Iurlek - Noticias Seguridad

Iurlek - Noticias Seguridad

Top Vulnerabilidades Críticas 26-06-2026

12 min · 26. juni 2026
Get Started
episode Top Vulnerabilidades Críticas 26-06-2026 cover

Description

cve-2026-12569 afecta a PTC Windchill and FlexPLM con una vulnerabilidad crítica en la validación de datos que permite ejecución remota de código. La explotación activa la convierte en una amenaza inmediata para los usuarios de este software de gestión del ciclo de vida del producto. cve-2024-41700 expone información sensible en Barix SIP Client Firmware permitiendo el acceso no autorizado. Esta vulnerabilidad crítica afecta la confidencialidad y tiene explotación activa confirmada. cve-2026-41566 afecta a Apache Kvrocks con una vulnerabilidad crítica de permisos insuficientes que permite escalada de privilegios. Se recomienda actualización para corregirla. cve-2026-46752 afecta a Apache Kvrocks con un desbordamiento crítico en la biblioteca cjson que permite ejecución remota de código. Es fundamental actualizar a una versión segura para evitar explotación activa de esta vulnerabilidad. cve-2026-41120 afecta a Dell Wyse Management Suite exponiendo a ejecución remota de código mediante datos no confiables aceptados junto a datos confiables. Esta falla crítica puede permitir a atacantes con acceso remoto controlar dispositivos gestionados. cve-2026-54823 afecta a un plugin de WordPress permitiendo ejecución remota de código. Esta vulnerabilidad es crítica con explotación confirmada, facilitando la toma total del sistema. cve-2026-54836 describe una inyección SQL crítica en el plugin YMC Filter para WordPress que permite ejecución remota de código y manipulación de datos. La explotación activa confirma el riesgo real para los sitios afectados. cve-2026-54843 expone una inyección SQL crítica en el plugin MDTF para WordPress, permitiendo acceso y manipulación de datos sin autenticación. Esta vulnerabilidad es altamente peligrosa dada su explotación activa. cve-2026-54849 afecta a Premmerce Wishlist for WooCommerce con una inyección SQL crítica no autenticada, que puede comprometer datos sensibles en la base de datos. Esta falla supone un riesgo alto para la seguridad de los sitios afectados. cve-2026-55413 describe una vulnerabilidad crítica en ToolJet que permite ejecución remota de código mediante la modificación maliciosa de plugins compartidos. Esta falla grave expone la plataforma a compromisos integrales del sistema. cve-2026-56123 describe una vulnerabilidad crítica en socat que permite un desbordamiento de memoria explotable remotamente. El fallo se produce por un error en el manejo del tamaño de nombre de dominio durante la conexión proxy, con riesgo de manipulación de memoria y posible ejecución remota de código. cve-2026-50548 describe una vulnerabilidad crítica en Cursor que permite ejecución remota de código fuera de la sandbox. La falla radica en la inadecuada validación del directorio de trabajo, comprometiendo la seguridad del sistema. cve-2026-50549 afecta a Cursor y permite ejecución remota de código al escribir fuera del espacio de trabajo sin aprobación, comprometiendo el sistema del usuario. Es una vulnerabilidad crítica que facilita ataques no sandboxeados y requiere atención inmediata. cve-2026-54088 afecta a File Browser y permite la ejecución remota de código mediante inyección en comandos de autenticación sin necesidad de acceso previo. Esta vulnerabilidad es crítica y explotada activamente, representando un riesgo severo para la seguridad de los sistemas afectados. cve-2026-54089 afecta a FileBrowser, permitiendo la suplantación de identidad y la creación no autorizada de cuentas sin credenciales. Esta vulnerabilidad crítica expone el control total del sistema a atacantes remotos. cve-2026-56786 afecta a RTKLIB con un desbordamiento de buffer que permite ejecución remota de código y denegación de servicio mediante mensajes manipulados en flujos de corrección. Esta vulnerabilidad crítica es explotada en entornos reales. cve-2026-57700 afecta al plugin OMGF Pro para Wordpress, permitiendo la subida sin control de archivos maliciosos que comprometen el servidor. La vulnerabilidad deriva en ejecución remota de código y control total del sistema afectado. cve-2025-71327 describe una vulnerabilidad crítica en Flowise que permite a atacantes remotos eludir la autenticación mediante un endpoint de registro desprotegido. Esto permite la creación de cuentas falsas y acceso completo a la API sin credenciales. cve-2025-71333 afecta a Flowise y permite la subida arbitraria de archivos sin autenticación, con riesgo de ejecución remota de código y toma de control. Esta vulnerabilidad es crítica y su explotación ha sido confirmada. cve-2025-71334 afecta a Flowise y permite la ejecución remota de código mediante acceso y escritura arbitraria de archivos. Esta vulnerabilidad crítica se aprovecha de la falta de validación en parámetros de entrada en endpoints específicos del framework. cve-2025-71336 afecta a Flowise con ejecución remota de código debido a ausencia de sandbox y controles de acceso. La vulnerabilidad permite el control total del servidor o contenedor donde se despliega la plataforma. cve-2025-71338 expone una grave vulnerabilidad en Flowise que permite la ejecución remota de código mediante un recorrido de ruta en parámetros no validados. Esta falla crítica afecta la integridad del sistema y ha sido explotada activamente. cve-2026-40702 afecta a sistemas de gestión de estaciones de carga por falta de autenticación en WebSocket. Permite acceso no autorizado y escalada de privilegios. La explotación es activa y crítica. cve-2026-9222 permite acceso total a la aplicación Setracker2 sin necesidad de la contraseña original. La falla se debe a un fallo en el manejo del hash de autenticación, lo que facilita la autenticación no autorizada. Esto representa un riesgo crítico para la seguridad de los dispositivos afectados.

