Empresa
¿Quiénes somos? Visión y Valores
Herramientas
Email Checker Vigía DNS SSL Checker Password Strength HTTP Headers
Alertas
Todas las alertas Vulnerabilidades Incidentes Solo críticas En CISA KEV
Editorial
Análisis técnico ¿Cuál es mi IP?
Blog
Blog 2MCI ISO 27001 Amenazas LATAM Recursos Gratuitos eBook Gratuito Newsletter Podcast / YouTube
Empresa
Servicios Contacto Suscribirse al Newsletter
🆕 Nuevo en 2MCI
✨ Crear cuenta gratis 🛠️ Ver herramientas sin registro
Ya tengo cuenta
🔒 Iniciar sesión
Equipo
🏠 Portal interno 2MCI
Inicio/Alertas
Seguridad de la Información

Alertas de Seguridad de la Información

Vulnerabilidades explotadas activamente, incidentes y análisis relevantes para México y LATAM. Actualizado automáticamente desde fuentes oficiales.

48 vulnerabilidades en CISA KEV — explotación activa confirmada Ver todas →
Última alerta publicada ahora mismo
13,394
Total alertas
3047
Críticas
10075
Altas
8
Ransomware
1739
Esta semana
RSS
M Alto vulnerabilidad
02/08/2026
Vulnerabilidad alta en cliente OCPP 1.6: desbordamiento de buffer en parse_rpc_msg()
Se detectó una falla de seguridad en el procesamiento de marcos WAMP RPC dentro del cliente OCPP 1.6 (subsys/net/lib/ocpp). La función extract_string_field() utiliza strncpy() sin garantizar NUL-terminación, permitiendo lectura de memoria adyacente mediante campos uid y action malformados. Esto afecta sistemas de carga de vehículos eléctricos y controladores IoT en infraestructura de movilidad en Latinoamérica.
nvdaltovulnerabilidad CVSS 7.0 NVD
M Alto vulnerabilidad
02/08/2026
[CVE-2026-9856] A vulnerability in huggingface/transformers versions <=5.8.0.dev0 allows an attacker to perform arbi…
A vulnerability in huggingface/transformers versions
nvdaltovulnerabilidad CVSS 7.1 NVD
M Crítico vulnerabilidad
02/08/2026
[CVE-2026-65321] PyAthena prior to 3.35.4 contains a sql injection vulnerability that allows unauthenticated attacker…
PyAthena prior to 3.35.4 contains a sql injection vulnerability that allows unauthenticated attackers to inject arbitrary SQL by exploiting improper quote-escaping in DefaultParameterFormatter.format(), which routes DELETE and CTAS statements to the _escape_hive function that backslash-escapes single quotes rather than doubling them. Because Athena and Trino do not treat backslashes as escape char…
nvdcriticovulnerabilidad CVSS 9.8 NVD
M Alto vulnerabilidad
02/08/2026
[CVE-2026-68581] Vikunja versions 0.22.0 through 2.3.0 fail to validate the principal type in API token management. B…
Vikunja versions 0.22.0 through 2.3.0 fail to validate the principal type in API token management. Because user IDs and link-share IDs are independent numeric sequences and both resolve through a generic web.Auth.GetID() interface, a link-share JWT whose numeric ID equals a target user's ID is treated as that user by the /api/v1/tokens endpoints. An authenticated attacker can obtain a target's num…
nvdaltovulnerabilidad CVSS 8.1 NVD
M Alto vulnerabilidad
02/08/2026
[CVE-2026-67356] ArcadeDB before 26.7.3 binds the real LocalDatabase object into JavaScript trigger contexts with Hos…
ArcadeDB before 26.7.3 binds the real LocalDatabase object into JavaScript trigger contexts with HostAccess.ALL, allowing schema-admins to call getSecurity().createUser() without permission checks. Attackers with UPDATE_SCHEMA permission can create triggers that execute JavaScript to create server-wide admin users, escalating privileges beyond their authorization level.
nvdaltovulnerabilidad CVSS 8.8 NVD
M Alto vulnerabilidad
02/08/2026
[CVE-2026-67357] ArcadeDB versions before 26.7.3 contain an information disclosure vulnerability in the MCP get_serve…
ArcadeDB versions before 26.7.3 contain an information disclosure vulnerability in the MCP get_server_settings tool that leaks the arcadedb.ha.clusterToken in cleartext. Attackers with MCP access can retrieve the cluster token and use it with X-ArcadeDB-Cluster-Token and X-ArcadeDB-Forwarded-User headers to impersonate root and achieve full server compromise.
nvdaltovulnerabilidad CVSS 7.5 NVD
M Alto vulnerabilidad
02/08/2026
[CVE-2026-68578] ArcadeDB versions before 26.7.3 fail to bind the authenticated principal in the MCP HTTP transport, …
ArcadeDB versions before 26.7.3 fail to bind the authenticated principal in the MCP HTTP transport, causing all engine permission checks to silently pass as no-ops. Non-root MCP-allowed users can perform arbitrary database writes, DDL, schema mutations, and execute arbitrary JavaScript code via the query tool.
nvdaltovulnerabilidad CVSS 7.5 NVD

📬 Alertas semanales SI directo en tu email

Las vulnerabilidades más críticas para LATAM, con contexto y recomendaciones accionables. Gratis.

