Alertas de Seguridad de la Información

M Alto vulnerabilidad

22/09/2026

[CVE-2026-24267] NVIDIA NeMo Speech for all platforms contains a vulnerability in the speech data explorer component,…

NVIDIA NeMo Speech for all platforms contains a vulnerability in the speech data explorer component, where malicious data created by an attacker could cause remote code execution. A successful exploit of this vulnerability might lead to code execution, escalation of privileges, information disclosure, and data tampering.

nvdaltovulnerabilidad CVSS 7.8 NVD

M Crítico vulnerabilidad

22/09/2026

[CVE-2026-95675] D-Link DAP-1360 firmware version 6.14 and earlier contains an unauthenticated remote code execution …

D-Link DAP-1360 firmware version 6.14 and earlier contains an unauthenticated remote code execution vulnerability that allows remote attackers to execute arbitrary commands as root by sending crafted requests to the device's web management interface without valid credentials. Attackers can fully compromise the device to persistently modify its configuration and use it as a pivot point into the loc…

nvdcriticovulnerabilidad CVSS 9.8 NVD

M Alto vulnerabilidad

22/09/2026

[CVE-2026-95499] A flaw has been found in JosephChuks php-file-manager-with-code-editor up to 3.0. This issue affects…

A flaw has been found in JosephChuks php-file-manager-with-code-editor up to 3.0. This issue affects the function move_uploaded_file of the file filemanager.php. Executing a manipulation of the argument files can lead to unrestricted upload. The attack can be executed remotely. The vendor was contacted early about this disclosure but did not respond in any way.

nvdaltovulnerabilidad CVSS 7.3 NVD

M Alto vulnerabilidad

22/09/2026

[CVE-2026-95271] A vulnerability has been found in dgtlmoon changedetection.io up to 0.60.7. The impacted element is …

A vulnerability has been found in dgtlmoon changedetection.io up to 0.60.7. The impacted element is the function check_authentication of the file changedetectionio/flask_app.py of the component Authentication Hook. Such manipulation leads to improper authentication. The attack may be performed from remote. The exploit has been disclosed to the public and may be used. The vendor was contacted early…

nvdaltovulnerabilidad CVSS 7.3 NVD

M Crítico vulnerabilidad

22/09/2026

[CVE-2026-93616] A directory traversal and file upload vulnerability allows an unauthenticated attacker to upload and…

A directory traversal and file upload vulnerability allows an unauthenticated attacker to upload and execute arbitrary scripts on Check Point Management Server.

nvdcriticovulnerabilidad CVSS 9.8 NVD

M Crítico vulnerabilidad

22/09/2026

Vulnerabilidad crítica de ejecución remota de código en Zohocorp ManageEngine ADSelfService Plus (CVE-2026-74849)

Zohocorp ManageEngine ADSelfService Plus en versiones anteriores a la build 7001 presenta una vulnerabilidad de ejecución remota de código (RCE) con CVSS 9.8 en el cliente GINA. Esta falla permite a atacantes ejecutar comandos arbitrarios sin autenticación previa, afectando principalmente a empresas en LATAM que utilizan esta solución para gestión de identidades y acceso en entornos Active Directory. El impacto es crítico en infraestructuras de TI medianas y grandes.

nvdcriticovulnerabilidad CVSS 9.8 NVD

M Alto vulnerabilidad

22/09/2026

Inyección SQL ciega en HashBar WordPress Notification Bar (CVE-2026-94117)

Se detectó una vulnerabilidad alta de inyección SQL en el plugin HashBar para WordPress (versiones hasta 2.0.3) que permite a atacantes ejecutar consultas SQL no autorizadas contra bases de datos de sitios web. Esta vulnerabilidad afecta especialmente a pequeñas y medianas empresas en LATAM que utilizan WordPress con plugins de barras de notificación para campañas de marketing. Un atacante podría extraer datos sensibles, modificar registros o acceder a credenciales de administrador sin requiere autenticación previa.

nvdaltovulnerabilidad CVSS 7.6 NVD

M Alto vulnerabilidad

22/09/2026

Escalada de privilegios por configuración débil en proceso de extracción de paquetes (CVE-2026-25264)

