Alertas de Seguridad de la Información

M Alto vulnerabilidad

09/08/2026

Vulnerabilidad alta de traversal de directorios en LOLLMS 2.1.0 permite acceso no autorizado

LOLLMS versión 2.1.0 contiene una vulnerabilidad de traversal de rutas en su módulo de interfaz (SPA catch-all route) que permite a atacantes eludir controles de seguridad mediante secuencias codificadas en URL (%2e%2e) y acceder a archivos fuera del directorio permitido. Este fallo afecta directamente a servidores de IA/ML en empresas LATAM que despliegan esta solución sin actualizar. La vulnerabilidad tiene puntuación CVSS 7.5 (Alta) y requiere atención inmediata en entornos de producción.

nvdaltovulnerabilidad CVSS 7.5 NVD

M Crítico vulnerabilidad

09/08/2026

Vulnerabilidad crítica de inyección de comandos en router MSI Radix AXE6600 (CVE-2026-71990)

El firmware v781521 del router MSI Radix AXE6600 contiene una vulnerabilidad de inyección de comandos en la función TelnetSSH que permite a atacantes remotos ejecutar comandos arbitrarios y obtener privilegios root. Afecta principalmente a empresas en LATAM que utilizan estos equipos como puntos de acceso corporativo o puntos de convergencia de red. La explotación no requiere autenticación previa, facilitando ataques desde Internet público.

nvdcriticovulnerabilidad CVSS 9.8 NVD

M Crítico vulnerabilidad

09/08/2026

Vulnerabilidad crítica de inyección de comandos en router MSI Radix AXE6600 (CVE-2026-71991)

El firmware v781521 del router MSI Radix AXE6600 contiene una vulnerabilidad de inyección de comandos en la función TelnetSSH que permite a atacantes remotos ejecutar comandos arbitrarios y obtener privilegios root. Esta falla afecta directamente a empresas en LATAM que usan este equipamiento en infraestructuras de red crítica, perímetro corporativo o conexiones de sucursales. El CVSS 9.8 indica riesgo crítico con alta probabilidad de explotación remota sin autenticación.

nvdcriticovulnerabilidad CVSS 9.8 NVD

M Crítico vulnerabilidad

09/08/2026

Vulnerabilidad crítica de inyección de comandos en router MSI Radix AXE6600 (CVE-2026-71986)

El firmware v781521 del router MSI Radix AXE6600 contiene una vulnerabilidad de inyección de comandos en la función DMZ que permite a atacantes remotos ejecutar comandos arbitrarios y obtener privilegios de root. Esta vulnerabilidad afecta directamente a pequeñas y medianas empresas en LATAM que utilizan este equipo como puerta de enlace de red, exponiendo la infraestructura interna a compromisos graves sin necesidad de autenticación.

nvdcriticovulnerabilidad CVSS 9.8 NVD

M Crítico vulnerabilidad

09/08/2026

Vulnerabilidad crítica de inyección de comandos en router MSI Radix AXE6600 (CVE-2026-71988)

El router MSI Radix AXE6600 versión de firmware v781521 contiene una vulnerabilidad de inyección de comandos en la función portFw que permite a atacantes remotos ejecutar comandos arbitrarios y obtener privilegios root. Esta vulnerabilidad afecta principalmente a PyMEs y empresas con infraestructura de red basada en equipos de consumo de gama media, comprometiendo la integridad de redes corporativas en México y LATAM. El CVSS 9.8 indica riesgo crítico sin requerir autenticación previa.

nvdcriticovulnerabilidad CVSS 9.8 NVD

M Crítico vulnerabilidad

08/08/2026

[CVE-2026-71958] D-Link DWR-M961 devices with hardware version C1 and software version 1.1.2_C1_202602110044 contain …

D-Link DWR-M961 devices with hardware version C1 and software version 1.1.2_C1_202602110044 contain a buffer overflow vulnerability in the quicksetup.cgi interface. A remote attacker can write overly long strings to the test4, ssid2, and username fields and execute arbitrary commands by crafting a specific payload, or cause the device to crash.

nvdcriticovulnerabilidad CVSS 9.8 NVD

M Alto vulnerabilidad

08/08/2026

Inyección de comandos alta en INQUIRELAB mcp-bridge-api (CVE-2026-19263)

