Alertas de Seguridad de la Información

M Alto vulnerabilidad

29/08/2026

Vulnerabilidad alta de elusión de autenticación en Rodauth anterior a 2.46.0

Rodauth versiones anteriores a 2.46.0 contiene una vulnerabilidad de elusión de autenticación en la ruta webauthn_login que permite a usuarios autenticados suplantarse como otras cuentas. El defecto reside en la lógica impropia de resolución de cuentas que utiliza identificadores de sesión en lugar de validar correctamente el vínculo de credenciales, exponiendo sistemas que dependen de WebAuthn en México y LATAM a compromisos de cuentas no autorizados.

nvdaltovulnerabilidad CVSS 8.7 NVD

M Alto vulnerabilidad

29/08/2026

[CVE-2026-82453] rust-iot-platform through commit 5df942ab stores user passwords in cleartext without hashing in the …

rust-iot-platform through commit 5df942ab stores user passwords in cleartext without hashing in the user model. Attackers can read API responses from user retrieval and listing routes to obtain plaintext credentials for all accounts.

nvdaltovulnerabilidad CVSS 7.5 NVD

M Crítico vulnerabilidad

29/08/2026

[CVE-2026-82454] The Omnivore API (packages/api) before the fix in commit abf53d6 contains an authentication bypass i…

The Omnivore API (packages/api) before the fix in commit abf53d6 contains an authentication bypass in Apple sign-in token verification. The decodeAppleToken function extracted the 'alg' field from the attacker-supplied JWT header and passed it as the sole allowed algorithm to jwt.verify(). Using jsonwebtoken v8 (which does not validate key/algorithm compatibility), an attacker can set alg=HS256 an…

nvdcriticovulnerabilidad CVSS 9.1 NVD

M Alto vulnerabilidad

29/08/2026

[CVE-2026-82455] RubyGems fails to re-validate path containment after filesystem symlink resolution during gem extrac…

RubyGems fails to re-validate path containment after filesystem symlink resolution during gem extraction. When a pre-existing symlink inside the destination directory points outside the extraction root, extracted files that appear to be written under the destination directory can instead be written outside of it, breaking the extraction safety boundary. The fix resolves the real path of the parent…

nvdaltovulnerabilidad CVSS 7.1 NVD

M Crítico vulnerabilidad

29/08/2026

Vulnerabilidad crítica en argocd-mcp 0.8.0: exposición de interfaz HTTP sin autenticación

ArgoCD MCP versión 0.8.0 expone su transporte HTTP en todas las interfaces de red sin requerir credenciales cuando ARGOCD_API_TOKEN está configurado. Atacantes con acceso a la red pueden invocar la superficie completa de herramientas utilizando el token del operador para crear aplicaciones, ejecutar sincronizaciones y modificar recursos de Argo CD. Esta vulnerabilidad afecta crítica a infraestructuras de CI/CD en empresas que operan Kubernetes en LATAM.

nvdcriticovulnerabilidad CVSS 10.0 NVD

M Alto vulnerabilidad

29/08/2026

[CVE-2026-82457] su-exec through 0.3 fails to validate numeric user and group identifiers parsed with strtol before a…

su-exec through 0.3 fails to validate numeric user and group identifiers parsed with strtol before assigning to uid_t and gid_t, allowing truncation of out-of-range values to zero. Attackers can supply large numeric identifiers that truncate to root's identifier, causing su-exec to execute target programs with root privileges instead of intended unprivileged accounts.

nvdaltovulnerabilidad CVSS 7.8 NVD

M Alto vulnerabilidad

29/08/2026

[CVE-2026-82450] BookStack before 26.05.4 contains a remote code execution vulnerability in the portable ZIP import f…

BookStack before 26.05.4 contains a remote code execution vulnerability in the portable ZIP import functionality that allows users with Import Content and Create Books permissions to upload a PHP polyglot file as a book cover. Attackers can bypass image extension validation by embedding a PHP file with a .php filename in the ZIP archive, which is stored in the public web root and executed by unaut…

nvdaltovulnerabilidad CVSS 8.8 NVD

M Alto vulnerabilidad

29/08/2026

[CVE-2026-82447] Skyvern before 1.0.45 contains a sandbox escape vulnerability in TextPromptBlock that renders prompt…

