Alertas de Seguridad de la Información

M Alto vulnerabilidad

Hace 4 días

[CVE-2026-82531] Smarty before 4.5.8 and 5.x before 5.8.5 contains a code injection vulnerability where the top-level…

Smarty before 4.5.8 and 5.x before 5.8.5 contains a code injection vulnerability where the top-level nocache_hash is never restored during extends:/multi-component template inheritance, leaving it null. Attackers can supply assigned data containing a forged SmartyNocache marker that is copied verbatim into the regenerated PHP cache file, executing arbitrary PHP on include for remote code execution…

nvdaltovulnerabilidad CVSS 8.1 NVD

M Alto vulnerabilidad

Hace 4 días

[CVE-2026-105919] A vulnerability was found in Kusalkasilva Learning-Management-System up to ffeb873f8803f1e9664384ff7…

A vulnerability was found in Kusalkasilva Learning-Management-System up to ffeb873f8803f1e9664384ff75000c7da45466d2. The affected element is the function mysql_query of the file admin/login.php of the component Administrator Login Endpoint. The manipulation of the argument username/password results in sql injection. The attack can be launched remotely. The exploit has been made public and could be…

nvdaltovulnerabilidad CVSS 7.3 NVD

M Alto vulnerabilidad

Hace 4 días

[CVE-2026-105835] PLANKA 2.2.0 through 2.2.1 fails to limit incorrect TOTP codes submitted to POST /api/access-tokens/…

PLANKA 2.2.0 through 2.2.1 fails to limit incorrect TOTP codes submitted to POST /api/access-tokens/verify-totp, allowing attackers to brute force two-factor authentication codes. Attackers who know a user's password can reuse the ten-minute pending token to guess six-digit codes until one succeeds, obtaining a full access token.

nvdaltovulnerabilidad CVSS 7.4 NVD

M Alto vulnerabilidad

Hace 4 días

Inyección SQL alta en Kusalkasilva Learning-Management-System compromete credenciales

Se ha identificado una vulnerabilidad de inyección SQL (CVSS 7.3) en el endpoint de login de Kusalkasilva Learning-Management-System que permite manipular los parámetros de usuario y contraseña para acceder no autorizado a bases de datos. La falla reside en la función mysql_error del archivo login.php y puede ser explotada remotamente sin autenticación previa. Este riesgo es alta para instituciones educativas y corporativas en LATAM que usen este LMS, exponiendo registros académicos, datos personales y credenciales de usuarios.

nvdaltovulnerabilidad CVSS 7.3 NVD

M Alto vulnerabilidad

Hace 4 días

Ejecución remota de código autenticada en Craft CMS 5.10.13.2

Craft CMS 5.10.13.2 contiene una vulnerabilidad de ejecución remota de código (RCE) en el panel de control que afecta a usuarios autenticados. Un atacante con acceso básico al panel puede manipular propiedades de componentes y tipos de entrada para ejecutar código arbitrario. Esta vulnerabilidad impacta principalmente a agencias web, desarrolladores y empresas en LATAM que utilizan Craft CMS como gestor de contenidos.

nvdaltovulnerabilidad CVSS 8.8 NVD

M Alto vulnerabilidad

Hace 4 días

XSS sin autenticación en Fluent Forms Pro Add On Pack <= 6.2.13

Vulnerabilidad de Cross Site Scripting (XSS) sin autenticación afecta Fluent Forms Pro Add On Pack en versiones 6.2.13 y anteriores. Atacantes pueden inyectar código malicioso en formularios web sin credenciales, comprometiendo datos de usuarios y sesiones. Esta vulnerabilidad impacta principalmente a empresas en LATAM que usan este plugin en WordPress para gestión de formularios y contacto.

nvdaltovulnerabilidad CVSS 7.1 NVD

M Alto vulnerabilidad

Hace 4 días

Control de Acceso Roto sin Autenticación en BEAR hasta versión 1.2.2 (CVSS 7.3)

Se identificó una vulnerabilidad de control de acceso roto que permite a atacantes sin autenticación acceder a recursos protegidos en BEAR versiones 1.2.2 y anteriores. Esta falla afecta principalmente a servidores web y aplicaciones en México y LATAM que utilizan este software. El riesgo es elevado en entornos expuestos a internet sin validación adicional de permisos.

nvdaltovulnerabilidad CVSS 7.3 NVD

M Alto vulnerabilidad

Hace 4 días

Escalación de privilegios sin autenticación en SMS Alert Order Notifications v4.0.0 y anteriores

Se ha identificado una vulnerabilidad alta (CVSS 8.1) en SMS Alert Order Notifications que permite a atacantes no autenticados escalar privilegios en sistemas afectados. Esta falla impacta directamente plataformas de gestión de pedidos y notificaciones en empresas de retail, e-commerce y logística de México y Latinoamérica. La vulnerabilidad afecta versiones 4.0.0 y anteriores, representando riesgo inmediato para operaciones que dependen de estas notificaciones.

nvdaltovulnerabilidad CVSS 8.1 NVD

M Alto vulnerabilidad

Hace 4 días

Control de Acceso Roto en Progress Planner <= 1.10.0 (CVSS 8.8)

Progress Planner versiones 1.10.0 y anteriores contienen una vulnerabilidad de control de acceso roto que permite a suscriptores no autorizados acceder a recursos restringidos. Esta falla afecta principalmente a organizaciones en LATAM que utilizan esta herramienta para gestión de proyectos en entornos empresariales altas, exponiendo datos sensibles de planificación y operaciones.

