Alertas de Seguridad de la Información

A vulnerability was found in D-Link DNS-340L and DNS-345 up to 20260717. This affects an unknown part of the file /cgi-bin/iscsi_mgr.cgi. Performing a manipulation of the argument alias/username/password/volume_location results in os command injection. It is possible to initiate the attack remotely. The exploit has been made public and could be used.

A vulnerability was determined in Tenda AC1206 15.03.06.23. This vulnerability affects the function TendaTelnet of the file /goform/telnet of the component Web UI. Executing a manipulation can lead to missing authentication. It is possible to launch the attack remotely. The exploit has been publicly disclosed and may be utilized.

A vulnerability was identified in Tenda AC1206 15.03.06.23. This issue affects the function R7WebsSecurityHandler of the file /goform/ate of the component Web UI. The manipulation leads to missing authentication. The attack can be initiated remotely. The exploit is publicly available and might be used.

A security flaw has been discovered in Tenda AC18 15.03.05.19. Impacted is an unknown function of the file /goform/telnet of the component Telnet Handler. The manipulation results in missing authentication. The attack can be launched remotely. The exploit has been released to the public and may be used for attacks.

Improper neutralization of special elements used in an SQL command ('SQL injection') vulnerability in Ankara Hosting Site Management Panel allows SQL Injection. This issue affects Site Management Panel: through 15062026.

A flaw was found in the Qute template engine, which is used by Quarkus to generate dynamic content like HTML pages or emails. The issue exists in the component responsible for looking up data values (ReflectionValueResolver), which fails to properly block access to sensitive Java internal functions when processing certain data types like Enums. An attacker who can provide or influence the template…

Se ha identificado una vulnerabilidad crítica (CVSS 9.1) en dispositivos NAS D-Link que permite inyección de comandos del sistema operativo a través del parámetro f_ups_ip en el manejador CGI /cgi-bin/usb_device.cgi. La explotación es remota, sin autenticación requerida, y el exploit público ya circula. Afecta modelos hasta la versión 20260717, comprometiendo la integridad de servidores de almacenamiento en infraestructuras PYME y empresariales de LATAM.

Se detectó una vulnerabilidad crítica (CVSS 9.9) en los manejadores ISO de dispositivos de almacenamiento en red D-Link afectados hasta la versión 20260717. Un atacante remoto puede ejecutar comandos del sistema operativo a través del parámetro upIsoRootPath en /cgi-bin/isomount_mgr.cgi, comprometiendo completamente la integridad y confidencialidad de datos almacenados. El exploit está públicamente disponible y es explotable sin autenticación.

Se ha identificado una vulnerabilidad de inyección de comandos del sistema operativo en routers D-Link DNS-327L y DNS-340L hasta la versión 20260717, accesible remotamente a través del parámetro f_dev en /cgi-bin/ve_mgr.cgi. Con puntuación CVSS de 9.1, este defecto permite a atacantes ejecutar comandos arbitrarios sin autenticación. El exploit público amplifica el riesgo para empresas y proveedores de conectividad en Latinoamérica que utilizan estos dispositivos en sus infraestructuras de red.

El controlador de almacenamiento Phison PS3111-S11 valida firmas RSA utilizando claves públicas embebidas en la imagen del firmware en lugar de almacenamiento inmutable, permitiendo a atacantes generar pares de claves RSA arbitrarios y firmar firmware modificado que el controlador acepta como legítimo. Esta vulnerabilidad afecta directamente a servidores, sistemas de backup y centros de datos en LATAM que utilizan almacenamiento basado en estos controladores, comprometiendo la integridad del firmware de dispositivos de almacenamiento altas.

YaCy Search Server versiones hasta 1.941 presenta una vulnerabilidad de inyección de entidades XML externas (XXE) en los parsers de SVG, FreeMind y OpenSearch que no desactivan la resolución de entidades externas. Atacantes pueden publicar documentos maliciosos con declaraciones DOCTYPE que contienen entidades SYSTEM apuntando a archivos locales, provocando que el crawler exfiltre contenido de archivos hacia el índice de búsqueda accesible. Esta vulnerabilidad afecta principalmente a organizaciones en LATAM que utilizan YaCy para indexación interna o búsqueda federada, exponiendo datos sensibles en sistemas de información corporativa.

