Boletín de vulnerabilidades

Vulnerabilidades con productos recientemente documentados:

No hay vulnerabilidades nuevas para los productos a los que está suscrito.

Otras vulnerabilidades de los productos a los que usted está suscrito, y cuya información ha sido actualizada recientemente:

Vulnerabilidad en Content Management System (CMS) (CVE-2025-7713)
Severidad: ALTA
Fecha de publicación: 29/01/2026
Fecha de última actualización: 10/03/2026
Neutralización Incorrecta de la Entrada Durante la Generación de Páginas Web (XSS o 'cross-site scripting') vulnerabilidad en el Sistema de Gestión de Contenidos (CMS) de Global Interactive Design Media Software Inc. permite XSS a través de encabezados HTTP. Este problema afecta al Sistema de Gestión de Contenidos (CMS): hasta el 21072025.
Vulnerabilidad en Content Management System (CMS) (CVE-2025-7714)
Severidad: ALTA
Fecha de publicación: 29/01/2026
Fecha de última actualización: 10/03/2026
Vulnerabilidad de neutralización incorrecta de elementos especiales utilizados en un comando SQL (inyección SQL) en el Sistema de Gestión de Contenidos (CMS) de Global Interactive Design Media Software Inc. permite la ejecución de comandos de línea a través de inyección SQL. Este problema afecta al Sistema de Gestión de Contenidos (CMS): hasta el 21072025.
Vulnerabilidad en immich (CVE-2026-23896)
Severidad: ALTA
Fecha de publicación: 29/01/2026
Fecha de última actualización: 10/03/2026
immich es una solución de gestión de fotos y videos autoalojada de alto rendimiento. Antes de la versión 2.5.0, las claves API pueden escalar sus propios permisos al llamar al endpoint de actualización, permitiendo que una clave API de bajo privilegio se otorgue acceso administrativo completo al sistema. La versión 2.5.0 corrige el problema.
Vulnerabilidad en icinga-powershell-framework (CVE-2026-24414)
Severidad: MEDIA
Fecha de publicación: 29/01/2026
Fecha de última actualización: 10/03/2026
El Icinga PowerShell Framework proporciona posibilidades de configuración y verificación para asegurar la integración y el monitoreo de entornos Windows. En versiones anteriores a la 1.13.4, 1.12.4 y 1.11.2, los permisos del directorio 'certificate' de Icinga para Windows otorgan a cada usuario acceso de lectura, lo que resulta en la exposición de la clave privada del certificado de Icinga para el host dado. Todas las instalaciones están afectadas. Las versiones 1.13.4, 1.12.4 y 1.11.2 contienen un parche. Tenga en cuenta que la actualización a una versión corregida de Icinga para Windows también solucionará automáticamente un problema similar presente en Icinga 2, CVE-2026-24413. Como solución alternativa, los permisos pueden restringirse manualmente actualizando la ACL para la carpeta dada 'C:\Program Files\WindowsPowerShell\modules\icinga-powershell-framework\certificate' (y 'C:\ProgramData\icinga2\var' para solucionar también el problema del agente de Icinga 2) incluyendo cada subcarpeta y elemento para restringir el acceso a los usuarios generales, permitiendo el acceso únicamente al usuario de servicio de Icinga y a los administradores.
Vulnerabilidad en FluentCMS (CVE-2025-15549)
Severidad: MEDIA
Fecha de publicación: 29/01/2026
Fecha de última actualización: 10/03/2026
FluentCMS 2026 contiene una vulnerabilidad de cross-site scripting almacenado que permite a los administradores autenticados subir archivos SVG con JavaScript incrustado a través del módulo de Gestión de Archivos. Los atacantes pueden subir archivos SVG maliciosos que ejecutan JavaScript en el navegador de cualquier usuario que acceda a la URL del archivo subido.
Vulnerabilidad en WWW::OAuth de DBOOK (CVE-2025-40905)
Severidad: ALTA
Fecha de publicación: 13/02/2026
Fecha de última actualización: 10/03/2026
WWW::OAuth 1.000 y versiones anteriores para Perl utiliza la función rand() como fuente predeterminada de entropía, que no es criptográficamente segura, para funciones criptográficas.
Vulnerabilidad en Maypole de TEEJAY (CVE-2025-15578)
Severidad: CRÍTICA
Fecha de publicación: 16/02/2026
Fecha de última actualización: 10/03/2026
Las versiones de Maypole de la 2.10 a la 2.13 para Perl generan identificadores de sesión de forma insegura. El identificador de sesión se inicializa con la hora del sistema (que está disponible en los encabezados de respuesta HTTP), una llamada a la función rand() incorporada y el PID.