Skyvern before 1.0.45 contains a sandbox escape vulnerability in TextPromptBlock that renders prompts twice, first through a sandboxed Jinja environment and then through an unsandboxed environment. Attackers can inject malicious Jinja template syntax through workflow parameters or upstream block output to execute arbitrary code with server process privileges.

nvdaltovulnerabilidad CVSS 8.8 NVD

M Crítico vulnerabilidad

29/08/2026

[CVE-2026-82448] Shinobi before commit 5a76c74f contains a hardcoded connection key in the child node service that al…

Shinobi before commit 5a76c74f contains a hardcoded connection key in the child node service that allows unauthenticated attackers to execute arbitrary database queries. Attackers reaching the child node port can present the hardcoded key during WebSocket handshake, then dispatch SQL queries through the onWebSocketDataFromChildNode handler to read and modify user records and camera configuration.

nvdcriticovulnerabilidad CVSS 9.8 NVD

M Crítico vulnerabilidad

29/08/2026

Ejecución Remota de Código en Plugin Sigma Forms Pro para WordPress (CVE-2026-14494)

El plugin Sigma Forms Pro para WordPress (versiones hasta 1.4.5) es vulnerable a ejecución remota de código (RCE) mediante la función handle_form_submission. La vulnerabilidad permite a atacantes no autenticados subir archivos maliciosos al explotar la asignación dinámica de capacidades unfiltered_upload y el bypass de validación de tipos MIME. Afecta directamente a sitios WordPress en LATAM que utilizan este plugin para gestión de formularios sin parches.

nvdcriticovulnerabilidad CVSS 9.8 NVD

M Alto vulnerabilidad

29/08/2026

[CVE-2026-16600] The SmartAIPress WordPress plugin through 1.2.0 does not perform a capability check on one of its AJ…

The SmartAIPress WordPress plugin through 1.2.0 does not perform a capability check on one of its AJAX actions and does not validate a user-supplied URL before fetching it server-side, allowing users with subscriber-level access and above to make the site retrieve arbitrary internal or external URLs and read the response, resulting in a full-read Server-Side Request Forgery.

nvdaltovulnerabilidad CVSS 7.7 NVD

M Crítico vulnerabilidad

29/08/2026

[CVE-2026-16259] The Uix UserCenter WordPress plugin through 1.0.3 does not verify that the account being modified th…

The Uix UserCenter WordPress plugin through 1.0.3 does not verify that the account being modified through an unauthenticated profile-update action belongs to the requester, and it authenticates that action with a token whose signing key is hardcoded and identical across every install, allowing unauthenticated attackers to forge a token for any user, overwrite an administrator's email and password,…

nvdcriticovulnerabilidad CVSS 9.8 NVD

M Alto vulnerabilidad

28/08/2026

Vulnerabilidad alta en MapFish Print permite inyección XXE en servidores de mapas

MapFish Print versiones anteriores a 3.28.30, 3.30.32, 3.31.24, 3.33.16 y 4.0.5 contienen una vulnerabilidad de inyección XML External Entity (XXE) en el endpoint /api/print3/print. Un atacante remoto puede enviar capas GML maliciosas para ejecutar ataques XXE sin validación de entidades externas, poniendo en riesgo servidores de cartografía y sistemas SIG en gobiernos, empresas constructoras y plataformas de infraestructura en LATAM.

nvdaltovulnerabilidad CVSS 8.6 NVD

M Alto vulnerabilidad

28/08/2026

Vulnerabilidad alta en free5GC 1.4.4 permite acceso no autorizado a contexto de autenticación

free5GC, implementación de código abierto del núcleo 5G, presenta una vulnerabilidad en el componente AUSF (Authentication Server Function) en versiones 1.4.4 y anteriores. El almacenamiento inseguro de estado de autenticación por suscriptor en una estructura global permite que atacantes accedan o manipulen credenciales de usuarios. Esta vulnerabilidad afecta directamente a operadores de telecomunicaciones y proveedores de infraestructura 5G en LATAM que ejecuten free5GC en entornos de producción.

