Alertas de Seguridad de la Información

M Alto vulnerabilidad

Hace 2 días

Inyección de comandos OS alta en GitAhead hasta v2.7.1 afecta repositorios comprometidos

GitAhead versiones anteriores a 2.7.2 contiene una vulnerabilidad de inyección de comandos en src/git/Filter.cpp que permite a atacantes ejecutar comandos arbitrarios del sistema operativo mediante nombres de archivo manipulados en repositorios maliciosos. Al clonar o hacer checkout de repositorios comprometidos, los comandos se ejecutan con los privilegios del usuario víctima a través de bash. Empresas en LATAM que utilizan GitAhead para gestionar repositorios internos o de terceros están expuestas a ejecución remota de código.

nvdaltovulnerabilidad CVSS 7.5 NVD

M Crítico vulnerabilidad

Hace 3 días

Vulnerabilidad crítica de inyección de código en Movable Type permite ejecución remota sin autenticación

Una vulnerabilidad de inyección de código en el script de actualización de Movable Type permite a atacantes no autenticados ejecutar scripts Perl arbitrarios o consultas SQL en sistemas afectados, comprometiendo servidores web y bases de datos. Empresas en LATAM que utilizan Movable Type para gestión de contenidos enfrentan riesgo inmediato de acceso no autorizado, exfiltración de datos y compromiso total del servidor.

nvdcriticovulnerabilidad CVSS 9.4 NVD

M Alto vulnerabilidad

Hace 3 días

Inyección SQL ciega alta en Pix por Piggly para WooCommerce (CVE-2026-42714)

Se identificó una vulnerabilidad de inyección SQL ciega en el complemento Pix por Piggly (versiones hasta 2.1.2) para WooCommerce que permite a atacantes ejecutar comandos SQL maliciosos sin autenticación. Esta falla afecta directamente a tiendas de comercio electrónico en México y Latinoamérica que dependen de este método de pago. La vulnerabilidad puede comprometer datos sensibles de clientes y transacciones financieras.

nvdaltovulnerabilidad CVSS 7.6 NVD

M Alto vulnerabilidad

Hace 3 días

Inyección SQL ciega en Dynamic User Directory afecta versiones hasta 2.4

Se identificó una vulnerabilidad de inyección SQL ciega (CVE-2026-42720, CVSS 7.6) en el plugin Dynamic User Directory de Sarah Giles que permite a atacantes ejecutar consultas SQL maliciosas contra bases de datos de directorio de usuarios. Empresas en LATAM que utilizan este complemento en sistemas WordPress u otros CMS corren riesgo de exposición de credenciales y datos de usuarios. La vulnerabilidad afecta versiones desde la inicial hasta la 2.4.

nvdaltovulnerabilidad CVSS 7.6 NVD

M Alto vulnerabilidad

Hace 3 días

Inyección SQL ciega en affiliate-toolkit de SERVIT Software Solutions (CVE-2026-42721)

Se identificó una vulnerabilidad de inyección SQL ciega en affiliate-toolkit versiones hasta 3.9.1 de SERVIT Software Solutions, permitiendo a atacantes manipular consultas de base de datos sin validación adecuada. Afecta principalmente a plataformas de afiliación y e-commerce en LATAM que usen este software. Con CVSS 7.6, representa riesgo alto para exposición de datos sensibles y control no autorizado de bases de datos.

nvdaltovulnerabilidad CVSS 7.6 NVD

M Alto vulnerabilidad

Hace 3 días

Vulnerabilidad XPS almacenado en plugin OMGF para WordPress afecta versiones hasta 6.3.10

El plugin OMGF (GDPR/DSGVO Compliant, Faster Google Fonts) para WordPress contiene una vulnerabilidad de Cross-Site Scripting (XSS) almacenado con CVSS 7.2 que permite a atacantes no autenticados inyectar código malicioso mediante el parámetro de búsqueda 's' en el feed de comentarios Atom. Afecta todas las versiones hasta 6.3.10. Debido a la insuficiente sanitización de entrada y escape de salida, el script inyectado se ejecuta en las páginas afectadas, poniendo en riesgo a visitantes y comprometiendo la integridad del sitio web.

nvdaltovulnerabilidad CVSS 7.2 NVD

M Alto vulnerabilidad

Hace 3 días

[CVE-2026-97188] The String locator WordPress plugin before 2.6.8 does not restrict the classes allowed when deserial…

The String locator WordPress plugin before 2.6.8 does not restrict the classes allowed when deserializing the content of a database row saved through its database editor, allowing unauthenticated attackers to store a serialized PHP object that is instantiated when an administrator later opens and saves that row. If a suitable POP chain is present via another installed String locator WordPress plug…

nvdaltovulnerabilidad CVSS 8.8 NVD

M Alto vulnerabilidad

Hace 3 días

[CVE-2026-87782] The Koinonia Link WordPress plugin before 1.1.5 does not check that a user is allowed to change role…

The Koinonia Link WordPress plugin before 1.1.5 does not check that a user is allowed to change roles before saving a role selection submitted with a profile update, allowing any authenticated user, such as a subscriber, to grant themselves the Administrator role.

nvdaltovulnerabilidad CVSS 8.8 NVD

M Alto vulnerabilidad

Hace 3 días

[CVE-2026-105316] The Magee Shortcodes WordPress plugin through 2.1.1 does not sanitise and escape user input in some …

The Magee Shortcodes WordPress plugin through 2.1.1 does not sanitise and escape user input in some of its AJAX actions, which are available to unauthenticated users, before reflecting it back in the response, leading to Reflected Cross-Site Scripting.

