Alertas de Seguridad de la Información

goose 1.37.0 executes arbitrary commands from recipe stdio extensions and retry.checks without security inspection. Attackers can distribute malicious recipes that execute shell commands as the user running goose, bypassing the recipe security scan which does not inspect extensions or retry configurations.

firecrawl-mcp-server 3.20.2 contains an arbitrary local file read vulnerability in the firecrawl_parse tool that accepts unconstrained filePath arguments without directory containment validation. Attackers can supply absolute paths or directory traversal sequences to read sensitive files like credentials and environment variables, which are then uploaded and returned to the model context.

Acunetix 25.11.251107123 for Windows contains a local privilege escalation vulnerability in the Web Vulnerability Scanning Engine (wvsc.exe) that allows low-privileged local attackers to execute arbitrary code as SYSTEM by exploiting a missing hardcoded directory path for OpenSSL-related files. Attackers can create the missing directory, place a malicious file at the expected path, and cause the S…

IBM App Connect Enterprise 13.0.1.0 through 13.0.8.1, and 12.0.1.0 through 12.0.12.28 and IBM Integration Bus for z/OS 10.1.0.0 through 10.1.0.7 SAP Adapter is vulnerable to an XML external entity (XXE) attack.

A vulnerability was detected in code-projects Vehicle Management System 1.0. The affected element is an unknown function of the file /busprofile.php. Performing a manipulation of the argument busid results in sql injection. It is possible to initiate the attack remotely. The exploit is now public and may be used.

Improper neutralization of special elements used in an SQL command ('SQL injection') vulnerability in TAC Information Services Internal and External Trade Inc. GOLDENHORN ONEIT allows Blind SQL Injection. This issue affects GOLDENHORN ONEIT: before Göbeklitepe.

Snipe-IT versiones anteriores a 8.6.2 contienen una falla de autorización en reportes de aceptación de checkout cuando está habilitado el soporte multi-empresa. Usuarios autenticados con permiso reports.view pueden enumerar IDs secuenciales, eliminar o enviar recordatorios de aceptaciones de otras empresas, comprometiendo la integridad de datos de auditoría y control de activos en organizaciones con múltiples sucursales en LATAM.

Grav antes de la versión 2.0.19 contiene una vulnerabilidad de ejecución remota de código (RCE) en el filtro Twig sort, que permite a usuarios autenticados ejecutar código PHP arbitrario mediante la función spl_autoload omitida en el denylist de seguridad. Afecta principalmente a sitios que utilizan Grav como CMS para portales web, intranets y aplicaciones empresariales en LATAM. El impacto es alta (CVSS 8.8) ya que compromete completamente la integridad del servidor.

Openpanel versiones anteriores a 2.3.0 contiene una vulnerabilidad de falsificación de solicitud del lado del servidor (SSRF) sin autenticación en el endpoint GET /tools/site-checker. Un atacante remoto puede enviar URLs arbitrarias a través del parámetro de consulta url, forzando al servidor a realizar peticiones HTTP a sistemas internos y externos sin validación. Este vector afecta especialmente a proveedores de hosting y servicios web en LATAM que utilizan Openpanel como panel de control.

OpenPanel versiones anteriores a 2.3.0 contiene una falla en la validación de expresiones de fórmulas en gráficos que permite a miembros autenticados del proyecto con acceso de lectura ejecutar código arbitrario. Los atacantes pueden recuperar el constructor nativo de JavaScript a través de objetos matriz de mathjs, cargar módulos de Node.js y ejecutar comandos del sistema operativo con privilegios del proceso API, comprometiendo completamente la infraestructura.

OpenPanel antes de la versión 2.3.0 contiene una vulnerabilidad de cross-site scripting (XSS) en el endpoint no autenticado GET /misc/favicon que permite a atacantes remotos ejecutar código malicioso mediante archivos SVG. Los atacantes pueden alojar archivos SVG con scripts embebidos que se ejecutan en el navegador de la víctima con el origen de la API, facilitando solicitudes autenticadas a endpoints protegidos. Esta vulnerabilidad afecta infraestructuras de hosting y control de paneles en servidores de empresas LATAM.

