Empresa
¿Quiénes somos? Visión y Valores
Herramientas
Email Checker Vigía DNS SSL Checker Password Strength HTTP Headers
Alertas
Todas las alertas Vulnerabilidades Incidentes Solo críticas En CISA KEV
Editorial
Análisis técnico ¿Cuál es mi IP?
Blog
Blog 2MCI Noticias ISO 27001 Amenazas LATAM Recursos Gratuitos eBook Gratuito Newsletter Podcast / YouTube
Empresa
Servicios Contacto Suscribirse al Newsletter
Nuevo en 2MCI
Crear cuenta gratis Ver herramientas sin registro
Ya tengo cuenta
Iniciar sesión
Equipo
Portal interno 2MCI
Inicio/Alertas
Seguridad de la Información

Alertas de Seguridad de la Información

Vulnerabilidades explotadas activamente, incidentes y análisis relevantes para México y LATAM. Actualizado automáticamente desde fuentes oficiales.

48 vulnerabilidades en CISA KEV — explotación activa confirmada Ver todas →
Última alerta publicada ahora mismo
Buscando: "Ni" — 7474 resultados ✕ Limpiar búsqueda
22,662
Total alertas
4794
Críticas
17221
Altas
8
Ransomware
1396
Esta semana
RSS
M Alto vulnerabilidad
05/08/2026
[CVE-2026-71269] Node-RED's local-filesystem library storage module (getLibraryEntry() and saveLibraryEntry() in pack…
Node-RED's local-filesystem library storage module (getLibraryEntry() and saveLibraryEntry() in packages/node_modules/@node-red/runtime/lib/storage/localfilesystem/library.js), reachable via GET/POST /library/:lib/:type/*path, joins the user-supplied path parameter directly into the filesystem path via fspath.join(libDir, type, path) with no traversal sanitization, containment check, or path norma…
nvdaltovulnerabilidad CVSS 7.2 NVD
M Alto vulnerabilidad
05/08/2026
[CVE-2026-71270] Stirling-PDF's POST /api/v1/convert/url/pdf endpoint (ConvertWebsiteToPDF.java) was not updated with…
Stirling-PDF's POST /api/v1/convert/url/pdf endpoint (ConvertWebsiteToPDF.java) was not updated with the CustomHtmlSanitizer/SsrfProtectionService SSRF protections that were added to three sibling conversion endpoints (html/pdf, file/pdf, markdown/pdf). The endpoint validates only that the initial requested URL resolves to a public IP, then fetches the page's HTML server-side and hands it, unsanit…
nvdaltovulnerabilidad CVSS 8.6 NVD
M Alto vulnerabilidad
05/08/2026
[CVE-2026-71274] OpenBK7231T's CHANNEL_SetLabel() (src/cmnds/cmd_channels.c) stores channel labels received via the M…
OpenBK7231T's CHANNEL_SetLabel() (src/cmnds/cmd_channels.c) stores channel labels received via the MQTT SetChannelLabel command using strdup() with no HTML sanitization. CHANNEL_GetLabel() returns these labels unsanitized, and they are rendered via hprintf255() at 15+ locations in src/httpserver/http_fns.c with no HTML encoding. An attacker with MQTT broker access (commonly unauthenticated in real…
nvdaltovulnerabilidad CVSS 8.5 NVD
M Alto vulnerabilidad
05/08/2026
[CVE-2026-71266] tinyobjloader-c's tinyobj_parse_and_index_mtl_file() (tinyobj_loader_c.h) reads each line of a .mtl …
tinyobjloader-c's tinyobj_parse_and_index_mtl_file() (tinyobj_loader_c.h) reads each line of a .mtl material file into a fixed 4096-byte stack buffer `linebuf` via memcpy(linebuf, p, p_len), guarded only by `assert(p_len < 4095)`. Because assert() compiles to a no-op under -DNDEBUG (standard for release builds), a crafted .mtl file containing a line (e.g. a "newmtl" material name) longer than 4096…
nvdaltovulnerabilidad CVSS 7.8 NVD
M Alto vulnerabilidad
05/08/2026
Vulnerabilidad alta en Eclipse Theia 1.73.1 expone acceso no autorizado a archivos del servidor
Eclipse Theia versiones hasta 1.73.1 contienen una vulnerabilidad que permite a atacantes descargar archivos arbitrarios del servidor sin restricción de directorio workspace. El backend `@theia/filesystem` no valida correctamente las rutas URI en endpoints HTTP, afectando especialmente despliegues en navegador donde la validación de tokens es insuficiente. Empresas LATAM usando Theia como IDE en la nube corren riesgo de exposición de fuentes, configuraciones sensibles y datos de negocio.
nvdaltovulnerabilidad CVSS 7.5 NVD
M Alto vulnerabilidad
05/08/2026
Vulnerabilidad alta en nanoMODBUS v1.23.0: desbordamiento de búfer en lectura de identificación
nanoMODBUS versiones anteriores a v1.24.0 contiene una escritura fuera de límites en la función recv_read_device_identification_res() (FC 0x2B/MEI 0x0E) que permite a servidores Modbus remotos sobrescribir memoria del cliente. Esta vulnerabilidad afecta sistemas de automatización industrial, SCADA y dispositivos IoT en plantas manufactureras, utilities y infraestructura alta en LATAM. Un atacante en la red puede ejecutar código arbitrario o causar denial of service explotando validaciones insuficientes del campo object_length.
nvdaltovulnerabilidad CVSS 8.6 NVD
M Crítico vulnerabilidad
05/08/2026
Vulnerabilidad crítica en nanoMODBUS v1.23.0: lectura fuera de límites en identificación de dispositivos
nanoMODBUS hasta la versión 1.23.0 contiene una vulnerabilidad de lectura fuera de los límites de la pila que permite escritura de punteros salvajes en la función nmbs_read_device_identification_basic(). Un campo object_id no validado (0-255) desde la red causa acceso a memoria no inicializada. Afecta sistemas SCADA, HMI y equipos IoT industriales en plantas manufactureras y servicios críticos de LATAM.
nvdcriticovulnerabilidad CVSS 9.8 NVD

