Seguridad de la Información

Alertas de Seguridad de la Información

Vulnerabilidades explotadas activamente, incidentes y análisis relevantes para México y LATAM. Actualizado automáticamente desde fuentes oficiales.

48 vulnerabilidades en CISA KEV — explotación activa confirmada Ver todas →

Última alerta publicada hace 6 min

14,046

Total alertas

3206

Críticas

10568

Altas

8

Ransomware

1046

Esta semana

RSS

30 días × Limpiar todo ×

M Alto vulnerabilidad

Vulnerabilidad alta en ClaudeHookBridge: bypass de filtros de seguridad permite ejecución de comandos

ClaudeHookBridge versiones anteriores a 5.15.1 contiene una falla que trunca las cadenas de destino a 500 caracteres durante la evaluación de reglas de denegación (denyPatterns), mientras que Claude Code ejecuta el comando completo sin truncamiento. Un atacante puede insertar contenido malicioso después del byte 500 en campos Bash para eludir listas de bloqueo y ejecutar comandos arbitrarios. Esto afecta infraestructuras que integran este componente con sistemas de IA, siendo alta en entornos de CI/CD y automatización en la región.

M Alto vulnerabilidad

Vulnerabilidad alta en Network-AI: bypass de validación de comandos (CVE-2026-73615)

Network-AI versiones anteriores a 5.15.1 contiene una vulnerabilidad que permite a atacantes evadir controles de seguridad mediante comandos entrecomillados. La vulnerabilidad radica en que SandboxPolicy valida strings de comandos preservando comillas, mientras que el ejecutor elimina comillas antes de ejecutar, permitiendo que comandos bloqueados se ejecuten exitosamente. Esto afecta crícticamente a empresas en LATAM que utilizan esta plataforma para automatización de infraestructura.

M Alto vulnerabilidad

Vulnerabilidad alta de inyección NoSQL en Budibase anterior a 3.40.0

Budibase versiones anteriores a 3.40.0 contiene una vulnerabilidad de inyección NoSQL en su integración con MongoDB que permite a atacantes inyectar operadores MongoDB a través de parámetros de consulta, eludiendo controles de acceso por usuario. Los atacantes pueden leer documentos arbitrarios, ejecutar JavaScript malicioso y modificar datos en bases de datos MongoDB conectadas. Esta vulnerabilidad afecta principalmente a empresas en LATAM que utilizan Budibase para desarrollo de aplicaciones internas y plataformas de datos sin validación de entrada robusta.

M Alto vulnerabilidad

Inyección NoSQL alta en Budibase Server anterior a v3.40.0 afecta consultas MongoDB

Budibase Server versiones anteriores a 3.40.0 contienen una vulnerabilidad de inyección NoSQL en el endpoint de ejecución de consultas MongoDB. Atacantes con permisos de escritura de consultas pueden manipular parámetros JSON sin sanitizar, alterando queries para leer, modificar o eliminar documentos arbitrarios. El riesgo es alta (CVSS 8.3) en entornos que exponen esta funcionalidad a usuarios no confiables o integran Budibase en plataformas empresariales en LATAM.

M Alto vulnerabilidad

Vulnerabilidad de autorización faltante en SiYuan v3.7.3 y anteriores (CVE-2026-73608)

SiYuan contiene una vulnerabilidad de autorización ausente en el endpoint /api/av/getAttributeViewSearchTarget que permite acceso no autorizado a vistas de atributos sin validación de permisos. La falla afecta la rama de desarrollo y versiones previas a v3.7.4. Organizaciones que utilizan SiYuan para gestión de bases de datos están expuestas a exfiltración de información sensible si acceden versiones vulnerables.

M Alto vulnerabilidad

File Browser anterior a v2.63.22: bypass de controles de acceso en operaciones recursivas

File Browser versiones anteriores a la 2.63.22 presentan una vulnerabilidad de validación deficiente que permite a usuarios autenticados eludir controles de acceso basados en rutas durante operaciones de copia, renombre y eliminación recursiva. Un atacante interno puede manipular archivos denegados operando sobre directorios padre permitidos, comprometiendo el aislamiento por reglas y afectando confidencialidad e integridad de datos en servidores empresariales.

M Alto vulnerabilidad

Vulnerabilidad alta en ManageEngine Password Manager Pro y PAM360 permite eludir autenticación

ManageEngine Password Manager Pro (versiones anteriores a 13232) y PAM360 (versiones anteriores a 8551) presentan una vulnerabilidad de elusión de autenticación (CVSS 8.8) por validación incorrecta de SAML. Esto permite a atacantes acceder a gestores de credenciales sin autenticación válida, comprometiendo todas las contraseñas almacenadas en la solución. Afecta principalmente a empresas medianas y grandes en México y LATAM que utilizan estas herramientas para administración centralizada de accesos.