Se ha identificado una vulnerabilidad alta (CVSS 8.8) que permite escalada de privilegios mediante una configuración insegura durante la extracción de paquetes en múltiples productos. Esta vulnerabilidad afecta sistemas de distribución de software, contenedores y plataformas de despliegue comúnmente usadas en infraestructuras de empresas mexicanas y latinoamericanas. Un atacante podría obtener privilegios elevados en sistemas vulnerables durante procesos automatizados de actualización o instalación de dependencias.

nvdaltovulnerabilidad CVSS 8.8 NVD

M Alto vulnerabilidad

22/09/2026

Escalada de privilegios por configuración débil en manejo de archivos temporales (CVE-2026-25265)

Vulnerabilidad de severidad alta (CVSS 8.8) afecta múltiples productos debido a configuración insegura durante el manejo de archivos temporales, permitiendo a atacantes locales elevar privilegios. En entornos LATAM, esto impacta servidores con acceso multiusuario en empresas, proveedores de cloud y centros de datos. La explotación requiere acceso local pero compromete la integridad de sistemas altas.

nvdaltovulnerabilidad CVSS 8.8 NVD

M Crítico vulnerabilidad

22/09/2026

CVE-2026-25254: Autorización deficiente permite Ejecución Remota de Código vía SocketIO

Una vulnerabilidad crítica (CVSS 9.8) en la interfaz SocketIO de múltiples productos permite a atacantes ejecutar código remoto explotando controles de autorización inadecuados. Este vector afecta principalmente servidores web y aplicaciones en tiempo real expuestas en LATAM. La exposición es inmediata si los sistemas están conectados a internet sin restricciones de acceso.

nvdcriticovulnerabilidad CVSS 9.8 NVD

M Alto vulnerabilidad

22/09/2026

Escalada de privilegios alta en servidores gRPC mediante función expuesta

Una función peligrosamente expuesta en servidores gRPC permite a atacantes escalar privilegios localmente (CVSS 8.8). Afecta múltiples proveedores y plataformas de microservicios comúnmente desplegadas en infraestructuras cloud de empresas latinoamericanas. Sin parches inmediatos, expone sistemas de APIs, orquestación de contenedores y aplicaciones distribuidas.

nvdaltovulnerabilidad CVSS 8.8 NVD

M Alto vulnerabilidad

22/09/2026

Desbordamiento de búfer en libslirp afecta hosts con DHCPv6 y TFTP

Se identificó un desbordamiento de búfer basado en heap en los constructores de respuesta DHCPv6 y TFTP de libslirp. Cuando el host está configurado con MTU pequeño, las opciones CLIENTID DHCPv6 o blksize TFTP suministradas por el guest pueden desbordar el búfer de respuesta con contenido controlado por atacante, resultando en negación de servicio y potencial ejecución remota de código en el proceso host. Esta vulnerabilidad afecta infraestructuras de virtualización en data centers y ambientes cloud en LATAM.

nvdaltovulnerabilidad CVSS 7.4 NVD

M Alto vulnerabilidad

22/09/2026

Vulnerabilidad alta de escalada de privilegios en CUPS y cups-filters

Se identificó una vulnerabilidad de escalada de privilegios (CVSS 8.2) en CUPS cuando se utiliza con el backend serial de cups-filters. Un usuario local miembro del grupo lpadmin puede configurar una impresora con backend serial privilegiado para escribir datos arbitrarios en cualquier archivo del sistema con permisos de root. Esta falla afecta especialmente a infraestructuras de impresión compartida en empresas medianas y grandes en México y Latinoamérica.

nvdaltovulnerabilidad CVSS 8.2 NVD

M Alto vulnerabilidad

22/09/2026

Vulnerabilidad alta de inclusión de archivos en WP Travel Engine hasta v6.8.0

El plugin WP Travel Engine para WordPress es vulnerable a Local File Inclusion (LFI) en versiones anteriores a 6.8.0, permitiendo a atacantes autenticados con acceso de colaborador ejecutar archivos PHP arbitrarios en el servidor. Esta vulnerabilidad afecta directamente a agencias de viajes y operadores turísticos en LATAM que utilizan WordPress para gestionar reservas y consultas de tours, comprometiendo la integridad del servidor y datos de clientes.

