Alertas de Seguridad de la Información

M Alto vulnerabilidad

01/10/2026

Vulnerabilidad de omisión de autorización en Obot 0.21.1 a 0.24.1 (CVE-2026-103758)

Obot versiones 0.21.1 hasta 0.24.1 contienen una vulnerabilidad de omisión de controles de autorización que permite a usuarios autenticados con rol básico acceder a servidores MCP mediante la ruta /mcp-connect-composite/, no incluida en la lista de denegación. Usuarios con IDs MCP compuestos pueden enviar solicitudes proxy a través de mcpGateway.Proxy para invocar herramientas en servidores restringidos, evadiendo reglas de control de acceso.

nvdaltovulnerabilidad CVSS 8.1 NVD

M Alto vulnerabilidad

01/10/2026

Vulnerabilidad alta en Ghost: inyección XLS afecta versiones 0.5.3 a 6.49.x

Ghost (plataforma de blogging y CMS) contiene una falla de sanitización en la etiqueta JSON-LD del helper {{ghost_head}} que permite a usuarios autenticados con permisos limitados inyectar código malicioso. El script se ejecuta en páginas publicadas, poniendo en riesgo las sesiones administrativas de staff cuando visualizan contenido comprometido. Afecta versiones desde 0.5.3 hasta anteriores a 6.50.0.

nvdaltovulnerabilidad CVSS 8.0 NVD

M Alto vulnerabilidad

01/10/2026

Vulnerabilidad alta en Ghost 6.20.0-6.57.0: escalación de privilegios en sesiones de administrador

Ghost versiones 6.20.0 a 6.57.0 contienen un fallo en la gestión de sesiones que permite a usuarios autenticados con credenciales de staff suplantary otros administradores sin necesidad de contraseña, eludiendo autenticación de dos factores. Empresas que alojan plataformas Ghost en LATAM enfrentan riesgo alta de compromiso de cuentas administrativas y acceso no autorizado a funciones sensibles de gestión de contenidos.

nvdaltovulnerabilidad CVSS 8.1 NVD

M Alto vulnerabilidad

01/10/2026

Vulnerabilidad alta de escalada de privilegios en Ghost 2.21.0 a 6.55.9

Ghost, plataforma de contenido de código abierto ampliamente usada en LATAM, contiene una vulnerabilidad de escalada de privilegios (CVSS 7.3) en su sistema de notificaciones. Usuarios con acceso de personal de bajo nivel pueden elevar sus permisos a roles administrativos sin autorización válida. El riesgo es alto para empresas que ejecutan Ghost auto-alojado o en infraestructura propia en México y Latinoamérica.

nvdaltovulnerabilidad CVSS 7.3 NVD

M Alto vulnerabilidad

01/10/2026

Vulnerabilidad alta en Ghost: ejecución de scripts no confiables en oEmbed (CVE-2026-103277)

Las versiones de Ghost desde 2.5.0 hasta 6.34.0 contienen una vulnerabilidad de ejecución de scripts no confiables en la función de vista previa oEmbed, que no sandbox adecuadamente scripts externos. Atacantes pueden inyectar contenido oEmbed malicioso para ejecutar código en la sesión administrativa de usuarios autenticados, comprometiendo el acceso administrativo de plataformas de blogs y contenido. Este riesgo es alta para empresas medianas en LATAM que utilizan Ghost para portales corporativos, landing pages y sitios de marketing.

nvdaltovulnerabilidad CVSS 8.1 NVD

M Alto vulnerabilidad

01/10/2026

Vulnerabilidad alta en Ghost 5.8.0 a 6.33.x permite toma de control de cuentas administrativas

Ghost versiones 5.8.0 hasta 6.33.x contiene una falla de validación de entrada en el iframe administrativo que permite a atacantes con privilegios de publicación comprometer cuentas de personal mediante ingeniería social. Un usuario administrativo que visite una página maliciosa crafteada puede perder control de su cuenta, exponiendo configuraciones altas, contenido sensible y credenciales integradas en plataformas de contenido empresarial en LATAM.

