Alertas de Seguridad de la Información

M Alto vulnerabilidad

13/08/2026

[CVE-2026-14671] Type confusion in PostgreSQL module "refint" allows an object creator to execute arbitrary code as t…

Type confusion in PostgreSQL module "refint" allows an object creator to execute arbitrary code as the operating system user running the database. The fix for this emerged as a non-security bug report, and the fix appear in the git repository with subject "refint: Remove plan cache.", without a CVE number. Versions before PostgreSQL 18.5, 17.11, 16.15, 15.19, and 14.24 are affected.

nvdaltovulnerabilidad CVSS 8.8 NVD

M Alto vulnerabilidad

13/08/2026

[CVE-2026-14676] Heap buffer overflow in PostgreSQL pg_stat_statements allows the query author to execute arbitrary c…

Heap buffer overflow in PostgreSQL pg_stat_statements allows the query author to execute arbitrary code as the operating system user running the database, via crafted queries containing array constants. Within major version 18, minor versions before PostgreSQL 18.5 are affected. Versions before PostgreSQL 18 are unaffected.

nvdaltovulnerabilidad CVSS 8.8 NVD

M Alto vulnerabilidad

13/08/2026

[CVE-2026-14662] Integer wraparound in PostgreSQL tsvector and tsquery data type functions allows an unprivileged dat…

Integer wraparound in PostgreSQL tsvector and tsquery data type functions allows an unprivileged database user to cause the server to undersize an allocation and write out-of-bounds, via crafted large inputs. This may execute arbitrary code as the operating system user running the database. These types are typically sourced from application logic, not taken from the application's user. Hence, a…

nvdaltovulnerabilidad CVSS 8.8 NVD

M Alto vulnerabilidad

13/08/2026

[CVE-2026-14664] Heap buffer overflow in PostgreSQL regexp allows the query author to execute arbitrary code as the o…

Heap buffer overflow in PostgreSQL regexp allows the query author to execute arbitrary code as the operating system user running the database, via text that would not pass encoding validation. This shares heritage with CVE-2026-2006, but this case involved unanticipated data growth when round-tripped through pg_wchar. Versions before PostgreSQL 18.5, 17.11, 16.15, 15.19, and 14.24 are affected.

nvdaltovulnerabilidad CVSS 8.8 NVD

M Alto vulnerabilidad

13/08/2026

Vulnerabilidad alta de SSRF en Serendipity anterior a 2.6.0 permite bypass de filtros

Serendipity antes de la versión 2.6.0 contiene una vulnerabilidad de Server-Side Request Forgery (SSRF) que permite a usuarios autenticados con permisos de adminImagesAdd eludir validaciones mediante direcciones IPv4 hexadecimales, literales IPv6 y rangos link-local. Los atacantes pueden acceder a servicios internos y extraer cuerpos de respuesta a través del módulo de cargas públicas, exponiendo datos sensibles de infraestructura interna en empresas con Serendipity expuesto en Internet.

nvdaltovulnerabilidad CVSS 8.5 NVD

M Alto vulnerabilidad

13/08/2026

Vulnerabilidad alta en GitPython permite exfiltración de secretos a través de expansión de variables

GitPython versiones anteriores a 3.1.55 no desactiva correctamente la expansión de variables de entorno en los métodos Remote.create() y Submodule.add(), permitiendo a atacantes inyectar referencias de variables en URLs que se expanden en .git/config y .gitmodules. Durante operaciones de fetch o pull, estas variables se transmiten a servidores controlados por atacantes, comprometiendo tokens de acceso, credenciales de APIs y secretos almacenados en variables de entorno. Afecta desarrolladores y sistemas CI/CD que procesan repositorios no confiables.

nvdaltovulnerabilidad CVSS 7.5 NVD

M Alto vulnerabilidad

13/08/2026

Vulnerabilidad alta en GitPython permite ejecución de comandos arbitrarios en operaciones de clonación

GitPython versiones anteriores a 3.1.54 contiene una denylist incompleta que omite la opción --template, permitiendo a atacantes ejecutar comandos arbitrarios mediante hooks maliciosos durante operaciones de clonación. Esta vulnerabilidad afecta directamente a sistemas CI/CD, pipelines de desarrollo y servidores que utilizan GitPython para automatizar gestión de repositorios, siendo alta en entornos DevOps de empresas en LATAM que dependen de flujos de integración continua.