Vulnerabilidad en Statmatic (CVE-2026-27939)
Severidad: ALTA
Fecha de publicación: 27/02/2026
Fecha de última actualización: 10/03/2026
Statmatic es un sistema de gestión de contenido (CMS) impulsado por Laravel y Git. A partir de la versión 6.0.0 y antes de la versión 6.4.0, los usuarios autenticados del Panel de Control pueden, bajo ciertas condiciones, obtener privilegios elevados sin completar el paso de verificación previsto. Esto puede permitir el acceso a operaciones sensibles y, dependiendo de los permisos existentes del usuario, puede conducir a la escalada de privilegios. Esto ha sido corregido en la versión 6.4.0.
Vulnerabilidad en openDCIM (CVE-2026-28515)
Severidad: CRÍTICA
Fecha de publicación: 27/02/2026
Fecha de última actualización: 10/03/2026
openDCIM versión 23.04, a través del commit 4467e9c4, contiene una vulnerabilidad de autorización faltante en install.php y container-install.php. El instalador y el gestor de actualización exponen la funcionalidad de configuración LDAP sin aplicar comprobaciones de rol de aplicación. Cualquier usuario autenticado puede acceder a esta funcionalidad independientemente de los privilegios asignados. En implementaciones donde REMOTE_USER está configurado sin aplicación de autenticación, el punto final puede ser accesible sin credenciales. Esto permite la modificación no autorizada de la configuración de la aplicación.
Vulnerabilidad en openDCIM (CVE-2026-28516)
Severidad: CRÍTICA
Fecha de publicación: 27/02/2026
Fecha de última actualización: 10/03/2026
openDCIM versión 23.04, a través del commit 4467e9c4, contiene una vulnerabilidad de inyección SQL en Config::UpdateParameter. Los manejadores install.php y container-install.php pasan la entrada proporcionada por el usuario directamente a sentencias SQL usando interpolación de cadenas sin sentencias preparadas o saneamiento de entrada adecuado. Un usuario autenticado puede ejecutar sentencias SQL arbitrarias contra la base de datos subyacente.
Vulnerabilidad en Rakuten Viber (CVE-2025-13476)
Severidad: CRÍTICA
Fecha de publicación: 05/03/2026
Fecha de última actualización: 10/03/2026
El modo Cloak de Rakuten Viber en Android v25.7.2.0g y Windows v25.6.0.0–v25.8.1.0 utiliza una huella digital TLS ClientHello estática y predecible que carece de diversidad de extensiones, lo que permite a los sistemas de Inspección Profunda de Paquetes (DPI) identificar y bloquear trivialmente el tráfico de proxy, socavando la elusión de la censura. (CWE-327)
Vulnerabilidad en Exploding Gradients RAGAS (CVE-2025-45691)
Severidad: ALTA
Fecha de publicación: 05/03/2026
Fecha de última actualización: 10/03/2026
Una vulnerabilidad de lectura arbitraria de archivos existe en la clase ImageTextPromptValue en Exploding Gradients RAGAS v0.2.3 a v0.2.14. La vulnerabilidad se origina en la validación y saneamiento inadecuados de las URL proporcionadas en el parámetro retrieved_contexts al manejar entradas multimodales.
Vulnerabilidad en Wincor Nixdorf wnBios64.sys (CVE-2025-70616)
Severidad: ALTA
Fecha de publicación: 05/03/2026
Fecha de última actualización: 10/03/2026
Existe una vulnerabilidad de desbordamiento de búfer de pila en el controlador del kernel Wincor Nixdorf wnBios64.sys (versión 1.2.0.0) en el gestor IOCTL para el código 0x80102058. La vulnerabilidad es causada por la falta de comprobación de límites en el parámetro Options controlado por el usuario antes de copiar datos en un búfer de pila de 40 bytes (Src[40]) usando memmove. Un atacante con acceso local puede explotar esta vulnerabilidad enviando una solicitud IOCTL manipulada con Options > 40, causando un desbordamiento de búfer de pila que puede conducir a la ejecución de código del kernel, escalada de privilegios local o denegación de servicio (caída del sistema). Además, el mismo gestor IOCTL puede filtrar direcciones del kernel y otros datos sensibles de la pila al leer más allá de los límites del búfer.
Vulnerabilidad en Tata Consultancy Services Cognix Recon Client (CVE-2026-26416)
Severidad: ALTA
Fecha de publicación: 05/03/2026
Fecha de última actualización: 10/03/2026
Una vulnerabilidad de omisión de autorización en Tata Consultancy Services Cognix Recon Client v3.0 permite a usuarios autenticados escalar privilegios a través de los límites de roles mediante solicitudes manipuladas.
