.0 Update 15), Solid Edge SE2026 (All versions < V226.0 Update 7). The affected applications contains an out of bounds write vulnerability while parsing specially crafted DFT files. This could allow an attacker to execute code in the context of the current process.

A vulnerability has been identified in Solid Edge SE2025 (All versions < V225.0 Update 15), Solid Edge SE2026 (All versions < V226.0 Update 7). The affected applications contain a use-after-free vulnerability that could be triggered while parsing specially crafted DFT files. This could allow an attacker to execute code in the context of the current process.

A vulnerability has been identified in Solid Edge SE2025 (All versions < V225.0 Update 15), Solid Edge SE2026 (All versions < V226.0 Update 7). The affected applications contain a use-after-free vulnerability that could be triggered while parsing specially crafted DFT files. This could allow an attacker to execute code in the context of the current process.

A vulnerability has been identified in Solid Edge SE2025 (All versions < V225.0 Update 15), Solid Edge SE2026 (All versions < V226.0 Update 7). The affected applications contains an out of bounds read vulnerability while parsing specially crafted PAR files. This could allow an attacker to execute code in the context of the current process.

A vulnerability has been identified in Solid Edge SE2025 (All versions < V225.0 Update 15), Solid Edge SE2026 (All versions < V226.0 Update 7). The affected applications contains an out of bounds read vulnerability while parsing specially crafted PAR files. This could allow an attacker to execute code in the context of the current process.

A vulnerability has been identified in Solid Edge SE2025 (All versions < V225.0 Update 15), Solid Edge SE2026 (All versions < V226.0 Update 7). The affected applications contains an out of bounds write vulnerability while parsing specially crafted PSM files. This could allow an attacker to execute code in the context of the current process.

Koha versiones 24.11.17, 25.05.12, 25.11.06 y 26.05.01 contiene una vulnerabilidad de inyección SQL en el módulo de adquisiciones (acqui/parcels.pl) que permite a personal autenticado con permisos de recepción de órdenes leer contenido arbitrario de la base de datos manipulando el parámetro 'orderby'. Esta exposición afecta directamente a bibliotecas, instituciones educativas y organismos públicos en LATAM que gestionan inventarios bibliográficos mediante Koha.

Idurar IDURAR ERP CRM versión 4.1.0 contiene una vulnerabilidad de control de acceso roto que permite a atacantes no autenticados descargar archivos PDF de facturas con información personal de clientes a través de la ruta /download sin credenciales. Los atacantes pueden enumerar identificadores de MongoDB para acceder a cualquier factura del sistema. Este riesgo es alta para pymes en México y Latinoamérica que procesan datos fiscales y de clientes a través de esta plataforma de gestión empresarial.

CSZ CMS 1.3.2 contiene una vulnerabilidad de control de acceso defectuoso que permite a atacantes no autenticados acceder a todos los envíos de formularios de contacto, incluyendo información de identificación personal. El endpoint del visor de envíos carece de validación de autenticación y el framework falla en modo abierto. Empresas en México y LATAM que utilizan esta versión exponen datos de clientes, proveedores y contactos sin necesidad de credenciales.

Se reporta una vulnerabilidad de traversal de directorios (CVE-2026-72602, CVSS 7.5) en AsyncFuncAI deepwiki-open que permite a atacantes remotos sin autenticación enumerar la estructura de directorios del servidor a través del endpoint local-repository. El problema existe porque WIKI_AUTH_MODE está deshabilitado por defecto, exponiendo rutas arbitrarias del sistema de archivos. Empresas en LATAM que usen esta herramienta de wikis abiertas enfrentan riesgo de exposición de información sensible y reconocimiento del sistema.

Una vulnerabilidad crítica en wg-easy 15.3.0 permite a usuarios con permiso clients.create ejecutar comandos arbitrarios como root mediante inyección de directivas WireGuard malformadas en el campo de nombre del cliente. El software no sanitiza caracteres de salto de línea en la configuración, exponiendo servidores VPN corporativos en LATAM que utilicen esta herramienta de gestión. El acceso requerido es limitado, pero el impacto potencial es total compromiso del sistema.

Swing Music 3.0.0 contiene una vulnerabilidad alta (CVSS 7.5) que permite a atacantes no autenticados crear cuentas de usuario arbitrarias mediante el endpoint POST /auth/profile/create, que está exento de verificación JWT. Un atacante puede registrar una cuenta y acceder a funcionalidades protegidas del servidor, comprometiendo datos y servicios en infraestructuras de empresas en México y LATAM que ejecuten esta versión.

Pinry versión 2.1.13 y anteriores contiene una vulnerabilidad de Server-Side Request Forgery (SSRF) que permite a atacantes no autenticados forzar al servidor a realizar solicitudes HTTP a hosts internos o externos arbitrarios mediante la función de importar pines por URL. La vulnerabilidad existe porque la URL proporcionada por el usuario se pasa directamente a requests.get() sin validación de host o IP, y el registro de nuevos usuarios está habilitado por defecto, permitiendo activación anónima del exploit. Esto afecta principalmente a plataformas de gestión de contenido visual en entornos empresariales y educativos de LATAM.

Una vulnerabilidad de inyección SQL almacenada afecta Koha versiones 24.11.17, 25.05.12, 25.11.06 y 26.05.01. Personal autenticado con permisos de modificación masiva de ítems puede ejecutar consultas SQL arbitrarias almacenando payloads en reglas automáticas, comprometiendo la confidencialidad de datos en sistemas bibliotecarios. Bibliotecas, instituciones educativas y organismos públicos en LATAM que usan Koha están potencialmente expuestos.

Se ha identificado una vulnerabilidad de inyección SQL (CVE-2026-72562) en Pimcore admin-ui-classic-bundle versión 2.3 y anteriores que permite a usuarios autenticados ejecutar comandos SQL arbitrarios a través del filtro de columna ID en la grilla DataObject. Un atacante con acceso al backend puede exfiltrar, modificar o eliminar bases de datos completas sin validación paramétrica. Esto afecta especialmente a medianas y grandes empresas en LATAM que utilizan Pimcore para gestión de activos digitales y catálogos de productos.

Una falla de control de acceso en BadChoice Handesk (desde 2026-07-10) permite que cualquier agente autenticado sobrescriba registros de clientes potenciales de otros equipos mediante el endpoint LeadsController@update sin validación de autorización. Los atacantes internos pueden modificar masivamente datos de leads, comprometiendo procesos de ventas y CRM en empresas de México y LATAM que usen esta plataforma. El riesgo es alta (CVSS 8.1) en organizaciones con múltiples equipos de ventas compartiendo la instancia.

BadChoice Handesk presenta una falla de control de acceso (CVSS 8.1) que permite a cualquier agente autenticado modificar, escalar o corromper tickets asignados a otros equipos a través del endpoint TicketsController@update. El endpoint carece de validación de autorización y no verifica la propiedad de los registros por equipo, exponiendo la integridad operativa de centros de soporte en LATAM que utilicen esta plataforma.

Una falla en el control de acceso en Ghost Foundation Ghost 5.x permite que usuarios autenticados con rol de Autor eliminen posts de otros usuarios debido a una validación incompleta en la función permissible() del modelo de posts. Empresas que usan Ghost para gestión de contenido editorial en LATAM están expuestas a pérdida o sabotaje de contenido por parte de usuarios internos con credenciales comprometidas. El impacto es elevado (CVSS 8.1) en entornos multiautor con equipos editoriales distribuidos.