nvdaltovulnerabilidad CVSS 7.5 NVD

M Alto vulnerabilidad

13/08/2026

Vulnerabilidad alta de ejecución remota de código en GitPython anteriores a 3.1.54

GitPython versiones anteriores a 3.1.54 contiene una vulnerabilidad de ejecución remota de código (RCE) que permite a atacantes eludir validaciones de seguridad mediante opciones git manipuladas. Los métodos clone_from, fetch, pull, push, ls_remote, iter_commits, blame y archive pueden ser explotados para ejecutar comandos arbitrarios del sistema operativo. Empresas en LATAM que usen GitPython en pipelines CI/CD, sistemas de gestión de repositorios o herramientas de DevOps están en riesgo alta de comprometer servidores y datos sensibles.

nvdaltovulnerabilidad CVSS 8.8 NVD

M Alto vulnerabilidad

13/08/2026

Vulnerabilidad alta en filebrowser anterior a 2.63.19 permite eliminación de archivos fuera de alcance

filebrowser versiones anteriores a 2.63.19 contienen una vulnerabilidad de eliminación de archivos fuera del alcance en el mecanismo de evicción de caché TUS. Usuarios autenticados con solo permisos de Crear pueden eliminar archivos arbitrarios mediante manipulación de directorios con enlaces simbólicos durante la ventana TTL del caché. Esta vulnerabilidad afecta servidores de gestión de contenidos y repositorios de archivos en empresas que usan filebrowser con control de acceso basado en permisos.

nvdaltovulnerabilidad CVSS 8.2 NVD

M Alto vulnerabilidad

13/08/2026

Vulnerabilidad alta en ClaudeHookBridge: bypass de filtros de seguridad permite ejecución de comandos

ClaudeHookBridge versiones anteriores a 5.15.1 contiene una falla que trunca las cadenas de destino a 500 caracteres durante la evaluación de reglas de denegación (denyPatterns), mientras que Claude Code ejecuta el comando completo sin truncamiento. Un atacante puede insertar contenido malicioso después del byte 500 en campos Bash para eludir listas de bloqueo y ejecutar comandos arbitrarios. Esto afecta infraestructuras que integran este componente con sistemas de IA, siendo alta en entornos de CI/CD y automatización en la región.

nvdaltovulnerabilidad CVSS 8.8 NVD

M Alto vulnerabilidad

13/08/2026

Vulnerabilidad alta en Network-AI: bypass de validación de comandos (CVE-2026-73615)

Network-AI versiones anteriores a 5.15.1 contiene una vulnerabilidad que permite a atacantes evadir controles de seguridad mediante comandos entrecomillados. La vulnerabilidad radica en que SandboxPolicy valida strings de comandos preservando comillas, mientras que el ejecutor elimina comillas antes de ejecutar, permitiendo que comandos bloqueados se ejecuten exitosamente. Esto afecta crícticamente a empresas en LATAM que utilizan esta plataforma para automatización de infraestructura.

nvdaltovulnerabilidad CVSS 8.8 NVD

M Alto vulnerabilidad

13/08/2026

Inyección NoSQL alta en Budibase Server anterior a v3.40.0 afecta consultas MongoDB

Budibase Server versiones anteriores a 3.40.0 contienen una vulnerabilidad de inyección NoSQL en el endpoint de ejecución de consultas MongoDB. Atacantes con permisos de escritura de consultas pueden manipular parámetros JSON sin sanitizar, alterando queries para leer, modificar o eliminar documentos arbitrarios. El riesgo es alta (CVSS 8.3) en entornos que exponen esta funcionalidad a usuarios no confiables o integran Budibase en plataformas empresariales en LATAM.

nvdaltovulnerabilidad CVSS 8.3 NVD

M Alto vulnerabilidad

13/08/2026

Vulnerabilidad de autorización faltante en SiYuan v3.7.3 y anteriores (CVE-2026-73608)

SiYuan contiene una vulnerabilidad de autorización ausente en el endpoint /api/av/getAttributeViewSearchTarget que permite acceso no autorizado a vistas de atributos sin validación de permisos. La falla afecta la rama de desarrollo y versiones previas a v3.7.4. Organizaciones que utilizan SiYuan para gestión de bases de datos están expuestas a exfiltración de información sensible si acceden versiones vulnerables.

nvdaltovulnerabilidad CVSS 8.6 NVD

M Alto vulnerabilidad

13/08/2026

File Browser anterior a v2.63.22: bypass de controles de acceso en operaciones recursivas