Vulnerabilidad en Tata Consultancy Services Cognix (CVE-2026-26417)
Severidad: ALTA
Fecha de publicación: 05/03/2026
Fecha de última actualización: 10/03/2026
Una vulnerabilidad de control de acceso roto en la funcionalidad de restablecimiento de contraseña de Tata Consultancy Services Cognix Recon Cliente v3.0 permite a usuarios autenticados restablecer contraseñas de cuentas de usuario arbitrarias a través de solicitudes manipuladas.
Vulnerabilidad en Tata Consultancy Services Cognix (CVE-2026-26418)
Severidad: ALTA
Fecha de publicación: 05/03/2026
Fecha de última actualización: 10/03/2026
Falta de autenticación y autorización en la API web de Tata Consultancy Services Cognix Recon Client v3.0 permite a atacantes remotos acceder a la funcionalidad de la aplicación sin restricciones a través de la red.
Vulnerabilidad en Twenty (CVE-2026-27023)
Severidad: MEDIA
Fecha de publicación: 05/03/2026
Fecha de última actualización: 10/03/2026
Twenty es un CRM de código abierto. Antes de la versión 1.18, la protección SSRF en SecureHttpClientService validaba las URL de solicitud a nivel de solicitud, pero no validaba los objetivos de redirección. Un usuario autenticado que podía controlar las URL de solicitud salientes (por ejemplo, puntos finales de webhook, URL de imagen) podía eludir el bloqueo de IP privadas redirigiendo a través de un servidor controlado por un atacante. Este problema ha sido parcheado en la versión 1.18.
Vulnerabilidad en Openproject de opf (CVE-2026-27723)
Severidad: MEDIA
Fecha de publicación: 05/03/2026
Fecha de última actualización: 10/03/2026
OpenProject es un software de gestión de proyectos de código abierto basado en la web. Antes de las versiones 17.0.5 y 17.1.2, un atacante puede crear páginas wiki pertenecientes a proyectos no autorizados a través de una solicitud con autenticación incorrecta. Este problema ha sido parcheado en las versiones 17.0.5 y 17.1.2.
Vulnerabilidad en Nginx UI (CVE-2026-27944)
Severidad: CRÍTICA
Fecha de publicación: 05/03/2026
Fecha de última actualización: 10/03/2026
Nginx UI es una interfaz de usuario web para el servidor web Nginx. Antes de la versión 2.3.3, el endpoint /api/backup es accesible sin autenticación y revela las claves de cifrado necesarias para descifrar la copia de seguridad en el encabezado de respuesta X-Backup-Security. Esto permite a un atacante no autenticado descargar una copia de seguridad completa del sistema que contiene datos sensibles (credenciales de usuario, tokens de sesión, claves privadas SSL, configuraciones de Nginx) y descifrarla inmediatamente. Este problema ha sido parcheado en la versión 2.3.3.
Vulnerabilidad en OliveTin (CVE-2026-28342)
Severidad: ALTA
Fecha de publicación: 05/03/2026
Fecha de última actualización: 10/03/2026
OliveTin da acceso a comandos shell predefinidos desde una interfaz web. Antes de la versión 3000.10.2, el endpoint de la API PasswordHash permite a usuarios no autenticados activar una asignación excesiva de memoria enviando solicitudes concurrentes de hash de contraseñas. Al emitir múltiples solicitudes paralelas, un atacante puede agotar la memoria disponible del contenedor, lo que lleva a la degradación del servicio o a una denegación de servicio (DoS) completa. El problema ocurre porque el endpoint realiza operaciones de hashing computacionalmente y de memoria intensivas sin limitación de solicitudes, requisitos de autenticación o límites de recursos. Este problema ha sido parcheado en la versión 3000.10.2.
Vulnerabilidad en OliveTin (CVE-2026-28789)
Severidad: ALTA
Fecha de publicación: 05/03/2026
Fecha de última actualización: 10/03/2026
OliveTin proporciona acceso a comandos de shell predefinidos desde una interfaz web. Antes de la versión 3000.10.3, existe una vulnerabilidad de denegación de servicio no autenticada en el flujo de inicio de sesión OAuth2 de OliveTin. Las solicitudes concurrentes a /oauth/login pueden desencadenar un acceso no sincronizado a un mapa registeredStates compartido, causando un pánico en tiempo de ejecución de Go (error fatal: escrituras concurrentes en el mapa) y la terminación del proceso. Esto permite a los atacantes remotos bloquear el servicio cuando OAuth2 está habilitado. Este problema ha sido parcheado en la versión 3000.10.3.
