Empresa
¿Quiénes somos? Visión y Valores
Herramientas
Email Checker Vigía DNS SSL Checker Password Strength HTTP Headers
Alertas
Todas las alertas Vulnerabilidades Incidentes Solo críticas En CISA KEV
Editorial
Análisis técnico ¿Cuál es mi IP?
Blog
Blog 2MCI ISO 27001 Amenazas LATAM Recursos Gratuitos eBook Gratuito Newsletter Podcast / YouTube
Empresa
Servicios Contacto Suscribirse al Newsletter
🆕 Nuevo en 2MCI
✨ Crear cuenta gratis 🛠️ Ver herramientas sin registro
Ya tengo cuenta
🔒 Iniciar sesión
Equipo
🏠 Portal interno 2MCI
Inicio/Alertas
Seguridad de la Información

Alertas de Seguridad de la Información

Vulnerabilidades explotadas activamente, incidentes y análisis relevantes para México y LATAM. Actualizado automáticamente desde fuentes oficiales.

48 vulnerabilidades en CISA KEV — explotación activa confirmada Ver todas →
Última alerta publicada hace 9 horas
13,736
Total alertas
3106
Críticas
10358
Altas
8
Ransomware
1020
Esta semana
RSS
nvd × Este mes × Limpiar todo ×
M Alto vulnerabilidad
12/08/2026
[CVE-2026-16977] The Form Maker by 10Web WordPress plugin before 1.15.45 does not properly parameterize a user-contr…
The Form Maker by 10Web WordPress plugin before 1.15.45 does not properly parameterize a user-controlled value that is substituted into a dynamic SQL query built for a database-backed choice field, allowing subscriber-level users to perform second-order SQL injection.
nvdaltovulnerabilidad CVSS 8.1 NVD
M Crítico vulnerabilidad
12/08/2026
[CVE-2026-16538] The Wallet for WooCommerce WordPress plugin before 1.6.10 does not verify the amount actually collec…
The Wallet for WooCommerce WordPress plugin before 1.6.10 does not verify the amount actually collected for a wallet top-up before crediting the wallet, allowing customers to top up their wallet balance for less than its value.
nvdcriticovulnerabilidad CVSS 9.1 NVD
M Alto vulnerabilidad
12/08/2026
[CVE-2026-16253] The Total Upkeep WordPress plugin before 1.17.3 does not adequately protect the secret that authori…
The Total Upkeep WordPress plugin before 1.17.3 does not adequately protect the secret that authorizes its backup-restore functionality and exposes it to unauthenticated users, allowing them to disclose sensitive backup information and to force a full site restore that overwrites the live site's files and database.
nvdaltovulnerabilidad CVSS 7.5 NVD
M Alto vulnerabilidad
12/08/2026
[CVE-2026-16294] The PowerPress Podcasting plugin by Blubrry WordPress plugin before 11.17.1 does not validate one of…
The PowerPress Podcasting plugin by Blubrry WordPress plugin before 11.17.1 does not validate one of its Podcast Episode URL settings before performing a server-side request with it, allowing users with a role as low as Contributor to perform Server-Side Request Forgery attacks that can target internal services.
nvdaltovulnerabilidad CVSS 7.1 NVD
M Crítico vulnerabilidad
12/08/2026
[CVE-2026-16051] The wpmudev-updates WordPress plugin before 5.0.1 does not verify the integrity of the packages inst…
The wpmudev-updates WordPress plugin before 5.0.1 does not verify the integrity of the packages installed through its remote management interface, nor protect those requests against replay, allowing an attacker able to obtain or replay a valid signed management request to install and execute arbitrary code (remote code execution).
nvdcriticovulnerabilidad CVSS 9.8 NVD
M Alto vulnerabilidad
12/08/2026
[CVE-2026-14925] The Import WP WordPress plugin before 2.14.23 does not perform any authorization check on one of it…
The Import WP WordPress plugin before 2.14.23 does not perform any authorization check on one of its export-file download handlers, allowing unauthenticated attackers to download export files generated by administrators, which may contain user personal data such as email addresses, login names and roles. Exploitation requires an unconsumed export to already exist and a low-entropy, time-based dow…
nvdaltovulnerabilidad CVSS 7.5 NVD
M Crítico vulnerabilidad
12/08/2026
[CVE-2026-15039] The giftware WordPress plugin before 4.2.10 does not validate the type of uploaded files in one of i…
The giftware WordPress plugin before 4.2.10 does not validate the type of uploaded files in one of its upload paths, allowing unauthenticated users to upload arbitrary files, including PHP code, which can lead to remote code execution.
nvdcriticovulnerabilidad CVSS 9.8 NVD

📬 Alertas semanales SI directo en tu email

Las vulnerabilidades más críticas para LATAM, con contexto y recomendaciones accionables. Gratis.