nvdaltovulnerabilidad CVSS 7.3 NVD

M Alto vulnerabilidad

01/10/2026

Vulnerabilidad alta en Ghost 4.0.0-6.62.x permite acceso no autenticado a contenido restringido

Ghost versiones 4.0.0 a 6.62.x contienen una vulnerabilidad en la API de contenido que permite a visitantes no autenticados acceder a posts protegidos mediante consultas directas a la API, eludiendo restricciones de acceso. Afecta principalmente a plataformas editoriales y SaaS que utilizan Ghost como CMS, especialmente alta en México y LATAM donde proliferan blogs corporativos y medios digitales con contenido de suscripción.

nvdaltovulnerabilidad CVSS 7.5 NVD

M Alto vulnerabilidad

01/10/2026

Vulnerabilidad de enumeración de personal en Ghost 2.10.0 a 6.62.x permite fuga de datos sin autenticación

Ghost versiones 2.10.0 hasta 6.62.x contienen una vulnerabilidad en la API de contenido que permite a atacantes no autenticados enumerar miembros del personal y extraer información sensible analizando discrepancias en respuestas de metadatos. Afecta principalmente a plataformas de publicación y blogs empresariales en LATAM que utilizan Ghost como CMS, exponiendo datos de usuarios administradores y editores.

nvdaltovulnerabilidad CVSS 7.5 NVD

M Alto vulnerabilidad

01/10/2026

Vulnerabilidad alta en Ghost 5.2.0 a 6.61.x permite inyección de contenido sin autenticación

Ghost versions 5.2.0 hasta anteriores a 6.62.0 contienen una vulnerabilidad que permite a atacantes remotos, sin autenticación, explotar el flujo de Stripe Checkout para adjuntar suscripciones pagas a miembros existentes, modificar nombres de usuarios e inyectar contenido malicioso en newsletters. El contenido inyectado puede ejecutarse como HTML o XSS dependiendo del cliente de correo, afectando principalmente a plataformas de publicación y membership en LATAM que utilizan Ghost para contenido de pago.

nvdaltovulnerabilidad CVSS 7.1 NVD

M Alto vulnerabilidad

01/10/2026

Vulnerabilidad alta de path traversal en n8n permite acceso no autorizado a workflows y credenciales

n8n versiones anteriores a 1.123.80, de 2.0.0 antes de 2.39.6 y de 2.40.0 antes de 2.40.1 contienen una vulnerabilidad de path traversal que permite a atacantes redirigir llamadas API a recursos no autorizados. Esto expone workflows, ejecuciones y secretos de credenciales dentro del alcance de la clave API, representando un riesgo alta para automatizaciones en producción en empresas LATAM que dependen de n8n para integraciones de negocio.

nvdaltovulnerabilidad CVSS 7.7 NVD

M Alto vulnerabilidad

01/10/2026

[CVE-2026-103253] n8n versions before 1.123.80, from 2.0.0 before 2.39.6, and from 2.40.0 before 2.40.1 contain an SQL…

n8n versions before 1.123.80, from 2.0.0 before 2.39.6, and from 2.40.0 before 2.40.1 contain an SQL injection vulnerability in the Oracle Database node's Delete Table Drop operation. Attackers can inject single quotes in the table or schema fields to append arbitrary SQL statements and execute DDL or DML commands against the connected database with the credential's privileges.

nvdaltovulnerabilidad CVSS 8.7 NVD

M Crítico vulnerabilidad

01/10/2026

[CVE-2026-103255] n8n versions before 1.123.80, from 2.0.0 before 2.39.6, and from 2.40.0 before 2.40.1 contain a path…

n8n versions before 1.123.80, from 2.0.0 before 2.39.6, and from 2.40.0 before 2.40.1 contain a path traversal vulnerability in the Supabase node where the tableId parameter is inserted into request paths without validation. Attackers can exploit workflows binding tableId to untrusted input to traverse to Auth and Storage APIs using the administrative serviceRole key, bypassing Row Level Security …

nvdcriticovulnerabilidad CVSS 9.0 NVD

M Alto vulnerabilidad

01/10/2026

[CVE-2026-103247] n8n versions before 1.123.80 contain a credential tampering vulnerability where duplicate node IDs b…

n8n versions before 1.123.80 contain a credential tampering vulnerability where duplicate node IDs bypass the workflow credential tamper guard. Attackers with editor access to shared workflows can exploit mismatched node ID and name matching to retain victim credentials and redirect secrets to attacker-controlled hosts.