Vulnerabilidad en OliveTin (CVE-2026-28790)
Severidad: ALTA
Fecha de publicación: 05/03/2026
Fecha de última actualización: 10/03/2026
OliveTin da acceso a comandos de shell predefinidos desde una interfaz web. Antes de la versión 3000.11.0, OliveTin permite a un invitado no autenticado terminar acciones en ejecución a través de KillAction incluso cuando authRequireGuestsToLogin: true está habilitado. Los invitados son bloqueados correctamente del acceso al panel de control, pero aún pueden llamar al RPC de KillAction directamente y detener con éxito una acción en ejecución. Esto es un problema de control de acceso roto que causa denegación de servicio no autorizada contra ejecuciones de acciones legítimas. Este problema ha sido parcheado en la versión 3000.11.0.
Vulnerabilidad en Red Hat (CVE-2026-3009)
Severidad: ALTA
Fecha de publicación: 05/03/2026
Fecha de última actualización: 10/03/2026
Una falla de seguridad en el endpoint IdentityBrokerService.performLogin de Keycloak permite que la autenticación proceda usando un Proveedor de Identidad (IdP) incluso después de haber sido deshabilitado por un administrador. Un atacante que conoce el alias del IdP puede reutilizar una solicitud de inicio de sesión generada previamente para eludir la restricción administrativa. Esto socava la aplicación del control de acceso y puede permitir la autenticación no autorizada a través de un proveedor externo deshabilitado.
Vulnerabilidad en contracts de graphprotocol (CVE-2026-28410)
Severidad: MEDIA
Fecha de publicación: 05/03/2026
Fecha de última actualización: 10/03/2026
The Graph es un protocolo de indexación para consultar redes como Ethereum, IPFS, Polygon y otras blockchains. Antes de la versión 3.0.0, una falla en los contratos de adquisición de tokens permite a los usuarios acceder a tokens que deberían seguir bloqueados según su cronograma de adquisición de derechos. Este problema ha sido parcheado en la versión 3.0.0.
Vulnerabilidad en File Browser (CVE-2026-28492)
Severidad: ALTA
Fecha de publicación: 05/03/2026
Fecha de última actualización: 10/03/2026
Navegador de Archivos proporciona una interfaz de gestión de archivos dentro de un directorio especificado y se puede usar para subir, eliminar, previsualizar, renombrar y editar archivos. Antes de la versión 2.61.0, cuando un usuario crea un enlace de compartición público para un directorio, el middleware withHashFile en http/public.go usa filepath.Dir(link.Path) para calcular la raíz BasePathFs. Esto establece la raíz del sistema de archivos en el directorio padre en lugar del propio directorio compartido, permitiendo a cualquiera con el enlace de compartición navegar y descargar archivos de todos los directorios hermanos. Este problema ha sido parcheado en la versión 2.61.0.
Vulnerabilidad en File Browser (CVE-2026-29188)
Severidad: CRÍTICA
Fecha de publicación: 05/03/2026
Fecha de última actualización: 10/03/2026
File Browser proporciona una interfaz de gestión de archivos dentro de un directorio especificado y puede utilizarse para subir, eliminar, previsualizar, renombrar y editar archivos. Antes de la versión 2.61.1, una vulnerabilidad de control de acceso roto en el endpoint DELETE del protocolo TUS permite a usuarios autenticados con solo permiso de Creación eliminar archivos y directorios arbitrarios dentro de su alcance, eludiendo la restricción de permiso de Eliminación prevista. Cualquier despliegue multiusuario donde los administradores restringen explícitamente la eliminación de archivos para ciertos usuarios se ve afectado. Este problema ha sido parcheado en la versión 2.61.1.
Vulnerabilidad en OpenClaw (CVE-2026-28447)
Severidad: ALTA
Fecha de publicación: 05/03/2026
Fecha de última actualización: 10/03/2026
Las versiones de OpenClaw 2026.1.29-beta.1 anteriores a la 2026.2.1 contienen una vulnerabilidad de salto de ruta en la instalación de plugins que permite que nombres de paquetes de plugins maliciosos escapen del directorio de extensiones. Los atacantes pueden crear nombres de paquetes con ámbito que contengan secuencias de salto de ruta como .. para escribir archivos fuera del directorio de instalación previsto cuando las víctimas ejecutan el comando de instalación de plugins.