nvdaltovulnerabilidad CVSS 8.8 NVD

M Alto vulnerabilidad

Hace 4 días

XSS no autenticado en Video Background Block (≤2.0.3) – CVSS 7.1

Vulnerabilidad de Cross-Site Scripting (XSS) sin autenticación en el plugin Video Background Block permite a atacantes inyectar código malicioso a través de la funcionalidad de video de fondo en secciones. Afecta versiones 2.0.3 y anteriores. El riesgo es alto para sitios WordPress en México y LATAM que usen este componente sin actualizar, exponiendo a robo de sesiones y datos de usuarios.

nvdaltovulnerabilidad CVSS 7.1 NVD

M Alto vulnerabilidad

Hace 4 días

[CVE-2026-42635] XSS sin autenticación en WooCommerce Simple Auctions <= 3.0.10

Vulnerabilidad de Cross Site Scripting (XSS) sin autenticación requerida en WooCommerce Simple Auctions afecta versiones hasta 3.0.10. Permite a atacantes inyectar código malicioso en tiendas de comercio electrónico, comprometiendo sesiones de clientes y administradores. Riesgo alta para plataformas de subastas basadas en WordPress en LATAM.

nvdaltovulnerabilidad CVSS 7.1 NVD

M Alto vulnerabilidad

Hace 4 días

XSS sin autenticación en WP Cookie Notice for GDPR, CCPA & ePrivacy Consent <= 4.4.6

Una vulnerabilidad de Cross Site Scripting (XSS) sin autenticación afecta el plugin WP Cookie Notice en versiones hasta 4.4.6, permitiendo a atacantes inyectar código malicioso que se ejecuta en navegadores de visitantes. El riesgo es alta para sitios WordPress en México y LATAM que dependen de este plugin para cumplir normativas de privacidad (GDPR, CCPA, ePrivacy), pudiendo comprometer datos de usuarios y credibilidad organizacional.

nvdaltovulnerabilidad CVSS 7.1 NVD

M Alto vulnerabilidad

Hace 4 días

Control de acceso roto sin autenticación en Easy Digital Downloads versiones ≤ 3.7.1

Easy Digital Downloads, plugin de WordPress ampliamente usado en LATAM para venta de contenido digital, presenta una vulnerabilidad alta de control de acceso que permite a atacantes no autenticados acceder a funcionalidades restringidas. Esta falla afecta principalmente a tiendas digitales y plataformas de distribución de contenido en México y Latinoamérica que dependen de este plugin para gestionar transacciones y datos sensibles.

nvdaltovulnerabilidad CVSS 7.5 NVD

M Alto vulnerabilidad

Hace 4 días

Escalada de privilegios en PublishPress Capabilities permite asignación incorrecta de permisos

Una vulnerabilidad de asignación incorrecta de privilegios (CVE-2026-48197, CVSS 7.2) afecta PublishPress Capabilities hasta la versión 2.45.0, permitiendo que usuarios no autorizados escalen sus permisos dentro de sitios WordPress. Este riesgo es alta para empresas en LATAM que dependen de WordPress para gestión de contenidos y requieren control granular de accesos. La explotación podría comprometer la integridad editorial y el acceso a datos sensibles.

nvdaltovulnerabilidad CVSS 7.2 NVD

M Alto vulnerabilidad

Hace 4 días

Vulnerabilidad alta de control de acceso en Sermon'e versiones ≤ 1.0.2

Sermon'e versiones 1.0.2 y anteriores presentan un fallo alta de control de acceso que permite a atacantes no autenticados acceder a funcionalidades y datos sensibles sin credenciales válidas (CVSS 7.5). Esta vulnerabilidad afecta directamente sistemas web y aplicaciones que utilizan este software en entornos empresariales de México y Latinoamérica, comprometiendo la confidencialidad e integridad de la información.

nvdaltovulnerabilidad CVSS 7.5 NVD

M Alto vulnerabilidad

Hace 4 días

Exposición de datos sensibles sin autenticación en Norvis Backup versiones ≤ 1.1.0

Norvis Backup en versiones 1.1.0 y anteriores permite acceso no autenticado a datos sensibles, exponiendo información alta de respaldos sin requerir credenciales de acceso. Esta vulnerabilidad afecta directamente a empresas en México y LATAM que dependen de esta solución para proteger datos corporativos, comprometiendo la confidencialidad de información de clientes y operaciones.

nvdaltovulnerabilidad CVSS 7.5 NVD

M Alto vulnerabilidad

Hace 4 días

[CVE-2026-42413] Unauthenticated Sensitive Data Exposure in Snapshotify &#8211; All-in-One Backup &amp; Restore &amp;…

Unauthenticated Sensitive Data Exposure in Snapshotify &#8211; All-in-One Backup &amp; Restore &amp; Migrate

nvdaltovulnerabilidad CVSS 7.5 NVD

M Alto vulnerabilidad

Hace 4 días

[CVE-2026-42418] Unauthenticated Cross Site Scripting (XSS) in Social Rocket <= 1.3.5 versions.

Unauthenticated Cross Site Scripting (XSS) in Social Rocket

nvdaltovulnerabilidad CVSS 7.1 NVD

M Alto vulnerabilidad

Hace 4 días

[CVE-2026-40806] Unauthenticated Cross Site Scripting (XSS) in Blog, Posts and Category Filter for Elementor <= 2.1.0…

Unauthenticated Cross Site Scripting (XSS) in Blog, Posts and Category Filter for Elementor

nvdaltovulnerabilidad CVSS 7.1 NVD

M Alto vulnerabilidad

Hace 4 días

[CVE-2026-40807] Unauthenticated Cross Site Scripting (XSS) in CF7 Views &#8211; Complete Entry Management for Contac…

Unauthenticated Cross Site Scripting (XSS) in CF7 Views &#8211; Complete Entry Management for Contact Form 7

nvdaltovulnerabilidad CVSS 7.1 NVD