Alertas de Seguridad de la Información

M Alto vulnerabilidad

01/10/2026

[CVE-2026-103687] A vulnerability has been found in rhukster dom-sanitizer up to 1.0.15. The affected element is the f…

A vulnerability has been found in rhukster dom-sanitizer up to 1.0.15. The affected element is the function url of the file src/DOMSanitizer.php of the component SVG Sanitization. Such manipulation leads to incomplete blacklist. It is possible to launch the attack remotely. The exploit has been disclosed to the public and may be used. Upgrading to version 1.0.16 is sufficient to fix this issue. Th…

nvdaltovulnerabilidad CVSS 7.3 NVD

M Alto vulnerabilidad

01/10/2026

[CVE-2024-58388] Sharp (and Toshiba Tec rebranded) multifunction printers contain an unauthenticated local file inclu…

Sharp (and Toshiba Tec rebranded) multifunction printers contain an unauthenticated local file inclusion vulnerability that allows remote attackers to read arbitrary files by manipulating the path parameter in the installed_emanual_down.html endpoint. Attackers can supply directory traversal sequences such as path=/manual/../../../ to access files outside the intended manual directory, inclu…

nvdaltovulnerabilidad CVSS 7.5 NVD

M Crítico vulnerabilidad

01/10/2026

[CVE-2026-79901] In deployments using BoKS keytab management, affected versions of boks_keytabmd generate Active Dire…

In deployments using BoKS keytab management, affected versions of boks_keytabmd generate Active Directory service-account passwords from a predictable pseudo-random sequence seeded with the current Unix timestamp. An attacker who knows the service principal and can estimate the password-change time can reproduce a limited candidate set and verify candidates offline.

nvdcriticovulnerabilidad CVSS 9.9 NVD

M Alto vulnerabilidad

01/10/2026

Vulnerabilidad SSRF alta en Budibase 3.41.0 afecta generación de tablas con IA

Budibase versiones hasta 3.41.0 contiene una vulnerabilidad de Server-Side Request Forgery (SSRF) en la función de generación de tablas con IA. Usuarios autenticados pueden explotar la función uploadUrl en fileUtils.ts para enviar solicitudes a URLs internas, obteniendo acceso a recursos sensibles del servidor. El impacto afecta especialmente a empresas en LATAM que usan Budibase en entornos productivos sin aislamiento de red adecuado.

nvdaltovulnerabilidad CVSS 7.7 NVD

M Alto vulnerabilidad

01/10/2026

Vulnerabilidad alta en Ghost: inyección XLS afecta versiones 0.5.3 a 6.49.x

Ghost (plataforma de blogging y CMS) contiene una falla de sanitización en la etiqueta JSON-LD del helper {{ghost_head}} que permite a usuarios autenticados con permisos limitados inyectar código malicioso. El script se ejecuta en páginas publicadas, poniendo en riesgo las sesiones administrativas de staff cuando visualizan contenido comprometido. Afecta versiones desde 0.5.3 hasta anteriores a 6.50.0.

nvdaltovulnerabilidad CVSS 8.0 NVD

M Alto vulnerabilidad

01/10/2026

Vulnerabilidad alta en Ghost 6.20.0-6.57.0: escalación de privilegios en sesiones de administrador

Ghost versiones 6.20.0 a 6.57.0 contienen un fallo en la gestión de sesiones que permite a usuarios autenticados con credenciales de staff suplantary otros administradores sin necesidad de contraseña, eludiendo autenticación de dos factores. Empresas que alojan plataformas Ghost en LATAM enfrentan riesgo alta de compromiso de cuentas administrativas y acceso no autorizado a funciones sensibles de gestión de contenidos.

nvdaltovulnerabilidad CVSS 8.1 NVD

M Alto vulnerabilidad

01/10/2026

Vulnerabilidad alta de escalada de privilegios en Ghost 2.21.0 a 6.55.9

Ghost, plataforma de contenido de código abierto ampliamente usada en LATAM, contiene una vulnerabilidad de escalada de privilegios (CVSS 7.3) en su sistema de notificaciones. Usuarios con acceso de personal de bajo nivel pueden elevar sus permisos a roles administrativos sin autorización válida. El riesgo es alto para empresas que ejecutan Ghost auto-alojado o en infraestructura propia en México y Latinoamérica.

