Seguridad de la Información

Alertas de Seguridad de la Información

Vulnerabilidades explotadas activamente, incidentes y análisis relevantes para México y LATAM. Actualizado automáticamente desde fuentes oficiales.

48 vulnerabilidades en CISA KEV — explotación activa confirmada Ver todas →

Última alerta publicada ahora mismo

25,067

Total alertas

5089

Críticas

19150

Altas

8

Ransomware

2611

Esta semana

RSS

vulnerabilidad × Limpiar todo ×

M Alto vulnerabilidad

[CVE-2026-86159] A flaw has been found in SourceCodester Online Voting System 1.0. Impacted is an unknown function of…

A flaw has been found in SourceCodester Online Voting System 1.0. Impacted is an unknown function of the file /ajax.php?action=save_user. This manipulation of the argument ID causes sql injection. The attack may be initiated remotely. The exploit has been published and may be used.

M Alto vulnerabilidad

[CVE-2026-86160] A vulnerability has been found in SourceCodester Online Voting System 1.0. The affected element is a…

A vulnerability has been found in SourceCodester Online Voting System 1.0. The affected element is an unknown function of the file /ajax.php?action=delete_voting. Such manipulation of the argument ID leads to sql injection. The attack may be launched remotely. The exploit has been disclosed to the public and may be used.

M Crítico vulnerabilidad

[CVE-2026-16310] The MemberDash plugin for WordPress is vulnerable to Insecure Direct Object Reference in all version…

The MemberDash plugin for WordPress is vulnerable to Insecure Direct Object Reference in all versions up to, and including, 1.8.5 via the 'id' parameter due to missing validation on a user controlled key. This makes it possible for unauthenticated attackers to change the password of any WordPress user, including administrators, by supplying an arbitrary user ID during registration, and take over t…

M Crítico vulnerabilidad

[CVE-2026-86152] A flaw has been found in Tenda CP3 27.5.57.101. The impacted element is the function CAutoAddWifi::T…

A flaw has been found in Tenda CP3 27.5.57.101. The impacted element is the function CAutoAddWifi::ThreadProc of the file Functions/AutoAddWifi.cpp of the component Kylin. Executing a manipulation can lead to os command injection. The attack may be launched remotely.

M Crítico vulnerabilidad

[CVE-2026-86153] A vulnerability has been found in Tenda CP3 27.5.57.101. This affects the function CRedirServer::Set…

A vulnerability has been found in Tenda CP3 27.5.57.101. This affects the function CRedirServer::SetRedirectEnable of the file Functions/Redirect.cpp. The manipulation leads to improper privilege management. Remote exploitation of the attack is possible.

M Crítico vulnerabilidad

[CVE-2026-86151] A vulnerability was detected in Tenda CP3 27.5.57.101. The affected element is the function sub_2F77…

A vulnerability was detected in Tenda CP3 27.5.57.101. The affected element is the function sub_2F77E8 of the file Apis/system.c of the component Network Configuration Management. Performing a manipulation results in os command injection. The attack may be initiated remotely.

M Crítico vulnerabilidad

[CVE-2026-86148] A security flaw has been discovered in Tenda CP3 27.5.57.101. This vulnerability affects the functio…

A security flaw has been discovered in Tenda CP3 27.5.57.101. This vulnerability affects the function SystemAsh of the file Apis/system.c of the component Kylin. The manipulation of the argument AlarmVoiceURL results in os command injection. It is possible to launch the attack remotely.

📬 Alertas semanales SI directo en tu email

Las vulnerabilidades más críticas para LATAM, con contexto y recomendaciones accionables. Gratis.

Suscribirme →

M Crítico vulnerabilidad

[CVE-2026-86149] A weakness has been identified in Tenda CP3 27.5.57.101. This issue affects some unknown processing …

A weakness has been identified in Tenda CP3 27.5.57.101. This issue affects some unknown processing of the file Net/NetCheckPing.cpp. This manipulation of the argument interface_name/host causes os command injection. The attack can be initiated remotely.

M Alto vulnerabilidad

[CVE-2026-0799] In BPF instructions that load/store a value from/to a scratch memory register the register index is …

In BPF instructions that load/store a value from/to a scratch memory register the register index is an unsigned 32-bit integer and must not exceed 15, but libpcap BPF interpreter does not validate the value. In particular uncommon use cases a crafted filter program can cause the interpreter to try reading and writing the OS process memory in the 16GiB starting at the current stack frame on 64-bit…

M Crítico vulnerabilidad

[CVE-2026-86189] WWBN AVideo contains a path traversal vulnerability in notify.ffmpeg.json.php that allows unauthenti…

WWBN AVideo contains a path traversal vulnerability in notify.ffmpeg.json.php that allows unauthenticated attackers to write files to arbitrary locations by supplying a caller-chosen path in the avideoRelativePath parameter. Attackers can replay any previously issued ciphertext as a notifyCode token, which is decrypted but never validated, to bypass authentication and write files to the applicatio…

M Crítico vulnerabilidad

[CVE-2026-86190] WWBN AVideo contains a broken access control vulnerability in videoViewsInfo endpoints that returns …

WWBN AVideo contains a broken access control vulnerability in videoViewsInfo endpoints that returns complete user records including password hashes, recovery tokens, and live session identifiers to unauthenticated callers when a hash parameter is provided. Attackers can use the disclosed session identifier to hijack viewer sessions, including administrator accounts, and obtain sensitive personal d…

M Alto vulnerabilidad

[CVE-2026-86188] AVideo with YPTSocket plugin enabled contains a cross-site scripting vulnerability allowing unauthen…

