Seguridad de la Información

Alertas de Seguridad de la Información

Vulnerabilidades explotadas activamente, incidentes y análisis relevantes para México y LATAM. Actualizado automáticamente desde fuentes oficiales.

48 vulnerabilidades en CISA KEV — explotación activa confirmada Ver todas →

Última alerta publicada ahora mismo

25,206

Total alertas

5111

Críticas

19250

Altas

8

Ransomware

2518

Esta semana

RSS

vulnerabilidad × Limpiar todo ×

M Alto vulnerabilidad

Vulnerabilidad alta en KubeEdge CloudCore 1.23.1 permite falsificación de estado de actualización de nodos

KubeEdge CloudCore versiones hasta 1.23.1 acepta reportes de estado de tareas sin autenticación en puerto 10002, permitiendo a atacantes modificar el estado de trabajos de upgrade. Esto compromete la integridad del plano de control en infraestructuras edge/IoT, siendo alta para organizaciones en LATAM con despliegues en manufactura, utilities y telecomunicaciones que dependen de orquestación automática de actualizaciones.

M Alto vulnerabilidad

Vulnerabilidad alta en Sudo permite eludir controles de política en llamadas execveat

Sudo versiones hasta 1.9.17p2 no aplica verificaciones de política de intercepción a la llamada del sistema execveat en modo ptrace, permitiendo a usuarios autorizados ejecutar programas prohibidos mediante execveat o fexecve. Esta evasión compromete la aplicación de políticas y el registro de auditoría en servidores Linux/Unix altas en LATAM donde Sudo gestiona privilegios administrativos.

M Crítico vulnerabilidad

Vulnerabilidad crítica de directory traversal en Cloud Commander anterior a 19.20.2

Cloud Commander versiones anteriores a 19.20.2 contiene una vulnerabilidad de recorrido de directorios (directory traversal) en los endpoints REST de operaciones de archivo y markdown que permite a atacantes leer, escribir, mover o copiar archivos fuera del directorio raíz configurado. Esta vulnerabilidad afecta principalmente a empresas en LATAM que utilizan Cloud Commander para administración remota de servidores, exponiendo información sensible y permitiendo la modificación no autorizada de archivos críticos del sistema.

M Alto vulnerabilidad

Vulnerabilidad alta en pac4j-oidc: falla en validación de tokens de acceso

pac4j-oidc anterior a versión 6.5.6 no valida correctamente firmas de tokens de acceso, emisores, audiencias ni expiración al extraer roles de Keycloak. Atacantes pueden falsificar tokens con roles administrativos combinados con tokens ID válidos para eludir controles de autorización en aplicaciones que dependen de validación de roles en pac4j. Afecta directamente sistemas de identidad y control de acceso en infraestructuras empresariales de México y LATAM que implementen esta librería.

M Alto vulnerabilidad

Vulnerabilidad alta de omisión de autenticación en pac4j-core anterior a 6.5.6

pac4j-core antes de la versión 6.5.6 contiene una vulnerabilidad que invierte la lógica de validación de tipos de perfil en CheckProfileTypeAuthorizer, permitiendo a atacantes eludir controles de autenticación. Los agresores pueden autenticarse mediante clientes débiles y acceder a recursos que requieren perfiles más robustos al satisfacer validaciones genéricas. Afecta principalmente a aplicaciones Java en LATAM que dependen de esta librería para control de acceso.

M Alto vulnerabilidad

Vulnerabilidad alta de elusión de autenticación en Rodauth anterior a 2.46.0

Rodauth versiones anteriores a 2.46.0 contiene una vulnerabilidad de elusión de autenticación en la ruta webauthn_login que permite a usuarios autenticados suplantarse como otras cuentas. El defecto reside en la lógica impropia de resolución de cuentas que utiliza identificadores de sesión en lugar de validar correctamente el vínculo de credenciales, exponiendo sistemas que dependen de WebAuthn en México y LATAM a compromisos de cuentas no autorizados.

M Crítico vulnerabilidad

[CVE-2026-82452] rust-iot-platform through commit 5df942ab contains an authentication bypass vulnerability where most…

rust-iot-platform through commit 5df942ab contains an authentication bypass vulnerability where most REST API routes lack authentication guards in their handler signatures. Unauthenticated attackers can create, update, list, retrieve, and delete user accounts by directly accessing unprotected endpoints without providing valid credentials.

📬 Alertas semanales SI directo en tu email

Las vulnerabilidades más críticas para LATAM, con contexto y recomendaciones accionables. Gratis.

Suscribirme →

M Alto vulnerabilidad

[CVE-2026-82453] rust-iot-platform through commit 5df942ab stores user passwords in cleartext without hashing in the …

rust-iot-platform through commit 5df942ab stores user passwords in cleartext without hashing in the user model. Attackers can read API responses from user retrieval and listing routes to obtain plaintext credentials for all accounts.