Comments

0

Be the first to comment

Sign up now and become a member of the Iurlek - Noticias Seguridad community!

Get Started

1 month for 9 kr.

Then 99 kr. / month · Cancel anytime.

  • Podcasts kun på Podimo
  • 20 lydbogstimer pr. måned
  • Gratis podcasts
Get Started

All episodes

100 episodes

episode Top Vulnerabilidades Críticas 07-07-2026 artwork

Top Vulnerabilidades Críticas 07-07-2026

cve-2026-13731 describe una vulnerabilidad crítica de cross-site scripting en QuantumCloud WPBot para WordPress que permite la ejecución remota de código en navegadores. Se confirma explotación activa, lo que aumenta su gravedad y la necesidad de parche inmediato. cve-2026-14807 describe una vulnerabilidad crítica en PROG MIS ERP App que permite acceso remoto sin autenticación mediante credenciales embebidas. Supone un riesgo grave de filtración de información sensible y control no autorizado del sistema. cve-2026-14808 afecta a un sistema de gestión empresarial con una vulnerabilidad crítica que permite la exposición de información sensible, incluyendo credenciales de base de datos mediante acceso remoto sin autenticación. cve-2026-6382 afecta a plugins de gestión de archivos en WordPress permitiendo inyección de comandos en el sistema operativo por manejo incorrecto de parámetros en operaciones de imagen. Esto permite la ejecución remota de código con privilegios del servidor cuando ciertas condiciones están presentes. cve-2026-24013 describe una vulnerabilidad crítica de bypass de autenticación en Apache IoTDB, permitiendo acceso no autorizado a datos sensibles. Esta falla se debe a una validación insuficiente de parámetros en handlers RPC. La actualización a la versión 2.0.8 corrige esta vulnerabilidad. cve-2026-24014 afecta a Apache IoTDB permitiendo escritura arbitraria en el sistema. La vulnerabilidad se debe a una validación insuficiente de nombres en la interfaz RPC interna, lo que permite ataques de recorrido de ruta con efectos críticos. La actualización a la versión 2.0.8 mitiga este riesgo. cve-2026-40047 afecta a Apache Camel al permitir inyección de argumentos en su componente Camel Docling. Esta vulnerabilidad crítica permite ejecutar comandos con parámetros no autorizados y saltarse restricciones de ruta. Se recomienda actualizar a versiones parcheadas para mitigar el riesgo. cve-2026-43867 afecta a Apache Camel por deserialización insegura que puede permitir ejecución remota de código. Esta vulnerabilidad crítica debe ser corregida con actualización o restricción de permisos en AWS Secrets Manager. cve-2026-46454 afecta a Apache Camel Cometd Component permitiendo la inyección arbitraria de cabeceras críticas sin autenticación, lo que puede comprometer rutas de integración y productores en la arquitectura. Es vital actualizar o implementar filtros y políticas de seguridad para mitigar esta falla crítica. cve-2026-46455 afecta a Apache Camel y permite aceptar tokens de acceso expirados o no válidos, comprometiendo la autenticación. La actualización a las versiones corregidas restaura la verificación completa del token y mejora la seguridad en la gestión de sesiones. cve-2026-46456 afecta a Apache Camel y permite la manipulación de cabeceras internas en mensajes AWS2-SQS. Esta falla crítica posibilita ataques que alteran el comportamiento de procesos internos mediante inyección arbitraria de cabeceras. La mitigación principal es la actualización a las versiones corregidas que añaden filtrado estricto de cabeceras entrantes. cve-2026-48203 describe una vulnerabilidad crítica en Apache Camel Solr que permite ataques SSRF mediante la inyección de parámetros y campos Solr manipulando cabeceras HTTP. Esta falla puede ser explotada de forma activa sin necesidad de autenticación, afectando la seguridad de servidores internos. La mitigación principal es la actualización a las versiones seguras y la filtración de cabeceras peligrosas en entornos no controlados. cve-2026-48204 afecta a Apache Camel en su componente mongodb-gridfs, permitiendo controlar operaciones críticas sin autenticación. Esta vulnerabilidad crítica permite ejecución no autorizada de comandos en bases de datos y manipulación de archivos. La actualización a la última versión estable es fundamental para evitar