Suscribirme →
M Alto vulnerabilidad
12/08/2026
[CVE-2026-13613] The KiviCare WordPress plugin before 4.5.2 does not properly sanitise and escape user-supplied para…
The KiviCare WordPress plugin before 4.5.2 does not properly sanitise and escape user-supplied parameters before using them in a SQL query, allowing authenticated users with a clinic staff-level role to perform SQL injection.
nvdaltovulnerabilidad CVSS 8.8 NVD
M Alto vulnerabilidad
12/08/2026
[CVE-2026-13171] The Eventin WordPress plugin before 4.1.20 does not perform an authorization check on its waiting-l…
The Eventin WordPress plugin before 4.1.20 does not perform an authorization check on its waiting-list registration handler, allowing unauthenticated users to create WordPress user accounts for arbitrary email addresses and inject order records.
nvdaltovulnerabilidad CVSS 8.2 NVD
M Alto vulnerabilidad
12/08/2026
Vulnerabilidad alta en Velociraptor permite eludir permisos de recolección mediante consultas VQL
Velociraptor presenta una falla de escalación de privilegios que permite a usuarios con rol de analista programar nuevas recolecciones de datos sin poseer el permiso COLLECT_CLIENT requerido. El ataque explota la capacidad de ejecutar consultas VQL arbitrarias para resetear el proveedor de autorización, comprometiendo la cadena de custodia forense y el control de acceso en investigaciones digitales.
nvdaltovulnerabilidad CVSS 8.2 NVD
M Alto vulnerabilidad
12/08/2026
Vulnerabilidad alta en verificadores de syscall de Zephyr RTOS permite escalada de privilegios
Los verificadores de syscall z_vrfy_zsock_sendmsg() y z_vrfy_zsock_recvmsg() en Zephyr RTOS contienen un defecto de validación donde se captura una copia de estructuras de usuario pero se vuelve a leer la estructura original en vivo para decisiones posteriores. Esto permite a atacantes locales modificar buffers iovec entre verificación y uso, escalando privilegios en sistemas embebidos y IoT. Afecta principalmente a dispositivos industrial IoT, telecomunicaciones y sistemas altas en operación en LATAM.
nvdaltovulnerabilidad CVSS 7.8 NVD
M Alto vulnerabilidad
12/08/2026
Vulnerabilidad alta de autenticación en plugin WordPress Passwordless Login de VentraConnect
El plugin 'Social Login, Passkeys, Magic Link & Email OTP – Passwordless Login' para WordPress (versiones hasta 1.4.3) contiene un fallo de autenticación que permite eludir el acceso mediante verificación insuficiente del correo electrónico devuelto por Spotify. Un atacante podría acceder a cuentas sin credenciales válidas. Afecta directamente a sitios WordPress en México y LATAM que implementen este plugin con autenticación social.
nvdaltovulnerabilidad CVSS 8.1 NVD
M Crítico vulnerabilidad
12/08/2026
Vulnerabilidad crítica en Red Hat Advanced Cluster Management permite robo de tokens de clusters
Se identificó una falla en el componente multicloud-integrations de Red Hat Advanced Cluster Management (RHACM) que permite a usuarios autenticados manipular el controlador GitOpsCluster y redirigir tokens de bearer de clusters spoke hacia namespaces bajo su control. Esta vulnerabilidad (CVSS 9.6) afecta principalmente a empresas en LATAM con infraestructuras multicloud híbridas en Kubernetes, exponiendo credenciales críticas de acceso a recursos en la nube pública y privada.
nvdcriticovulnerabilidad CVSS 9.6 NVD
M Crítico vulnerabilidad
12/08/2026
Vulnerabilidad crítica en multicloud-integrations permite ejecución de comandos en clusters Kubernetes
Se descubrió una falla en el componente multicloud-integrations que permite a un usuario con permisos de creación de Applications en el cluster hub explotar la validación deficiente de anotaciones para dirigirse a clusters Kubernetes arbitrarios. Un atacante podría forzar la sincronización maliciosa de ArgoCD en clusters spoke, comprometiendo la integridad de aplicaciones críticas en infraestructuras multi-nube. Este riesgo es crítico (CVSS 9.9) para empresas en LATAM que gestionan plataformas DevOps centralizadas.
nvdcriticovulnerabilidad CVSS 9.9 NVD
M Alto vulnerabilidad
12/08/2026
Vulnerabilidad alta en Red Hat Advanced Cluster Management permite acceso no autorizado a secretos
Una flaw en el componente multicloud-operators-channel de Red Hat Advanced Cluster Management (RHACM) permite que agentes comprometidos de clústeres gestionados accedan sin autorización a Secrets y ConfigMaps en namespaces de Channel, exponiendo credenciales de Git, Helm y otros servicios de múltiples tenants. El impacto es alta en entornos multicloud híbridos comunes en empresas de LATAM que utilizan RHACM para orquestar infraestructura en AWS, Azure y plataformas on-premise.
nvdaltovulnerabilidad CVSS 7.7 NVD