nvdaltovulnerabilidad CVSS 8.5 NVD

M Crítico vulnerabilidad

01/10/2026

[CVE-2026-103248] n8n versions before 1.123.80, from 2.0.0 before 2.39.6, and from 2.40.0 before 2.40.1 contain a filt…

n8n versions before 1.123.80, from 2.0.0 before 2.39.6, and from 2.40.0 before 2.40.1 contain a filter injection vulnerability in the Supabase node's Filters (String) mode that fails to escape field values. Attackers can inject filter expressions from untrusted input to read all table rows, update all records, or delete entire tables in a single request.

nvdcriticovulnerabilidad CVSS 9.0 NVD

M Alto vulnerabilidad

01/10/2026

[CVE-2026-103249] n8n versions before 1.123.80, from 2.0.0 before 2.39.6, and from 2.40.0 before 2.40.1 contain a stor…

n8n versions before 1.123.80, from 2.0.0 before 2.39.6, and from 2.40.0 before 2.40.1 contain a stored DOM cross-site scripting vulnerability in Resource Locator parameter dropdown link handling. Workflow authors can inject malicious script URLs that execute arbitrary JavaScript in the editor origin when other users open the node dropdown and click the external-link icon, with the payload persisti…

nvdaltovulnerabilidad CVSS 7.6 NVD

M Crítico vulnerabilidad

01/10/2026

[CVE-2026-103244] ground-station versions before 0.8.0 contain an authentication bypass vulnerability in the setup.res…

ground-station versions before 0.8.0 contain an authentication bypass vulnerability in the setup.restore command that allows unauthenticated attackers to execute arbitrary SQL during first-run setup mode. Attackers can invoke setup.restore via Socket.IO to plant admin users and forged session tokens, then authenticate as administrator without credentials for complete application takeover.

nvdcriticovulnerabilidad CVSS 9.8 NVD

M Alto vulnerabilidad

01/10/2026

[CVE-2026-103246] n8n versions before 2.39.6 and 2.40.0 before 2.40.1 fail to validate credential ownership during inl…

n8n versions before 2.39.6 and 2.40.0 before 2.40.1 fail to validate credential ownership during inline agent node-tool introspection. Attackers can reference arbitrary credential IDs to decrypt and exfiltrate plaintext secrets to attacker-controlled hosts without ownership verification.

nvdaltovulnerabilidad CVSS 7.7 NVD

M Alto vulnerabilidad

01/10/2026

[CVE-2026-92144] The Forminator Forms – Contact Form, Payment Form & Custom Form Builder plugin for WordPress is vuln…

The Forminator Forms – Contact Form, Payment Form & Custom Form Builder plugin for WordPress is vulnerable to Stored Cross-Site Scripting via 'postdata-1[post-custom]' Parameter in all versions up to, and including, 1.57.2 due to insufficient input sanitization and output escaping. This makes it possible for unauthenticated attackers to inject arbitrary web scripts in pages that will execute whene…

nvdaltovulnerabilidad CVSS 7.2 NVD

M Alto vulnerabilidad

01/10/2026

[CVE-2026-96577] A flaw was found in oc-mirror. During mirroring operations, the embedded local cache registry binds …

A flaw was found in oc-mirror. During mirroring operations, the embedded local cache registry binds to all network interfaces without authentication or encryption instead of restricting access to the local system. An unauthenticated attacker on an adjacent network can connect to the exposed service to push tampered container images, delete cached images, or access mirrored content.

nvdaltovulnerabilidad CVSS 7.1 NVD

M Alto vulnerabilidad

01/10/2026

[CVE-2026-103493] In JetBrains YouTrack before 2026.2.19422 stored XSS via Mermaid and LaTeX content was possible

In JetBrains YouTrack before 2026.2.19422 stored XSS via Mermaid and LaTeX content was possible

nvdaltovulnerabilidad CVSS 8.1 NVD