Se ha identificado una debilidad en el manejador multiparte del archivo /load_file.cgi en dispositivos D-Link DSM-G600 versión 1.01, que permite escritura fuera de límites (out-of-bounds write) explotable remotamente. Con CVSS 8.8, esta vulnerabilidad afecta directamente a empresas en LATAM que utilizan estos dispositivos en infraestructuras de almacenamiento NAS, permitiendo a atacantes comprometer sistemas sin autenticación. El exploit está disponible públicamente, elevando significativamente el riesgo de explotación inmediata.

Se ha detectado una vulnerabilidad crítica (CVSS 9.1) en los dispositivos NAS D-Link DNS-340L y DNS-345 que permite inyección de comandos del sistema operativo a través del componente Virtual Volume Handler (/cgi-bin/virtual_vol.cgi). Un atacante remoto puede manipular los parámetros f_sharename, f_target o f_name para ejecutar comandos arbitrarios. Esta vulnerabilidad afecta las versiones 1.01B04, 1.03B06, 1.04B02 y 1.05b04, representando riesgo crítico para infraestructuras de almacenamiento en empresas mexicanas y latinoamericanas.

Vulnerabilidad crítica (CVSS 9.6) en múltiples plataformas permite a atacantes explotar inyección de comandos para eliminar archivos críticos del sistema operativo, provocando fallos en módulos de monitoreo. Los atacantes pueden obtener privilegios de root para robar credenciales SNMP y contraseñas de configuración, comprometiendo sistemas de control industrial y plantas energéticas en la región.

HTML::FormFu versions through 2.08 for Perl allow resource exhaustion via an unbounded repeat count from the query string in Repeatable elements. When a Repeatable element has counter_name set, its process method reads the repeat count from the named query string parameter, checks only that it is a positive integer, and passes it to repeat, which deep-clones the element's child subtree once per i…

ToolJet versiones anteriores a la 3.16.208 contiene una falla alta de validación de pertenencia organizacional en rutas de lectura de bases de datos. Un usuario autenticado puede acceder a esquemas de tablas y datos de otras organizaciones proporcionando IDs arbitrarios en parámetros URL, comprometiendo la confidencialidad de datos multiinquilino. Esta vulnerabilidad afecta directamente a empresas en LATAM que utilizan ToolJet para gestionar datos sensibles de múltiples clientes o departamentos.

ToolJet antes de la versión 3.16.208 no valida que el parámetro organizationId en las solicitudes de API coincida con el workspace autenticado del usuario. Un administrador de workspace puede crear, visualizar y eliminar tablas de base de datos en otros workspaces modificando el parámetro organizationId, comprometiendo la seguridad de datos en entornos multi-tenant críticos para empresas en LATAM.

ToolJet antes de la versión 3.16.208 no valida correctamente la pertenencia de usuarios autenticados a la organización especificada, permitiendo a usuarios Builder leer, modificar y eliminar tablas entre diferentes tenants. Los atacantes pueden extraer identificadores de organización de endpoints públicos y explotar operaciones de esquema para acceder a datos sensibles de otras empresas, representando riesgo crítico para empresas LATAM que utilizan esta plataforma en producción.

ToolJet Database versiones anteriores a v3.16.44 contienen una vulnerabilidad de escalada de privilegios en el endpoint join_tables que otorga capacidades JOIN_TABLES a todos los usuarios autenticados sin validar rol o pertenencia al workspace. Atacantes pueden leer tablas arbitrarias de cualquier workspace en ToolJet Database suministrando identificadores de workspace víctima en la ruta de solicitud mientras se autentican con su propio workspace.

ToolJet antes de la versión 3.16.208 presenta una falla crítica (CVSS 9.6) en la validación de propiedad de organizationId en rutas de escritura y eliminación de base de datos. Usuarios con rol de constructor pueden crear, modificar o eliminar tablas en bases de datos de otras organizaciones en instancias compartidas, comprometiendo la integridad de datos entre inquilinos. En entornos empresariales de LATAM con múltiples clientes en una sola instancia, esto representa riesgo de pérdida permanente de información y manipulación de esquemas.