nvdaltovulnerabilidad CVSS 7.3 NVD

M Alto vulnerabilidad

01/10/2026

Vulnerabilidad alta en Ghost: ejecución de scripts no confiables en oEmbed (CVE-2026-103277)

Las versiones de Ghost desde 2.5.0 hasta 6.34.0 contienen una vulnerabilidad de ejecución de scripts no confiables en la función de vista previa oEmbed, que no sandbox adecuadamente scripts externos. Atacantes pueden inyectar contenido oEmbed malicioso para ejecutar código en la sesión administrativa de usuarios autenticados, comprometiendo el acceso administrativo de plataformas de blogs y contenido. Este riesgo es alta para empresas medianas en LATAM que utilizan Ghost para portales corporativos, landing pages y sitios de marketing.

nvdaltovulnerabilidad CVSS 8.1 NVD

M Alto vulnerabilidad

01/10/2026

Vulnerabilidad alta en Ghost 5.8.0 a 6.33.x permite toma de control de cuentas administrativas

Ghost versiones 5.8.0 hasta 6.33.x contiene una falla de validación de entrada en el iframe administrativo que permite a atacantes con privilegios de publicación comprometer cuentas de personal mediante ingeniería social. Un usuario administrativo que visite una página maliciosa crafteada puede perder control de su cuenta, exponiendo configuraciones altas, contenido sensible y credenciales integradas en plataformas de contenido empresarial en LATAM.

nvdaltovulnerabilidad CVSS 7.3 NVD

M Alto vulnerabilidad

01/10/2026

Vulnerabilidad de autenticación en Ghost anterior a 6.62.0 permite reactivación de cuentas suspendidas

Ghost versions anteriores a 6.62.0 contienen una vulnerabilidad que permite a usuarios del personal suspendido reactivar sus cuentas mediante restablecimiento de contraseña autogestionado. Un atacante con credenciales de staff suspendido puede ejecutar operaciones de restablecimiento de contraseña para recuperar acceso activo y restaurar privilegios originales, comprometiendo la integridad de sistemas de gestión de contenido en empresas de medios, agencias y plataformas editoriales en LATAM.

nvdaltovulnerabilidad CVSS 8.8 NVD

M Alto vulnerabilidad

01/10/2026

Vulnerabilidad alta en Ghost 4.0.0-6.62.x permite acceso no autenticado a contenido restringido

Ghost versiones 4.0.0 a 6.62.x contienen una vulnerabilidad en la API de contenido que permite a visitantes no autenticados acceder a posts protegidos mediante consultas directas a la API, eludiendo restricciones de acceso. Afecta principalmente a plataformas editoriales y SaaS que utilizan Ghost como CMS, especialmente alta en México y LATAM donde proliferan blogs corporativos y medios digitales con contenido de suscripción.

nvdaltovulnerabilidad CVSS 7.5 NVD

M Alto vulnerabilidad

01/10/2026

Vulnerabilidad de enumeración de personal en Ghost 2.10.0 a 6.62.x permite fuga de datos sin autenticación

Ghost versiones 2.10.0 hasta 6.62.x contienen una vulnerabilidad en la API de contenido que permite a atacantes no autenticados enumerar miembros del personal y extraer información sensible analizando discrepancias en respuestas de metadatos. Afecta principalmente a plataformas de publicación y blogs empresariales en LATAM que utilizan Ghost como CMS, exponiendo datos de usuarios administradores y editores.

nvdaltovulnerabilidad CVSS 7.5 NVD

M Alto vulnerabilidad

01/10/2026

Vulnerabilidad alta de acumulación de memoria en Tornado anterior a 6.5.9

Tornado versions anteriores a 6.5.9 contienen una vulnerabilidad de acumulación ilimitada de memoria en CurlAsyncHTTPClient que permite a atacantes remotos causar denegación de servicio. Los atacantes pueden enviar bombas de descompresión gzip que se acumulan sin límites en memoria, provocando que el proceso de la aplicación sea terminado por condiciones de falta de memoria. Esto afecta directamente a aplicaciones web y APIs en producción que procesan respuestas comprimidas sin validación de tamaño.