M Crítico vulnerabilidad

[CVE-2026-82454] The Omnivore API (packages/api) before the fix in commit abf53d6 contains an authentication bypass i…

The Omnivore API (packages/api) before the fix in commit abf53d6 contains an authentication bypass in Apple sign-in token verification. The decodeAppleToken function extracted the 'alg' field from the attacker-supplied JWT header and passed it as the sole allowed algorithm to jwt.verify(). Using jsonwebtoken v8 (which does not validate key/algorithm compatibility), an attacker can set alg=HS256 an…

M Alto vulnerabilidad

[CVE-2026-82455] RubyGems fails to re-validate path containment after filesystem symlink resolution during gem extrac…

RubyGems fails to re-validate path containment after filesystem symlink resolution during gem extraction. When a pre-existing symlink inside the destination directory points outside the extraction root, extracted files that appear to be written under the destination directory can instead be written outside of it, breaking the extraction safety boundary. The fix resolves the real path of the parent…

M Crítico vulnerabilidad

Vulnerabilidad crítica en argocd-mcp 0.8.0: exposición de interfaz HTTP sin autenticación

ArgoCD MCP versión 0.8.0 expone su transporte HTTP en todas las interfaces de red sin requerir credenciales cuando ARGOCD_API_TOKEN está configurado. Atacantes con acceso a la red pueden invocar la superficie completa de herramientas utilizando el token del operador para crear aplicaciones, ejecutar sincronizaciones y modificar recursos de Argo CD. Esta vulnerabilidad afecta crítica a infraestructuras de CI/CD en empresas que operan Kubernetes en LATAM.

M Alto vulnerabilidad

[CVE-2026-82457] su-exec through 0.3 fails to validate numeric user and group identifiers parsed with strtol before a…

su-exec through 0.3 fails to validate numeric user and group identifiers parsed with strtol before assigning to uid_t and gid_t, allowing truncation of out-of-range values to zero. Attackers can supply large numeric identifiers that truncate to root's identifier, causing su-exec to execute target programs with root privileges instead of intended unprivileged accounts.

M Alto vulnerabilidad

[CVE-2026-82450] BookStack before 26.05.4 contains a remote code execution vulnerability in the portable ZIP import f…

BookStack before 26.05.4 contains a remote code execution vulnerability in the portable ZIP import functionality that allows users with Import Content and Create Books permissions to upload a PHP polyglot file as a book cover. Attackers can bypass image extension validation by embedding a PHP file with a .php filename in the ZIP archive, which is stored in the public web root and executed by unaut…

M Alto vulnerabilidad

[CVE-2026-82447] Skyvern before 1.0.45 contains a sandbox escape vulnerability in TextPromptBlock that renders prompt…

Skyvern before 1.0.45 contains a sandbox escape vulnerability in TextPromptBlock that renders prompts twice, first through a sandboxed Jinja environment and then through an unsandboxed environment. Attackers can inject malicious Jinja template syntax through workflow parameters or upstream block output to execute arbitrary code with server process privileges.

M Crítico vulnerabilidad

[CVE-2026-82448] Shinobi before commit 5a76c74f contains a hardcoded connection key in the child node service that al…

Shinobi before commit 5a76c74f contains a hardcoded connection key in the child node service that allows unauthenticated attackers to execute arbitrary database queries. Attackers reaching the child node port can present the hardcoded key during WebSocket handshake, then dispatch SQL queries through the onWebSocketDataFromChildNode handler to read and modify user records and camera configuration.

🛡 ¿Estás expuesto a alguna de estas vulnerabilidades?

Evaluación gratuita inicial con el equipo 2MCI: identifica exposición y plan de remediación.

Habla con un experto →

M Crítico vulnerabilidad

Ejecución Remota de Código en Plugin Sigma Forms Pro para WordPress (CVE-2026-14494)

El plugin Sigma Forms Pro para WordPress (versiones hasta 1.4.5) es vulnerable a ejecución remota de código (RCE) mediante la función handle_form_submission. La vulnerabilidad permite a atacantes no autenticados subir archivos maliciosos al explotar la asignación dinámica de capacidades unfiltered_upload y el bypass de validación de tipos MIME. Afecta directamente a sitios WordPress en LATAM que utilizan este plugin para gestión de formularios sin parches.

M Crítico vulnerabilidad

[CVE-2026-77012] The 爱采集数据采集和发布插件 WordPress plugin through 1.0.0 does not require a per-install secret for one of its…

The 爱采集数据采集和发布插件 WordPress plugin through 1.0.0 does not require a per-install secret for one of its unauthenticated endpoints, relying on a hardcoded default, and does not validate the URLs or destination paths it is given, allowing unauthenticated attackers to read arbitrary files from the server, force it to issue arbitrary requests and retrieve the responses, and write attacker-supplied conten…

M Alto vulnerabilidad

[CVE-2026-76586] The Appointment Booking Calendar Plugin and Scheduling Plugin WordPress plugin before 1.6.3 does no…

The Appointment Booking Calendar Plugin and Scheduling Plugin WordPress plugin before 1.6.3 does not verify the amount actually paid against the server-side price staged for a booking when confirming an online payment, allowing unauthenticated users to have a paid appointment approved for a fraction of its price.

M Alto vulnerabilidad

[CVE-2026-77007] The HEL Online Classroom: AI-powered Online Classrooms WordPress plugin through 1.0.3 does not perfo…

The HEL Online Classroom: AI-powered Online Classrooms WordPress plugin through 1.0.3 does not perform any authorisation check on one of its REST API routes, allowing unauthenticated users to retrieve its stored settings, including the shared secret used to sign API requests to the connected BigBlueButton server.

M Alto vulnerabilidad

[CVE-2026-76548] The User Profile Builder WordPress plugin before 4.0.1 does not properly restrict its front-end fil…

The User Profile Builder WordPress plugin before 4.0.1 does not properly restrict its front-end file upload feature, granting unauthenticated visitors capabilities reserved to privileged roles. This allows them to list the site's media library and to modify unpublished posts, pages and media items belonging to other users.

← Anterior 1 … 506 507 508 509 510 … 1198 Siguiente →