File Browser versiones anteriores a la 2.63.22 presentan una vulnerabilidad de validación deficiente que permite a usuarios autenticados eludir controles de acceso basados en rutas durante operaciones de copia, renombre y eliminación recursiva. Un atacante interno puede manipular archivos denegados operando sobre directorios padre permitidos, comprometiendo el aislamiento por reglas y afectando confidencialidad e integridad de datos en servidores empresariales.

nvdaltovulnerabilidad CVSS 8.1 NVD

M Alto vulnerabilidad

13/08/2026

Vulnerabilidad alta en ManageEngine Password Manager Pro y PAM360 permite eludir autenticación

ManageEngine Password Manager Pro (versiones anteriores a 13232) y PAM360 (versiones anteriores a 8551) presentan una vulnerabilidad de elusión de autenticación (CVSS 8.8) por validación incorrecta de SAML. Esto permite a atacantes acceder a gestores de credenciales sin autenticación válida, comprometiendo todas las contraseñas almacenadas en la solución. Afecta principalmente a empresas medianas y grandes en México y LATAM que utilizan estas herramientas para administración centralizada de accesos.

nvdaltovulnerabilidad CVSS 8.8 NVD

M Crítico vulnerabilidad

13/08/2026

Vulnerabilidad crítica de autenticación impropia (CVE-2026-59500) afecta múltiples productos

Se ha identificado una vulnerabilidad de severidad crítica (CVSS 10.0) en mecanismos de autenticación de múltiples fabricantes, permitiendo a atacantes eludir controles de acceso sin credenciales válidas. Esta falla afecta directamente infraestructuras críticas en México y Latinoamérica que dependen de sistemas de identificación y acceso. El impacto abarca compromisos totales de confidencialidad, integridad y disponibilidad en sistemas afectados.

nvdcriticovulnerabilidad CVSS 10.0 NVD

M Alto vulnerabilidad

13/08/2026

[CVE-2026-18146] The Fluent Forms – Customizable Contact Forms, Survey, Quiz, & Conversational Form Builder plugin fo…

The Fluent Forms – Customizable Contact Forms, Survey, Quiz, & Conversational Form Builder plugin for WordPress is vulnerable to Stored Cross-Site Scripting via Notification Smartcode Values in all versions up to, and including, 6.2.11 due to insufficient input sanitization and output escaping. This makes it possible for unauthenticated attackers to inject arbitrary web scripts that execute in the…

nvdaltovulnerabilidad CVSS 7.2 NVD

M Crítico vulnerabilidad

13/08/2026

[CVE-2026-49819] UpSnap is a wake on lan web app. Versions 4.4.1 through 5.3.5 are vulnerable to a missing-authentica…

UpSnap is a wake on lan web app. Versions 4.4.1 through 5.3.5 are vulnerable to a missing-authentication / privilege-escalation chain in `pb.HandlerInitSuperuser` (`backend/pb/handlers.go:249`), reachable as `POST /api/upsnap/init-superuser`. The vulnerable code lacks any authentication, setup token, IP allow-list, or rate limit and is gated only by a `totalSuperusers > 0` count check — a conditio…

nvdcriticovulnerabilidad CVSS 9.8 NVD

M Crítico vulnerabilidad

12/08/2026

[CVE-2026-49481] UpSnap is a wake on lan web app. Versions prior to 5.4.0 have an OS command injection vulnerability …

UpSnap is a wake on lan web app. Versions prior to 5.4.0 have an OS command injection vulnerability in the UpSnap’s device management functionality due to the presence of unsafe shell command template interpolation using the ip and the mac fields. User-controlled values can be inserted into the wake_cmd and shutdown_cmd templates and executed via /bin/sh -c (Linux) or cmd /C (Windows) without sani…

nvdcriticovulnerabilidad CVSS 9.6 NVD

M Crítico vulnerabilidad

12/08/2026

[CVE-2026-73501] kin-openapi is a Go project for handling OpenAPI files. Prior to 0.144.0, ValidationHandler.Load() i…

kin-openapi is a Go project for handling OpenAPI files. Prior to 0.144.0, ValidationHandler.Load() in openapi3filter/validation_handler.go silently replaces a nil AuthenticationFunc with NoopAuthenticationFunc, which returns nil without checking credentials. This substitution causes every OpenAPI security requirement to be satisfied for unauthenticated requests when an application relies on Valida…

nvdcriticovulnerabilidad CVSS 9.1 NVD