📬 Alertas semanales SI directo en tu email

Las vulnerabilidades más críticas para LATAM, con contexto y recomendaciones accionables. Gratis.

Suscribirme →
M Alto vulnerabilidad
05/08/2026
[CVE-2026-46581] In Eclipse Mojarra versions 2.3 and following, URL handing in `DefaultFaceletFactory` does not prope…
In Eclipse Mojarra versions 2.3 and following, URL handing in `DefaultFaceletFactory` does not properly sanitize and/or block remote URLs, allowing an attacker to specify a URL to a remote Facelet which will be included and processed as part of the normal request, with the privileges of the target server. This could allow access to restricted files such as `WEB-INF/web.xml` or `/etc/passwd`.
nvdaltovulnerabilidad CVSS 7.5 NVD
M Alto vulnerabilidad
05/08/2026
Vulnerabilidad alta en plugin wp-downloadmanager permite carga de archivos arbitrarios
El plugin wp-downloadmanager en versiones 1.68.11 y 6.9.4 contiene una vulnerabilidad que permite a usuarios administradores cargar archivos sin validación de extensión ni tipo MIME a través de download-add.php. Esta falla afecta directamente a sitios WordPress en LATAM que dependen de este plugin para gestión de descargas, exponiendo servidores a ejecución de código malicioso y compromisos totales del sitio.
nvdaltovulnerabilidad CVSS 7.2 NVD
M Alto vulnerabilidad
05/08/2026
Vulnerabilidad alta en toner-management: ejecución de operaciones sin autenticación
Los manejadores de cambio de estado en toner-management (add.php, edit.php, delete.php) ejecutan operaciones de base de datos sin validación de autenticación ni autorización. Un atacante remoto no autenticado puede invocar directamente estos handlers para modificar, eliminar o crear registros de tóners, marcas y impresoras, comprometiendo la integridad de sistemas de gestión de suministros en empresas latinoamericanas. El CVSS 8.2 refleja el alto riesgo de manipulación de datos altas.
nvdaltovulnerabilidad CVSS 8.2 NVD
M Alto vulnerabilidad
05/08/2026
Vulnerabilidad de Autorización en Crater: Acceso no autorizado a notas sin validación de empresa
Crater presenta una falla alta en su NotePolicy que valida permisos genéricos (manage-all-notes/view-all-notes) sin verificar la propiedad de la empresa asociada, a diferencia de InvoicePolicy. Los controladores NotesController permiten acciones show(), update() y destroy() sin pasar el modelo Note afectado, exponiendo notas de otras organizaciones. Este defecto afecta a empresas en LATAM que usan Crater para gestión de facturas y documentación.
nvdaltovulnerabilidad CVSS 8.3 NVD
M Alto vulnerabilidad
05/08/2026
Vulnerabilidad de inyección SQL en Mautic afecta gestión de contactos
Mautic presenta una vulnerabilidad alta (CVSS 7.1) en el controlador AjaxController donde el parámetro 'field' no se valida correctamente antes de ser usado como identificador SQL directo. Un atacante autenticado podría ejecutar consultas SQL arbitrarias para acceder, modificar o exfiltrar datos de contactos (leads) en sistemas que usan esta plataforma de marketing automation, común en empresas medianas y agencias de LATAM.
nvdaltovulnerabilidad CVSS 7.1 NVD
M Crítico vulnerabilidad
05/08/2026
Inyección SQL crítica en Inventory-Management-System-PHP permite bypass de autenticación
El sistema de gestión de inventario PHP contiene vulnerabilidades de inyección SQL en los módulos login.php y delete.php debido a la concatenación insegura de parámetros POST sin validación ni uso de consultas parametrizadas. Un atacante puede ejecutar consultas arbitrarias, eludir la autenticación y manipular datos de inventario críticos en sistemas empresariales de LATAM que dependen de este software.
nvdcriticovulnerabilidad CVSS 9.8 NVD
M Alto vulnerabilidad
05/08/2026
Vulnerabilidad alta de autenticación en Documize Community permite acceso no autorizado a archivos
Documize Community contiene una falla de autenticación en su ruta de descarga de adjuntos que permite a atacantes eludir completamente la autenticación usando cualquier valor no vacío en el parámetro 'secure'. Esto expone documentos y archivos confidenciales en empresas que utilizan esta plataforma para gestión de contenido. Con CVSS 7.5, afecta significativamente la confidencialidad de datos en organizaciones mexicanas y latinoamericanas que almacenan información sensible en Documize.
nvdaltovulnerabilidad CVSS 7.5 NVD
M Alto vulnerabilidad
05/08/2026
Vulnerabilidad alta en Magistrala: Motor de reglas permite ejecución remota de código
El motor de reglas de Magistrala permite a usuarios autenticados crear reglas con scripts Go o Lua que se ejecutan en el servidor cuando llegan mensajes IoT. El intérprete Yaegi expone la librería estándar de Go completa (incluidos módulos os y net/http), permitiendo a atacantes autenticados ejecutar código arbitrario con acceso al sistema operativo. Esta vulnerabilidad afecta altas despliegues IoT en manufactura, utility y ciudades inteligentes en LATAM.
nvdaltovulnerabilidad CVSS 8.8 NVD