Suscribirme →
M Crítico vulnerabilidad
02/08/2026
[CVE-2026-68579] FreeRDP before 3.30.0 (<= 3.29.0) contains a heap-based buffer overflow in the Windows clipboard cli…
FreeRDP before 3.30.0 (
nvdcriticovulnerabilidad CVSS 9.6 NVD
M Alto vulnerabilidad
02/08/2026
[CVE-2026-68580] FreeRDP before 3.29.0 contains integer overflow vulnerabilities in the audio input redirection chann…
FreeRDP before 3.29.0 contains integer overflow vulnerabilities in the audio input redirection channel (audin) across ALSA, sndio, WinMM, and OpenSL ES backends that fail to validate the FramesPerPacket parameter from RDP servers. Attackers can supply a malicious FramesPerPacket value causing allocation size wraparound, resulting in heap-based buffer overflow on ALSA or denial of service on all pl…
nvdaltovulnerabilidad CVSS 7.5 NVD
M Alto vulnerabilidad
02/08/2026
[CVE-2025-71399] Better Auth relies on better-call, which uses the rou3 router library. In affected versions of rou3,…
Better Auth relies on better-call, which uses the rou3 router library. In affected versions of rou3, paths are normalized by removing empty segments, so /path, //path, and ///path resolve to the same route. In Better Auth versions prior to 1.4.5 (which bundles the fixed rou3), this can allow attackers to bypass disabledPaths configuration and path-based rate limits by submitting requests with extr…
nvdaltovulnerabilidad CVSS 8.6 NVD
M Alto vulnerabilidad
02/08/2026
[CVE-2025-71400] better-auth passkey versions before 1.4.0 contain an insecure direct object reference vulnerability …
better-auth passkey versions before 1.4.0 contain an insecure direct object reference vulnerability in the passkey deletion endpoint that allows authenticated users to delete arbitrary passkeys by ID. Attackers with valid sessions can submit crafted requests to the delete-passkey endpoint with enumerated passkey IDs to remove other users' passkeys.
nvdaltovulnerabilidad CVSS 7.1 NVD
M Crítico vulnerabilidad
02/08/2026
Vulnerabilidad crítica de omisión de autenticación en WooCommerce Social Login
El plugin WooCommerce - Social Login para WordPress (versiones hasta 2.8.7) permite eludir la autenticación mediante el manejador de inicio de sesión de Apple, que acepta tokens sin validar la firma JWT ni verificar las claves públicas de Apple. Esta vulnerabilidad afecta directamente a tiendas en línea en México y LATAM que utilizan este plugin para gestionar accesos de clientes, exponiendo cuentas y datos de transacciones a acceso no autorizado.
nvdcriticovulnerabilidad CVSS 9.8 NVD
M Alto vulnerabilidad
02/08/2026
Vulnerabilidad alta de Directory Traversal en plugin CubeWP Framework para WordPress (CVE-2026-13339)
El plugin CubeWP Framework para WordPress (versiones hasta 1.1.30) contiene una vulnerabilidad de traversal de directorios en la función 'cubewp_get_svg_content' que permite a atacantes sin autenticación leer archivos arbitrarios del servidor, incluyendo credenciales de bases de datos y configuraciones sensibles. Esta vulnerabilidad afecta especialmente a sitios de e-commerce y empresariales en LATAM que utilizan este framework para gestión de contenido. Con puntuación CVSS 7.5, representa un riesgo alto para la confidencialidad de datos corporativos.
nvdaltovulnerabilidad CVSS 7.5 NVD
M Alto vulnerabilidad
02/08/2026
CVE-2026-18352: Vulnerabilidad alta de Directory Traversal en User Access Manager para WordPress
El plugin User Access Manager para WordPress presenta una vulnerabilidad de recorrido de directorios (Directory Traversal) en todas las versiones hasta la 2.3.15, permitiendo a atacantes no autenticados leer archivos arbitrarios del servidor a través del parámetro 'uamgetfile'. Esta falla expone datos sensibles como configuraciones de base de datos, credenciales y archivos de configuración. Afecta principalmente a sitios WordPress en México y Latinoamérica que utilizan este plugin para gestionar permisos de acceso.
nvdaltovulnerabilidad CVSS 7.5 NVD
M Crítico vulnerabilidad
01/08/2026
Vulnerabilidad crítica en ArcadeDB permite ejecución de comandos del sistema operativo
ArcadeDB versiones anteriores a 26.7.2 contiene una vulnerabilidad que permite a usuarios autenticados con permisos de UPDATE_SCHEMA crear triggers JavaScript maliciosos que ejecutan comandos del sistema operativo mediante java.lang.Runtime. Empresas en LATAM que utilizan ArcadeDB en producción para bases de datos críticas están expuestas a compromiso total del servidor si no aplican el parche inmediatamente.
nvdcriticovulnerabilidad CVSS 9.8 NVD