OpenPanel anterior a versión 2.3.0 contiene una vulnerabilidad de Server-Side Request Forgery (SSRF) sin autenticación en el endpoint GET /tools/site-checker que permite a atacantes remotos hacer que el servidor emita solicitudes hacia servicios internos, localhost y endpoints de metadatos en la nube. Un atacante puede explotar esto para leer títulos de respuestas HTTP internas, información sensible de la infraestructura y credenciales almacenadas en metadatos. Esta vulnerabilidad afecta directamente a proveedores de hosting, resellers y empresas que utilizan OpenPanel como panel de control en sus servidores en México y Latinoamérica.

Grav Shortcode Core versiones anteriores a 6.2.5 contiene vulnerabilidades de cross-site scripting (XSS) almacenado en los parámetros de etiqueta [lorem] y resumen [details], que se renderizan sin validación. Atacantes con acceso de edición pueden inyectar código HTML y JavaScript arbitrario que se ejecuta en navegadores de visitantes, incluidos administradores. Afecta sitios Grav en producción que permiten edición de contenido a múltiples usuarios.

SiYuan versiones anteriores a la 3.8.2 contienen una vulnerabilidad de denegación de servicio (DoS) en el endpoint /api/system/uiproc sin autenticación. Un atacante puede enviar solicitudes repetidas con identificadores de proceso controlados para agotar la memoria y degradar la disponibilidad del servicio. Esta vulnerabilidad afecta a empresas en LATAM que utilizan SiYuan como gestor de notas o información sensible sin actualizar.

SiYuan versiones anteriores a v3.8.2 contienen una vulnerabilidad de denegación de servicio en el mecanismo de autenticación básica del servicio de publicación. Atacantes no autenticados pueden enviar múltiples solicitudes de autenticación con nombres de usuario inválidos y únicos para agotar la memoria del servidor y aumentar la carga de sincronización. Esta vulnerabilidad afecta principalmente a empresas en LATAM que utilizan SiYuan para gestión de contenido colaborativo o sistemas de conocimiento compartido.

SiYuan versiones anteriores a v3.8.2 contiene una vulnerabilidad que permite a atacantes no autenticados consumir memoria ilimitada del servidor mediante solicitudes con rutas únicas, degradando la disponibilidad del servicio. Esta falla afecta principalmente a organizaciones en LATAM que utilizan SiYuan para gestión de notas y documentos internos. La vulnerabilidad puede ser explotada sin credenciales, permitiendo ataques de negación de servicio (DoS) contra instancias accesibles en red.

Menulux Portal anterior a versión 20260903211448 almacena contraseñas en texto plano, permitiendo a atacantes acceder a credenciales sensibles si comprometen el servidor o la base de datos. Esta vulnerabilidad afecta directamente a restaurantes, bares y comercios que utilizan este sistema POS en México y Latinoamérica. El riesgo es alta para operaciones que manejan datos de clientes y empleados.

Se ha identificado una vulnerabilidad de tipo Observable Response Discrepancy (CVE-2026-19080, CVSS 7.5) en Menulux Portal que permite a atacantes realizar footprinting de cuentas de usuario explotando diferencias detectables en las respuestas del servidor. Esta debilidad afecta versiones anteriores a 20260903211448 y representa un riesgo moderado-alto para restaurantes, cafeterías y establecimientos gastronómicos en LATAM que utilicen esta plataforma de gestión.

A security flaw has been discovered in SourceCodester Class and Exam Timetabling System 1.0. This vulnerability affects unknown code of the file /admin/session.php. The manipulation of the argument ID results in missing authorization. The attack can be executed remotely. The exploit has been released to the public and may be used for attacks.

fastify versions >= 4.0.0 and before 5.12.2 can route a malformed URL sent under one plugin prefix to the custom not-found handler of a different sibling plugin, and invoke it without the preHandler hook declared for that handler. The internal not-found router for encapsulated handlers dispatches malformed paths through a single shared handler pointer before URL decoding, ignoring the prefix and s…