🛡 ¿Estás expuesto a alguna de estas vulnerabilidades?

Evaluación gratuita inicial con el equipo 2MCI: identifica exposición y plan de remediación.

Habla con un experto →
M Crítico vulnerabilidad
05/08/2026
Inyección SQL crítica en Miantang/IoT-PHP permite autenticación sin credenciales válidas
La aplicación Miantang/IoT-PHP contiene una vulnerabilidad de inyección SQL en la ruta POST /userlogin debido a que no sanitiza el parámetro de contraseña antes de concatenarlo en una consulta SQL raw. Un atacante puede eludir la autenticación ingresando caracteres especiales en el campo de contraseña. Esta vulnerabilidad afecta sistemas IoT y aplicaciones embebidas en infraestructuras críticas de LATAM, permitiendo acceso no autorizado a datos sensibles y control del dispositivo.
nvdcriticovulnerabilidad CVSS 9.8 NVD
M Crítico vulnerabilidad
05/08/2026
[CVE-2026-71238] DjangoCRM ships with its Django SECRET_KEY hardcoded directly in the committed webcrm/settings.py ra…
DjangoCRM ships with its Django SECRET_KEY hardcoded directly in the committed webcrm/settings.py rather than read from an environment variable. Since this key is used for session signing, CSRF token generation, and password reset tokens, anyone who reads the public repository can forge valid session cookies (including for the superadmin account), forge CSRF tokens, and forge password reset tokens…
nvdcriticovulnerabilidad CVSS 9.1 NVD
M Alto vulnerabilidad
05/08/2026
[CVE-2026-71239] DjangoCRM's massmail module renders user-controlled EmlMessage fields (subject, content) through Dja…
DjangoCRM's massmail module renders user-controlled EmlMessage fields (subject, content) through Django's Template() constructor with no sanitization, in at least three locations: message_previews.py builds an f-string embedding message.subject/message.content directly into a Template() call; email_creators.py passes eml_message.subject directly as a template string to Template(); and helpers.py c…
nvdaltovulnerabilidad CVSS 8.1 NVD
M Alto vulnerabilidad
05/08/2026
Vulnerabilidad alta en Book-Management-System: endpoints Flask exponen datos de estudiantes sin autenticación
Los endpoints /student, /record, /books, /find_stu_book y /find_not_return_book carecen del decorador @login_required, permitiendo acceso no autenticado a información personal de estudiantes (nombre, género, estado de carné, deuda) e historial completo de préstamos mediante suministro de card_id. Afecta instituciones educativas y bibliotecas en LATAM que utilizan este sistema de gestión.
nvdaltovulnerabilidad CVSS 7.5 NVD
M Crítico vulnerabilidad
05/08/2026
[CVE-2026-66747] Zbtlink router firmware ships an embedded remote-control implant, ENDLESSDOORS, present in every pub…
Zbtlink router firmware ships an embedded remote-control implant, ENDLESSDOORS, present in every published build across the product line. It is the open-source ycsunjane/rctl tool built in as an OpenWrt package (librctl.so), started at boot and run as root under the process name kworker to blend in with the kernel's [kworker/*] threads. It opens no listening port; it phones home over cleartext TCP…
nvdcriticovulnerabilidad CVSS 9.8 NVD