nvdaltovulnerabilidad CVSS 7.5 NVD

M Alto vulnerabilidad

22/09/2026

Vulnerabilidad de bypass de autenticación en Taxi Booking Manager for WooCommerce

Taxi Booking Manager for WooCommerce (versiones anteriores a 2.0.8) contiene una vulnerabilidad de bypass de autenticación que permite a atacantes eludir controles de acceso mediante canales alternativos. Esto afecta directamente a agencias de transporte y plataformas de reserva en LATAM que utilizan este plugin, exponiendo datos de clientes y operaciones de negocio. El CVSS 7.3 indica alto riesgo de explotación remota sin autenticación previa.

nvdaltovulnerabilidad CVSS 7.3 NVD

M Crítico vulnerabilidad

22/09/2026

Vulnerabilidad crítica en VeloCloud Orchestrator (VCO) on-prem permite acceso remoto no autorizado

VeloCloud Orchestrator (VCO) on-prem contiene una vulnerabilidad crítica (CVSS 10.0) que permite a atacantes remotos acceder a funcionalidades internas privilegiadas y comprometer la integridad del orquestador. La explotación exitosa impacta confidencialidad, integridad y disponibilidad de datos gestionados. Versiones hosted y dedicadas fueron afectadas, con implicaciones directas para proveedores de conectividad SD-WAN en México y LATAM que dependen de VCO para operaciones críticas.

nvdcriticovulnerabilidad CVSS 10.0 NVD

M Alto vulnerabilidad

22/09/2026

Vulnerabilidad XSS almacenado alta en plugin WP Yelp Review Slider (CVE-2026-93778)

El plugin WP Yelp Review Slider para WordPress en versiones hasta 9.2 presenta una vulnerabilidad de Cross-Site Scripting (XSS) almacenado que permite a atacantes no autenticados inyectar scripts maliciosos a través del texto de reseñas de Yelp importadas. La falta de sanitización de entrada y escapado de salida permite que estos scripts se ejecuten cuando usuarios acceden a páginas comprometidas, afectando potencialmente datos sensibles y sesiones de administradores en sitios WordPress de empresas en LATAM.

nvdaltovulnerabilidad CVSS 7.2 NVD

M Alto vulnerabilidad

22/09/2026

Vulnerabilidad XSS almacenado en WPC Product Bundles for WooCommerce (CVE-2026-93836)

El plugin WPC Product Bundles para WooCommerce contiene una vulnerabilidad de Cross-Site Scripting (XSS) almacenado en el parámetro 'qty' en versiones hasta 8.6.6, permitiendo a atacantes no autenticados inyectar código malicioso que se ejecuta cuando usuarios acceden a páginas comprometidas. Afecta tiendas en línea y plataformas de comercio electrónico en LATAM que utilizan WooCommerce. CVSS 7.2 (alto).

nvdaltovulnerabilidad CVSS 7.2 NVD

M Alto vulnerabilidad

22/09/2026

Vulnerabilidad alta en plugin WP Ultimate Review permite ejecución arbitraria de shortcodes

El plugin WP Ultimate Review para WordPress (versiones hasta 2.4.2) es vulnerable a ejecución arbitraria de shortcodes debido a validación insuficiente en acciones de usuario. Atacantes autenticados con acceso de suscriptor pueden ejecutar código arbitrario, comprometiendo sitios WordPress comúnmente usados en LATAM para ecommerce, contenido corporativo y aplicaciones altas.

nvdaltovulnerabilidad CVSS 8.1 NVD

M Alto vulnerabilidad

22/09/2026

Vulnerabilidad alta de inclusión de archivos en plugin HUSKY Products Filter para WooCommerce

El plugin HUSKY – Products Filter for WooCommerce Professional para WordPress (versiones hasta 1.4.4) contiene una vulnerabilidad de Local File Inclusion (LFI) que permite a atacantes no autenticados ejecutar código PHP arbitrario en servidores. Esta falla afecta directamente a tiendas en línea de LATAM que usan este plugin, exponiendo bases de datos, credenciales y datos de clientes. Con CVSS 8.1, es considerada alta y requiere acción inmediata.

nvdaltovulnerabilidad CVSS 8.1 NVD