nvdaltovulnerabilidad CVSS 7.5 NVD

M Alto vulnerabilidad

28/08/2026

Vulnerabilidad alta en Graylog Server y Forwarder permite manipulación de logs (CVE-2026-55841)

Una vulnerabilidad en el parser de syslog FortiGate de Graylog Server (versiones anteriores a 6.3.12, 7.0.7 y 7.1.2) y Graylog Forwarder (anterior a 7.3) permite a atacantes manipular campos de log mediante texto especialmente crafteado dentro de valores entrecomillados. Esto afecta a empresas en LATAM que utilizan Graylog para centralizar y auditar logs de seguridad, comprometiendo la integridad de registros altas para forensia y cumplimiento normativo.

nvdaltovulnerabilidad CVSS 7.5 NVD

M Alto vulnerabilidad

28/08/2026

Vulnerabilidad DoS en multer permite bloqueo de event loop en Node.js

multer, middleware popular para procesar multipart/form-data en Node.js, es vulnerable a ataques de denegación de servicio (DoS). Un atacante puede enviar solicitudes HTTP especialmente diseñadas con nombres de campo malformados que fuerzan al parser a iterar arreglos sparse de tamaño máximo, bloqueando el event loop e impidiendo que la aplicación procese otras peticiones. Afecta aplicaciones web en producción que usen multer para carga de archivos, especialmente relevante en empresas LATAM con infraestructura Node.js alta.

nvdaltovulnerabilidad CVSS 7.5 NVD

M Alto vulnerabilidad

28/08/2026

Vulnerabilidad alta en IGEL OS 11 y 12: inyección de parámetros de arranque

IGEL OS versiones anteriores a 12.7.6 y 11.11.150 contienen una vulnerabilidad de inyección de parámetros de arranque (CVSS 7.6) que permite a atacantes con acceso físico ejecutar parámetros arbitrarios del cargador Linux. La falla radica en un área de configuración sin encripción ni firma que es leída por el cargador de arranque, permitiendo la inyección de comandos de kernel maliciosos con privilegios de entorno de arranque. Afecta principalmente entornos de terminales sin cliente en bancos, retail y centros de datos en LATAM.

nvdaltovulnerabilidad CVSS 7.6 NVD

M Alto vulnerabilidad

28/08/2026

Vulnerabilidad en MongoDB Connector for BI permite denegación de servicio en esquema

Un usuario de base de datos puede crear una vista que cause fallos en la rutina de muestreo de esquema del MongoDB Connector for BI, interrumpiendo la funcionalidad de actualización de esquema. Esta vulnerabilidad afecta directamente a empresas en LATAM que utilizan BI conectado a MongoDB para análisis de datos, impidiendo la sincronización correcta de metadatos. Con CVSS 7.7, representa un riesgo significativo para operaciones de inteligencia empresarial.

nvdaltovulnerabilidad CVSS 7.7 NVD

M Alto vulnerabilidad

28/08/2026

Vulnerabilidad alta en MongoDB Connector for BI permite denegación de servicio remota

Una parte no autenticada que acceda al puerto del conector MongoDB para BI (mongosqld) puede generar actividad masiva de registros de conexión que agoten el almacenamiento del directorio de logs configurado. Cuando la escritura o rotación de logs falla, el proceso compartido de mongosqld se interrumpe abruptamente, causando denegación de servicio para todos los clientes SQL conectados. Este impacto afecta directamente plataformas de análisis e inteligencia empresarial que dependen de este conector en infraestructuras LATAM.

nvdaltovulnerabilidad CVSS 7.5 NVD

M Alto vulnerabilidad

28/08/2026

Vulnerabilidad en mongosqld: certificados de cliente no validados correctamente

mongosqld no valida correctamente los certificados de cliente durante el handshake TLS cuando está configurado con una autoridad certificadora. Esto permite que clientes sin certificado establezcan sesiones, comprometiendo la autenticación en entornos que dependen exclusivamente de certificados para identificar usuarios. Empresas en LATAM que utilizan MongoDB BI Connector con autenticación basada en certificados están expuestas a acceso no autorizado.

nvdaltovulnerabilidad CVSS 7.5 NVD