AVideo with YPTSocket plugin enabled contains a cross-site scripting vulnerability allowing unauthenticated attackers to execute arbitrary JavaScript in other users' browsers via the websocket callback mechanism. Attackers can send crafted socket messages with callback names resolving to global functions like avideoConfirmHTML that accept untrusted data and assign it to innerHTML, achieving script…

M Crítico vulnerabilidad

Vulnerabilidad crítica de autenticación en Lara Dashboard anterior a v1.3.0

Lara Dashboard versiones anteriores a 1.3.0 contiene una vulnerabilidad de omisión de autenticación (CVSS 9.8) en la ruta screenshot-login que permite a atacantes no autenticados acceder como cualquier usuario registrado mediante su correo electrónico cuando APP_ENV no está configurado en producción. Explotando el endpoint GET /screenshot-login/{email}, los atacantes obtienen sesiones completamente autenticadas con acceso a administración de usuarios, configuraciones y datos sensibles. Esta falla afecta principalmente a instancias de desarrollo y staging expuestas en entornos LATAM.

M Alto vulnerabilidad

Vulnerabilidad alta en Bilibili Desktop: desactivación de verificación TLS y ejecución de código remoto

Bilibili Desktop versión 1.18.0 y anteriores desactiva la verificación de certificados TLS a nivel de proceso y ejecuta configuraciones JavaScript sin firma desde servidores remotos. Un atacante en posición de intermediario de red puede interceptar descargas de configuración, inyectar código JavaScript malicioso con acceso al puente IPC privilegiado, permitiendo ejecución de comandos del sistema y robo de credenciales de sesión.

M Alto vulnerabilidad

Vulnerabilidad alta en tema Nokri Job Board para WordPress permite escalada de privilegios

El tema WordPress Nokri – Job Board (versiones hasta 1.6.4) contiene una falta de validación de permisos en la función 'nokri_account_member_permissions', permitiendo a usuarios autenticados con acceso de Suscriptor crear nuevos usuarios con permisos de empleador. Esta vulnerabilidad afecta especialmente a plataformas de empleo y bolsas de trabajo en LATAM que utilizan este tema para gestionar portales de reclutamiento.

🛡 ¿Estás expuesto a alguna de estas vulnerabilidades?

Evaluación gratuita inicial con el equipo 2MCI: identifica exposición y plan de remediación.

Habla con un experto →

M Crítico vulnerabilidad

Vulnerabilidad crítica de inyección de objetos PHP en plugin Mail Mint para WordPress

El plugin Mail Mint (versiones hasta 1.31.0) para WordPress presenta una vulnerabilidad de inyección de objetos PHP (CVSS 9.8) que permite a atacantes no autenticados ejecutar código arbitrario mediante deserialización de datos no validados en la función 'handle_form_submission'. Afecta principalmente a tiendas WooCommerce y plataformas de email marketing en LATAM que utilizan este plugin.

M Alto vulnerabilidad

Vulnerabilidad alta en Pterodactyl Panel permite ejecución de comandos sin autorización

Pterodactyl Panel anterior a versión 1.14.1 presenta falla en validación de permisos que permite a subusuarios con solo acceso schedule.update ejecutar comandos arbitrarios en servidores de juego. Los atacantes pueden crear y activar tareas programadas para ejecutar comandos en consola, controlar estado de servidores o generar respaldos sin autorizaciones requeridas. Esta vulnerabilidad afecta principalmente a proveedores de hosting y empresas de gaming en LATAM que utilizan este panel de control.

M Alto vulnerabilidad

Vulnerabilidad alta de ejecución remota de código en Axolotl hasta versión 0.18.0

Axolotl versiones 0.18.0 y anteriores contienen una vulnerabilidad de ejecución remota de código (RCE) en la ruta de parche multipack. El parámetro trust_remote_code por defecto es None en lugar de False, permitiendo a atacantes eludir los controles de seguridad. Un adversario puede ejecutar código Python arbitrario al comprometer repositorios de modelos en Hugging Face utilizados como base_model, que se cargan con trust_remote_code=True forzado. Esto afecta principalmente a equipos de ML/IA en LATAM que utilizan modelos preentrenados de repositorios públicos sin validación.

M Alto vulnerabilidad

Vulnerabilidad SSRF alta en MindsDB hasta v26.1.0 permite acceso a servicios internos

MindsDB versiones hasta 26.1.0 contiene una vulnerabilidad de falsificación de solicitudes del lado del servidor (SSRF) en el manejador de rastreo web que permite a atacantes no autenticados recuperar URLs arbitrarias. Los agresores pueden eludir controles de lista blanca explotando configuraciones vacías por defecto y acceder a servicios internos y puntos de acceso de metadatos en la nube sin autenticación. Afecta especialmente a empresas de IA/ML en LATAM que exponen MindsDB en entornos multi-tenant o híbridos.

M Alto vulnerabilidad

Vulnerabilidad alta de SSRF sin autenticación en Webstudio ≤0.296.0

Webstudio versión 0.296.0 y anteriores contiene una vulnerabilidad Server-Side Request Forgery (SSRF) sin autenticación en las rutas proxy /cgi/image, /cgi/video y /cgi/asset cuando la variable de entorno RESIZE_ORIGIN no está configurada. Atacantes pueden suministrar URLs arbitrarias para acceder a metadatos de instancias en la nube, servicios internos y realizar reconocimiento de infraestructura. Este vector afecta directamente a empresas en LATAM que ejecutan Webstudio en entornos cloud (AWS, Azure, Google Cloud).

← Anterior 1 … 459 460 461 462 463 … 1192 Siguiente →