🛡 ¿Estás expuesto a alguna de estas vulnerabilidades?

Evaluación gratuita inicial con el equipo 2MCI: identifica exposición y plan de remediación.

Habla con un experto →
M Alto vulnerabilidad
12/08/2026
CVE-2026-66878: Vulnerabilidad de divulgación de información en multicloud-operators-subscription
Se ha identificado una falla en multicloud-operators-subscription que permite a administradores de namespace con privilegios acceder a secretos almacenados en otros espacios de nombres mediante manipulación del campo Channel.Spec.SecretRef.Namespace. Esta vulnerabilidad (CVSS 7.7) expone credenciales, tokens API y datos sensibles en entornos multicloud comúnmente utilizados en infraestructuras híbridas de empresas latinoamericanas. El riesgo se amplifica en organizaciones con múltiples equipos compartiendo clusters Kubernetes.
nvdaltovulnerabilidad CVSS 7.7 NVD
M Alto vulnerabilidad
12/08/2026
Vulnerabilidad alta en UEFI por falta de verificación de arranque seguro
Una vulnerabilidad en firmware UEFI (CVE-2026-6484, CVSS 8.2) permite la ejecución arbitraria de código debido a la ausencia de verificación criptográfica en ciertos módulos de firmware (FV). Esta falla compromete la cadena de confianza de arranque en servidores, estaciones de trabajo y dispositivos empresariales, siendo particularmente alta en infraestructuras cloud y centros de datos en LATAM donde el firmware no parchado es común.
nvdaltovulnerabilidad CVSS 8.2 NVD
C Informativo vulnerabilidad
12/08/2026
[CVE-2026-68447] In the Linux kernel, the following vulnerability has been resolved: drm/amdkfd: clamp v9 CRIU contr…
In the Linux kernel, the following vulnerability has been resolved: drm/amdkfd: clamp v9 CRIU control stack checkpoint copy to BO size CRIU checkpoint copies the MQD control stack using cp_hqd_cntl_stack_size from hardware without bounding it to the allocated BO region. If the HW field is larger than the queue's control stack allocation, memcpy reads past the BO into adjacent GTT memory and can …
check-pointcheckpointbajo CVSS 0.0 NVD
M Alto vulnerabilidad
11/08/2026
[CVE-2026-73246] Kestra is an open-source, event-driven orchestration platform. Prior to 2.0.0-rc6, Kestra's worker/s…
Kestra is an open-source, event-driven orchestration platform. Prior to 2.0.0-rc6, Kestra's worker/src/main/java/io/kestra/worker/endpoint/WorkerEndpoint.java serves GET /worker without authentication and serializes the complete live Task object, which can expose commands, environment variables, HTTP headers, connection details, plaintext credentials, and execution identifiers while the main API o…
nvdaltovulnerabilidad CVSS 7.5 NVD
M Alto vulnerabilidad
11/08/2026
[CVE-2026-73247] Kestra is an open-source, event-driven orchestration platform. Prior to 2.0.0, Kestra's core/src/mai…
Kestra is an open-source, event-driven orchestration platform. Prior to 2.0.0, Kestra's core/src/main/java/io/kestra/core/runners/pebble/functions/HttpFunction.java passes the user-controlled http() uri argument to URI.create() and the server-side HTTP client without restricting private, loopback, or link-local destinations, allowing an unauthenticated attacker to import and execute a flow that ac…
nvdaltovulnerabilidad CVSS 8.6 NVD