nvdaltovulnerabilidad CVSS 7.1 NVD

M Alto vulnerabilidad

Hace 3 días

[CVE-2026-104677] The WP Coder WordPress plugin before 4.5.2 does not restrict access to its PHP code-execution featu…

The WP Coder WordPress plugin before 4.5.2 does not restrict access to its PHP code-execution feature to administrators, gating it on a content capability that the Editor role holds by default, which allows Editor-level users to save and execute arbitrary PHP code on the server and fully compromise the site.

nvdaltovulnerabilidad CVSS 7.2 NVD

M Crítico vulnerabilidad

Hace 3 días

[CVE-2026-59346] VMware Workstation and Fusion contain an integer-overflow vulnerability. A malicious actor with loca…

VMware Workstation and Fusion contain an integer-overflow vulnerability. A malicious actor with local administrative privileges on a virtual machine with VMXNET3 virtual network adapter may exploit this issue to execute code on the host. Affected versions: - VMware Workstation: 25H2, 26H1 (fixed in 26H1u1) - VMware Fusion: 25H2, 26H1 (fixed in 26H1u1)

nvdcriticovulnerabilidad CVSS 9.3 NVD

M Alto vulnerabilidad

Hace 3 días

[CVE-2026-59347] VMware Workstation and Fusion contain a stack-based buffer-overflow vulnerability in HGFS. A malicio…

VMware Workstation and Fusion contain a stack-based buffer-overflow vulnerability in HGFS. A malicious actor with local administrative privileges on a virtual machine may exploit this issue to execute code as the virtual machine's VMX process running on the host. Affected versions: - VMware Workstation: 25H2, 26H1 (fixed in 26H1u1) - VMware Fusion: 25H2, 26H1 (fixed in 26H1u1)

nvdaltovulnerabilidad CVSS 8.1 NVD

M Alto vulnerabilidad

Hace 3 días

[CVE-2026-65142] NVIDIA Model-Optimizer contains a vulnerability where an attacker may cause deserialization of untru…

NVIDIA Model-Optimizer contains a vulnerability where an attacker may cause deserialization of untrusted data. A successful exploit of this vulnerability might lead to code execution, data tampering, denial of service, and information disclosure.

nvdaltovulnerabilidad CVSS 7.8 NVD

M Alto vulnerabilidad

Hace 3 días

[CVE-2026-106505] Backstage is an open framework for building developer portals. Prior to 1.14.6 and 1.15.4, the @back…

Backstage is an open framework for building developer portals. Prior to 1.14.6 and 1.15.4, the @backstage/plugin-techdocs-node package is affected by bypass of mkdocs configuration sanitizer in techdocs backend. Users with the ability to commit changes to a repository that uses TechDocs can circumvent the MkDocs configuration file sanitizer introduced in response to CVE-2026-25153 and execute arbi…

nvdaltovulnerabilidad CVSS 7.7 NVD

M Alto vulnerabilidad

Hace 3 días

[CVE-2026-106459] Backstage is an open framework for building developer portals. From 0.3.0 until 0.3.8, the @backstag…

Backstage is an open framework for building developer portals. From 0.3.0 until 0.3.8, the @backstage/plugin-scaffolder-backend-module-sentry package is affected by improper input validation in sentry scaffolder actions. An authenticated internal user who can execute the affected actions may cause the backend to contact unintended destinations and disclose Sentry integration credentials. Subsequen…

nvdaltovulnerabilidad CVSS 8.5 NVD

M Alto vulnerabilidad

Hace 3 días

[CVE-2026-79809] An unauthenticated path traversal vulnerability exists in an API endpoint of ClearPass Policy Manage…

An unauthenticated path traversal vulnerability exists in an API endpoint of ClearPass Policy Manager. Successful exploitation of this vulnerability allows an unauthenticated remote attacker to influence authorization decisions and be assigned an unintended role.

nvdaltovulnerabilidad CVSS 7.3 NVD

M Alto vulnerabilidad

Hace 3 días

[CVE-2026-79811] A SQL injection vulnerability in the API of ClearPass Policy Manager could allow a remote authentica…

A SQL injection vulnerability in the API of ClearPass Policy Manager could allow a remote authenticated attacker with administrative privileges to conduct SQL injection attacks against the ClearPass Policy Manager instance. Successful exploitation could allow an attacker to execute arbitrary database commands.

nvdaltovulnerabilidad CVSS 7.2 NVD

M Alto vulnerabilidad

Hace 3 días

[CVE-2026-79799] A vulnerability in the web-based management interface of ClearPass Policy Manager could allow an una…

A vulnerability in the web-based management interface of ClearPass Policy Manager could allow an unauthenticated remote attacker to conduct a stored cross-site scripting (XSS) attack against an administrative user of the interface. A successful exploit could allow an attacker to execute arbitrary script code in a victim's browser in the context of the affected interface.

nvdaltovulnerabilidad CVSS 8.8 NVD

M Alto vulnerabilidad

Hace 3 días

[CVE-2026-79803] A command injection vulnerability exists in the API of ClearPass Policy Manager. Successful exploita…

A command injection vulnerability exists in the API of ClearPass Policy Manager. Successful exploitation could allow an authenticated remote attacker to escalate privileges and gain administrative control of the affected system.

nvdaltovulnerabilidad CVSS 8.8 NVD

M Crítico vulnerabilidad

Hace 3 días

[CVE-2026-76747] Buffer overflow vulnerabilities exist in the affected interface of AOS-S. Successful exploitation co…

Buffer overflow vulnerabilities exist in the affected interface of AOS-S. Successful exploitation could allow an unauthenticated remote attacker to expose sensitive memory contents and cause a denial of service on the device.

nvdcriticovulnerabilidad CVSS 9.1 NVD