Se identificó una vulnerabilidad de inyección de comandos en el componente Servers Endpoint del archivo mcp-bridge.js de INQUIRELAB mcp-bridge-api. Un atacante remoto podría manipular los parámetros command/args para ejecutar comandos arbitrarios en servidores afectados. Esta vulnerabilidad impacta directamente sistemas de integración de APIs en infraestructuras empresariales de México y Latinoamérica que utilizan esta librería en versiones anteriores a b30a82aa1d1d1139e0de846c41c8aadee6e06114.

nvdaltovulnerabilidad CVSS 7.3 NVD

M Alto vulnerabilidad

07/08/2026

Vulnerabilidad alta en Kakoune permite ejecución remota de comandos vía archivos de respaldo

Kakoune, editor de código utilizado por desarrolladores en LATAM, contiene una vulnerabilidad de ejecución arbitraria en versiones anteriores a 2026.05.21. La función autorestore.kak, habilitada por defecto, puede ser explotada mediante archivos de respaldo maliciosos para ejecutar comandos de shell sin intervención del usuario. Afecta principalmente a equipos de desarrollo y DevOps que utilizan este editor en entornos de producción.

nvdaltovulnerabilidad CVSS 8.6 NVD

M Crítico vulnerabilidad

07/08/2026

Vulnerabilidad crítica en OpenYak permite ejecución de código remoto desde navegadores web

OpenYak, un runtime local para modelos de IA con herramientas integradas, presenta una vulnerabilidad crítica (CVSS 9.6) en versiones anteriores a 1.1.3. El backend del escritorio expone una API HTTP sin validación de origen, autenticación de loopback ni enforcement de Content-Type, con política CORS abierta. Cualquier página web visitada mientras OpenYak se ejecuta puede ejecutar comandos arbitrarios en el sistema local, comprometiendo completamente la máquina del usuario.

nvdcriticovulnerabilidad CVSS 9.6 NVD

M Alto vulnerabilidad

07/08/2026

Vulnerabilidad alta en lakeFS permite inyección de código mediante archivos Markdown

lakeFS, herramienta de código abierto que gestiona almacenamiento de objetos como repositorios Git, presenta una vulnerabilidad de XSS reflejado en su interfaz web que afecta versiones anteriores a 1.81.1 (edición open source) y 1.84.0 (edición enterprise). Un usuario con acceso de escritura puede inyectar HTML/JavaScript malicioso en archivos .md, comprometiendo la integridad de datos y sesiones de usuarios administrativos que visualicen el contenido afectado. El riesgo es alta en entornos LATAM donde lakeFS se utiliza en pipelines de datos y data lakes corporativos.

nvdaltovulnerabilidad CVSS 8.7 NVD

M Alto vulnerabilidad

07/08/2026

Vulnerabilidad alta de aislamiento en PraisonAI Platform API 0.1.3 y anteriores (CVE-2026-48169)

PraisonAI Platform API versiones anteriores a 0.1.4 presentan dos fallos de autorización que comprometen el aislamiento de workspaces. Usuarios autenticados pueden leer, modificar y eliminar recursos en cualquier workspace modificando UUIDs en solicitudes API, afectando altas equipos de IA multi-agente en organizaciones de LATAM que usan esta plataforma en producción.

nvdaltovulnerabilidad CVSS 8.8 NVD

M Alto vulnerabilidad

07/08/2026

Vulnerabilidad alta en Home Assistant Companion permite ejecución de acciones por aplicaciones no autorizadas

Home Assistant Companion (versiones anteriores a 2026.5.3) no valida correctamente las aplicaciones que envían enlaces de etiquetas NFC o QR a través del sistema operativo, permitiendo que cualquier aplicación no confiable en el dispositivo ejecute acciones arbitrarias en la plataforma de automatización. Esto compromete la privacidad y seguridad local de hogares inteligentes en México y Latinoamérica que dependen de este software de código abierto.

nvdaltovulnerabilidad CVSS 7.1 NVD

M Crítico vulnerabilidad

07/08/2026

[CVE-2026-48039] Meta Ads MCP is a Model Context Protocol (MCP) server that lets AI assistants run Meta Ads. Prior to…