🛡 ¿Estás expuesto a alguna de estas vulnerabilidades?

Evaluación gratuita inicial con el equipo 2MCI: identifica exposición y plan de remediación.

Habla con un experto →
M Crítico vulnerabilidad
01/08/2026
Vulnerabilidad crítica en ArcadeDB anterior a 26.7.2 permite ejecución arbitraria de código JavaScript
ArcadeDB versiones anteriores a 26.7.2 no validan correctamente permisos de scripting en sentencias SQL DEFINE FUNCTION con lenguaje JavaScript, permitiendo que usuarios con acceso a la base de datos ejecuten código malicioso y eludir controles de seguridad. Este fallo afecta principalmente a empresas en LATAM que utilizan ArcadeDB para aplicaciones críticas sin actualizar regularmente. El CVSS 9.8 indica riesgo crítico que requiere atención inmediata.
nvdcriticovulnerabilidad CVSS 9.8 NVD
M Crítico vulnerabilidad
01/08/2026
Vulnerabilidad crítica de bypass de autorización en ArcadeDB anterior a v26.7.2
ArcadeDB versiones anteriores a 26.7.2 contienen una vulnerabilidad de bypass de autorización en manejadores HTTP que afecta endpoints de series de tiempo, batch, Prometheus y Grafana. Los atacantes pueden acceder y modificar bases de datos sin permisos autorizados al invocar directamente estos endpoints con parámetros arbitrarios de base de datos. Esta falla impacta empresas en LATAM que usan ArcadeDB para almacenamiento de datos críticos o monitoreo.
nvdcriticovulnerabilidad CVSS 9.8 NVD
M Alto vulnerabilidad
01/08/2026
Vulnerabilidad alta en ArcadeDB: exposición de token de clúster en versiones anteriores a 26.7.2
ArcadeDB versiones anteriores a 26.7.2 no redactan correctamente el token de clúster en el endpoint GET /api/v1/server, permitiendo a usuarios autenticados obtener el valor arcadedb.ha.clusterToken en texto plano. Los atacantes pueden usar el token filtrado con headers X-ArcadeDB-Cluster-Token y X-ArcadeDB-Forwarded-User para suplantación de root y ejecutar acciones administrativas no autorizadas, incluyendo creación de usuarios y operaciones de base de datos.
nvdaltovulnerabilidad CVSS 8.8 NVD
M Alto vulnerabilidad
01/08/2026
Vulnerabilidad XPS almacenado en luci-app-https-dns-proxy permite ejecución de código en navegadores
luci-app-https-dns-proxy contiene una vulnerabilidad de cross-site scripting (XSS) almacenado en el parámetro resolver_url que permite a usuarios autenticados inyectar HTML activo. Cuando administradores visualizan la página de estado del Proxy DNS HTTPS, la URL del resolvedor se renderiza como HTML sin sanitizar, ejecutando JavaScript en el contexto del navegador del administrador. Esta vulnerabilidad afecta principalmente a dispositivos OpenWrt en redes corporativas y de educación en LATAM.
nvdaltovulnerabilidad CVSS 7.6 NVD
M Alto vulnerabilidad
01/08/2026
Vulnerabilidad alta de validación en better-auth permite ataques de redirección OAuth
better-auth versiones anteriores a 1.6.13 y pre-lanzamientos 1.7.0-beta.0 a 1.7.0-beta.3 no validan correctamente el esquema de URIs de redirección en los plugins oidc-provider y mcp, permitiendo a atacantes registrar clientes OAuth con URIs maliciosas (javascript:). Esto expone a usuarios a ataques de suplantación de identidad y robo de tokens en plataformas que dependen de esta librería para autenticación federada.
nvdaltovulnerabilidad CVSS 7.2 NVD