📬 Alertas semanales SI directo en tu email

Las vulnerabilidades más críticas para LATAM, con contexto y recomendaciones accionables. Gratis.

Suscribirme →

M Crítico vulnerabilidad

Vulnerabilidad crítica de autenticación impropia (CVE-2026-59500) afecta múltiples productos

Se ha identificado una vulnerabilidad de severidad crítica (CVSS 10.0) en mecanismos de autenticación de múltiples fabricantes, permitiendo a atacantes eludir controles de acceso sin credenciales válidas. Esta falla afecta directamente infraestructuras críticas en México y Latinoamérica que dependen de sistemas de identificación y acceso. El impacto abarca compromisos totales de confidencialidad, integridad y disponibilidad en sistemas afectados.

M Alto vulnerabilidad

[CVE-2026-59501] CWE-284: Improper Access Control

CWE-284: Improper Access Control

M Crítico vulnerabilidad

[CVE-2026-59503] CWE-200: Exposure of Sensitive Information to an Unauthorized Actor CWE-359: Exposure of Private Per…

CWE-200: Exposure of Sensitive Information to an Unauthorized Actor CWE-359: Exposure of Private Personal Information to an Unauthorized Actor

M Crítico vulnerabilidad

[CVE-2026-59504] CWE-602: Client-Side Enforcement of Server-Side Security

CWE-602: Client-Side Enforcement of Server-Side Security

M Alto vulnerabilidad

[CVE-2026-59505] CWE-284: Improper Access Control

CWE-284: Improper Access Control

M Crítico vulnerabilidad

[CVE-2026-59506] CWE-306: Missing Authentication for Critical Function

CWE-306: Missing Authentication for Critical Function

M Crítico vulnerabilidad

[CVE-2026-59507] CWE-798: Use of Hard-coded Credentials CWE-200: Exposure of Sensitive Information to an Unauthorized…

CWE-798: Use of Hard-coded Credentials CWE-200: Exposure of Sensitive Information to an Unauthorized Actor CWE-284: Improper Access Control

M Alto vulnerabilidad

[CVE-2026-59499] CWE-200: Exposure of Sensitive Information to an Unauthorized Actor

CWE-200: Exposure of Sensitive Information to an Unauthorized Actor

🛡 ¿Estás expuesto a alguna de estas vulnerabilidades?

Evaluación gratuita inicial con el equipo 2MCI: identifica exposición y plan de remediación.

Habla con un experto →

M Alto vulnerabilidad

[CVE-2026-19484] @fastify/busboy is a multipart form-data parser. In versions 3.1.0 through 3.2.0, a remote unauthent…

@fastify/busboy is a multipart form-data parser. In versions 3.1.0 through 3.2.0, a remote unauthenticated attacker can stall the Node.js event loop by sending a multipart request whose boundary is crafted to a specific length. The vendored streaming search stores its skip table in a fixed 256 entry byte array, and a boundary of exactly 252 bytes makes the search needle 256 bytes, which truncates …

M Crítico vulnerabilidad

[CVE-2026-15413] The Link Factory WordPress plugin is a backdoor. Distributed as a "homepage sentence publisher", it …

The Link Factory WordPress plugin is a backdoor. Distributed as a "homepage sentence publisher", it exposes an operator-controlled REST API under /wp-json/link-factory/v1/ - authenticated by a detached Ed25519 signature verified against a hardcoded operator public key (except for the health check).

M Alto vulnerabilidad

[CVE-2026-19481] @fastify/busboy is a multipart form-data parser. In versions 1.0.0 through 3.2.0, an attacker who ca…

@fastify/busboy is a multipart form-data parser. In versions 1.0.0 through 3.2.0, an attacker who can submit multipart form-data can crash the parser by sending a part header whose name is a prototype-inherited property such as __proto__ or constructor. The internal header parser stores headers in a plain JavaScript object and assumes each value is an array, so an inherited property name resolves …

M Alto vulnerabilidad

[CVE-2026-11840] Zohocorp ManageEngine Password Manager Pro versions before 13232 and ManageEngine PAM360 versions be…

Zohocorp ManageEngine Password Manager Pro versions before 13232 and ManageEngine PAM360 versions before 8552 are vulnerable to authenticated SQL injection.

M Medio vulnerabilidad

CVE-2026-44814 Windows DWM Core Library Information Disclosure Vulnerability

Microsoft publica advisory de seguridad: CVE-2026-44814 Windows DWM Core Library Information Disclosure Vulnerability. Tipo: Divulgación de Información.

← Anterior 1 … 141 142 143 144 145 … 259 Siguiente →