Meta Ads MCP is a Model Context Protocol (MCP) server that lets AI assistants run Meta Ads. Prior to version 1.0.109, `AuthInjectionMiddleware.dispatch()` at `http_auth_integration.py:272` unconditionally forwards unauthenticated Streamable HTTP requests to downstream MCP tool handlers without issuing a `401` response, allowing any network-reachable caller to invoke MCP tools without authenticatio…

nvdcriticovulnerabilidad CVSS 9.1 NVD

M Alto vulnerabilidad

07/08/2026

[CVE-2026-11430] Grav CMS's scheduler-webhook plugin contains an authentication bypass in the webhook token check. Wh…

Grav CMS's scheduler-webhook plugin contains an authentication bypass in the webhook token check. When the webhook feature is enabled but no webhookToken is configured, a compound conditional short-circuits and skips token validation, so an unauthenticated remote attacker who can reach POST /scheduler/webhook can trigger the operator's already-configured scheduled jobs by sending a single request.…

nvdaltovulnerabilidad CVSS 7.3 NVD

M Crítico vulnerabilidad

07/08/2026

[CVE-2026-19264] Postiz is an open-source social media scheduling tool. The route that serves locally stored media jo…

Postiz is an open-source social media scheduling tool. The route that serves locally stored media joins URL-supplied path segments onto the upload directory and streams the file without normalising the path or confining it to that directory, and the route requires no authentication. Raw dot-segments are collapsed before routing, but URL-encoded separators survive route matching and are decoded onl…

nvdcriticovulnerabilidad CVSS 9.8 NVD

M Alto vulnerabilidad

07/08/2026

Vulnerabilidad alta en dracut permite ejecución de comandos con privilegios root

Se descubrió una falla en dracut donde la función de manejo de errores die() no realiza escape adecuado de caracteres especiales en mensajes, permitiendo inyección de comandos a través de la opción DHCP ROOT_PATH. Un atacante en la red local controlando un servidor DHCP rogue puede ejecutar comandos arbitrarios con privilegios root durante el siguiente arranque del sistema, afectando servidores de infraestructura alta en data centers de LATAM.

nvdaltovulnerabilidad CVSS 7.5 NVD

M Alto vulnerabilidad

07/08/2026

Vulnerabilidad alta de secuestro de DLL en LUCID Vision Labs Arena SDK 1.0.80.49

Una vulnerabilidad de tipo DLL Search Order Hijacking (puntuación CVSS 8.8) en Arena SDK 1.0.80.49 permite a atacantes locales ejecutar código arbitrario con los privilegios de la aplicación. El riesgo es alto en entornos de visión artificial e industria 4.0 comunes en plantas manufactureras de México y Latinoamérica, donde este SDK se integra en sistemas de inspección y control de calidad.

nvdaltovulnerabilidad CVSS 8.8 NVD

M Alto vulnerabilidad

07/08/2026

Exposición de credenciales en firmware de dispositivos - CVE-2026-49007 (CVSS 7.5)

Vulnerabilidad que permite a atacantes acceder a credenciales iniciales de dispositivos al leer información sin encriptar en el firmware. Afecta múltiples fabricantes y expone interfaces web administrativas. En LATAM, esta falla impacta servidores, equipos de red y sistemas embebidos en infraestructuras altas.

nvdaltovulnerabilidad CVSS 7.5 NVD

M Crítico vulnerabilidad

07/08/2026

[CVE-2026-16258] The Ajax Search Lite WordPress plugin before 4.14.5 does not prevent the deserialization of untrust…

The Ajax Search Lite WordPress plugin before 4.14.5 does not prevent the deserialization of untrusted input, allowing unauthenticated attackers to perform PHP Object Injection. When a suitable POP chain is present via another installed Ajax Search Lite WordPress plugin before 4.14.5 or , this can be leveraged to achieve Remote Code Execution.

nvdcriticovulnerabilidad CVSS 9.8 NVD

M Alto vulnerabilidad

07/08/2026

Vulnerabilidad de control de acceso en DeepCool DisplayService 1.2.12 (CVE-2026-19192)

Se detectó una vulnerabilidad de control de acceso impropio en DeepCool DisplayService 1.2.12 que afecta el archivo DeepCoolDisplayService.exe. El exploit es público y requiere acceso local para ser explotado, comprometiendo sistemas con hardware gaming y de refrigeración líquida comunes en centros de datos y estaciones de trabajo en México y LATAM. Con CVSS 7.8, representa riesgo alto para infraestructuras que ejecuten este servicio.

nvdaltovulnerabilidad CVSS 7.8 NVD