explotación. cve-2026-48205 es una vulnerabilidad crítica en Apache Camel que permite a un atacante manipular consultas DNS mediante encabezados HTTP mal validados, facilitando el envenenamiento y reconocimiento interno. Su gravedad alcanza un puntaje alto, con explotación activa confirmada que afecta directamente a operaciones DNS internas. Las recomendaciones incluyen actualizar a versiones específicas que corrigen esta falla o aplicar restricciones estrictas en el manejo de encabezados para mitigar el riesgo. cve-2026-56140 afecta a Apache Camel AWS SNS con una vulnerabilidad crítica de validación de entradas. La falta de un filtro inbound en el componente productor permite posibles manipulaciones de encabezados, corregida en versiones posteriores. No hay evidencia de explotación activa conocida. cve-2026-12686 describe una vulnerabilidad crítica de autorización cruzada en Biloop Adisss. Permite a usuarios autenticados acceder y modificar datos de otras empresas en el mismo entorno subdominio. Esta falla compromete la confidencialidad y la integridad de los datos empresariales. cve-2026-6900 describe una vulnerabilidad crítica en la validación de certificados del sistema APROL de B y R Industrial Automation GmbH. Este fallo permite ataques que comprometen la integridad de las comunicaciones en entornos industriales. La explotación activa de esta vulnerabilidad eleva su gravedad al máximo nivel. cve-2025-53827 es una vulnerabilidad crítica en ownCloud Core que permite la ejecución remota de código mediante una función expuesta en el actualizador. Esta falla afecta a versiones anteriores a la 10.15.3 y ha sido corregida en esa actualización. cve-2025-53830 afecta a Anti-Virus for ownCloud permitiendo ataques SSRF que comprometen la seguridad interna mediante solicitudes arbitrarias desde el servidor. La mitigación pasa por actualizar a versiones corregidas para evitar explotación activa. cve-2026-5268 afecta a los servidores SFTP de Ciena permitiendo un acceso no autorizado sobre el sistema de archivos, comprometiendo la integridad y confidencialidad de los datos. cve-2026-40138 expone una vulnerabilidad crítica de autenticación en BeyondTrust Remote Support y Privileged Remote Access, permitiendo acceso no autorizado con privilegios elevados. Es un fallo grave en sistemas de acceso remoto que deben revisarse para evitar brechas de seguridad. cve-2026-40139 afecta a BeyondTrust Remote Support permitiendo eludir controles de acceso y obtener acceso no autorizado con privilegios elevados mediante una vulnerabilidad de autenticación previa. cve-2026-48316 afecta a Adobe ColdFusion permitiendo la ejecución de código arbitrario sin interacción del usuario. Esta vulnerabilidad crítica se basa en una validación incorrecta de entradas que cambia el ámbito de ejecución. cve-2026-48614 permite una escalada de privilegios crítica en Plesk XML API. Esta vulnerabilidad facilita la ejecución de código con permisos de root mediante inyección de directivas maliciosas en la configuración del servidor. Es una falla grave que compromete la seguridad del sistema a nivel completo. cve-2026-9181 afecta a Esri ArcGIS Server permitiendo acceso no autorizado a archivos sensibles mediante recorrido de directorios. Es una vulnerabilidad crítica con explotación activa confirmada que compromete la seguridad del sistema. cve-2026-34038 afecta a Coolify y permite la ejecución remota de código y robo de información mediante inyección en campos de despliegue. Es una vulnerabilidad crítica con explotación confirmada y alto impacto en la seguridad de servidores y aplicaciones. cve-2026-42341 afecta al sistema de facturación FOSSBilling con una vulnerabilidad crítica que permite modificar estados de pago sin autenticación. Esta falla compromete la integridad financiera y puede ser explotada activamente si no se aplican mitigaciones. cve-2026-57571 afecta a Crawl4AI, una herramienta de rastreo web. Permite escritura arbitraria de archivos y ejecución remota de código por manipulación en los nombres de archivo. cve-2026-57572 permite la ejecución remota de código en Crawl4AI. La vulnerabilidad aprovecha la inyección de comandos en la API Docker no autenticada, provocando un riesgo crítico para el sistema.

7. juli 202616 min