nvdaltovulnerabilidad CVSS 7.5 NVD

M Crítico vulnerabilidad

01/10/2026

Vulnerabilidad crítica de autenticación en Fleet versiones anteriores a 4.87.0

Fleet antes de la versión 4.87.0 contiene una vulnerabilidad de omisión de autenticación en la API de dispositivos que permite a atacantes no autenticados usar nombres de host o números de serie como tokens válidos. Los atacantes pueden acceder a datos de dispositivos iOS/iPadOS, instalar software malicioso e iniciar migraciones MDM. Esta vulnerabilidad afecta empresas en LATAM que gestionan flotas de dispositivos móviles corporativos.

nvdcriticovulnerabilidad CVSS 9.1 NVD

M Alto vulnerabilidad

01/10/2026

Vulnerabilidad alta en Ghost 5.2.0 a 6.61.x permite inyección de contenido sin autenticación

Ghost versions 5.2.0 hasta anteriores a 6.62.0 contienen una vulnerabilidad que permite a atacantes remotos, sin autenticación, explotar el flujo de Stripe Checkout para adjuntar suscripciones pagas a miembros existentes, modificar nombres de usuarios e inyectar contenido malicioso en newsletters. El contenido inyectado puede ejecutarse como HTML o XSS dependiendo del cliente de correo, afectando principalmente a plataformas de publicación y membership en LATAM que utilizan Ghost para contenido de pago.

nvdaltovulnerabilidad CVSS 7.1 NVD

M Alto vulnerabilidad

01/10/2026

Vulnerabilidad alta de path traversal en n8n permite acceso no autorizado a workflows y credenciales

n8n versiones anteriores a 1.123.80, de 2.0.0 antes de 2.39.6 y de 2.40.0 antes de 2.40.1 contienen una vulnerabilidad de path traversal que permite a atacantes redirigir llamadas API a recursos no autorizados. Esto expone workflows, ejecuciones y secretos de credenciales dentro del alcance de la clave API, representando un riesgo alta para automatizaciones en producción en empresas LATAM que dependen de n8n para integraciones de negocio.

nvdaltovulnerabilidad CVSS 7.7 NVD

M Crítico vulnerabilidad

01/10/2026

[CVE-2026-103255] n8n versions before 1.123.80, from 2.0.0 before 2.39.6, and from 2.40.0 before 2.40.1 contain a path…

n8n versions before 1.123.80, from 2.0.0 before 2.39.6, and from 2.40.0 before 2.40.1 contain a path traversal vulnerability in the Supabase node where the tableId parameter is inserted into request paths without validation. Attackers can exploit workflows binding tableId to untrusted input to traverse to Auth and Storage APIs using the administrative serviceRole key, bypassing Row Level Security …

nvdcriticovulnerabilidad CVSS 9.0 NVD

M Alto vulnerabilidad

01/10/2026

[CVE-2026-103250] n8n versions before 1.123.80, from 2.0.0 before 2.39.6, and from 2.40.0 before 2.40.1 contain a NoSQ…

n8n versions before 1.123.80, from 2.0.0 before 2.39.6, and from 2.40.0 before 2.40.1 contain a NoSQL injection vulnerability in the MongoDB Chat Memory node that fails to validate the sessionId parameter. Unauthenticated attackers can supply MongoDB query operators in the sessionId field to access conversation histories from other users and perform unauthorized write and delete operations.

nvdaltovulnerabilidad CVSS 8.1 NVD

M Alto vulnerabilidad

01/10/2026

[CVE-2026-103251] n8n versions before 1.123.80, from 2.0.0 before 2.39.6, and from 2.40.0 before 2.40.1 contain a vali…

n8n versions before 1.123.80, from 2.0.0 before 2.39.6, and from 2.40.0 before 2.40.1 contain a validation bypass vulnerability in the community package installation handler for queue mode deployments. Attackers with Redis write access can bypass name validation, permission checks, checksum verification, and npm safety checks to install arbitrary npm packages across all cluster instances without a…

nvdaltovulnerabilidad CVSS 7.1 NVD

M Crítico vulnerabilidad

01/10/2026

[CVE-2026-103244] ground-station versions before 0.8.0 contain an authentication bypass vulnerability in the setup.res…

ground-station versions before 0.8.0 contain an authentication bypass vulnerability in the setup.restore command that allows unauthenticated attackers to execute arbitrary SQL during first-run setup mode. Attackers can invoke setup.restore via Socket.IO to plant admin users and forged session tokens, then authenticate as administrator without credentials for complete application takeover.

nvdcriticovulnerabilidad CVSS 9.8 NVD