Vulnerabilidad en WL-NU516U1 de Wavlink (CVE-2026-3612)
Severidad: ALTA
Fecha de publicación: 06/03/2026
Fecha de última actualización: 10/03/2026
Se determinó una vulnerabilidad en Wavlink WL-NU516U1 V240425. Esto afecta a la función sub_405AF4 del archivo /cgi-bin/adm.cgi del componente OTA Online Upgrade. Esta manipulación del argumento firmware_url causa inyección de comandos. Es posible iniciar el ataque de forma remota. El exploit ha sido divulgado públicamente y puede ser utilizado. El proveedor fue contactado tempranamente sobre esta divulgación.
Vulnerabilidad en WL-NU516U1 de Wavlink (CVE-2026-3613)
Severidad: ALTA
Fecha de publicación: 06/03/2026
Fecha de última actualización: 10/03/2026
Se identificó una vulnerabilidad en Wavlink WL-NU516U1 V240425. Esta vulnerabilidad afecta a la función sub_401A0C del archivo /cgi-bin/login.cgi. Dicha manipulación del argumento ipaddr conduce a un desbordamiento de búfer basado en pila. Es posible lanzar el ataque de forma remota. El exploit está disponible públicamente y podría ser utilizado. El proveedor fue contactado con antelación sobre esta divulgación.
Vulnerabilidad en Ghostfolio (CVE-2026-28785)
Severidad: CRÍTICA
Fecha de publicación: 06/03/2026
Fecha de última actualización: 10/03/2026
Ghostfolio es un software de gestión de patrimonio de código abierto. Antes de la versión 2.244.0, al eludir la validación de símbolos, un atacante puede ejecutar comandos SQL arbitrarios a través del método getHistorical(), lo que podría permitirle leer, modificar o eliminar datos financieros sensibles para todos los usuarios en la base de datos. Este problema ha sido parcheado en la versión 2.244.0.
Vulnerabilidad en OneUptime (CVE-2026-28787)
Severidad: ALTA
Fecha de publicación: 06/03/2026
Fecha de última actualización: 10/03/2026
OneUptime es una solución para monitorear y gestionar servicios en línea. En la versión 10.0.11 y anteriores, la implementación de autenticación WebAuthn no almacena el desafío en el lado del servidor. En su lugar, el desafío se devuelve al cliente y se acepta de nuevo desde el cuerpo de la solicitud del cliente durante la verificación. Esto viola la especificación WebAuthn (W3C Web Authentication Level 2, §13.4.3) y permite a un atacante que ha obtenido una aserción WebAuthn válida (por ejemplo, a través de XSS, MitM o exposición de registros) reproducirla indefinidamente, eludiendo completamente la autenticación de segundo factor. No hay parches conocidos disponibles.
Vulnerabilidad en oRPC de middleapi (CVE-2026-28794)
Severidad: CRÍTICA
Fecha de publicación: 06/03/2026
Fecha de última actualización: 10/03/2026
oRPC es una herramienta que ayuda a construir APIs que son de tipo seguro de extremo a extremo y se adhieren a los estándares OpenAPI. Antes de la versión 1.13.6, existe una vulnerabilidad de contaminación de prototipos en el deserializador JSON RPC del paquete @orpc/client. La vulnerabilidad permite a atacantes remotos no autenticados inyectar propiedades arbitrarias en el Object.prototype global. Debido a que esta contaminación persiste durante la vida útil del proceso Node.js y afecta a todos los objetos, puede conducir a graves brechas de seguridad, incluyendo omisión de autenticación, denegación de servicio y potencialmente ejecución remota de código. Este problema ha sido parcheado en la versión 1.13.6.
Vulnerabilidad en plane de makeplane (CVE-2026-30242)
Severidad: ALTA
Fecha de publicación: 06/03/2026
Fecha de última actualización: 10/03/2026
Plane es una herramienta de gestión de proyectos de código abierto. Antes de la versión 1.2.3, la validación de URL de webhook en plane/app/serializers/webhook.py solo verifica ip.is_loopback, permitiendo a atacantes con rol de ADMINISTRADOR de espacio de trabajo crear webhooks que apunten a direcciones de red privadas/internas (10.x.x.x, 172.16.x.x, 192.168.x.x, 169.254.169.254, etc.). Cuando se activan los eventos de webhook, el servidor realiza solicitudes a estas direcciones internas y almacena la respuesta — lo que permite SSRF con lectura completa de la respuesta. Este problema ha sido parcheado en la versión 1.2.3.
Vulnerabilidad en plane de makeplane (CVE-2026-30244)
Severidad: ALTA
Fecha de publicación: 06/03/2026
Fecha de última actualización: 10/03/2026
Plane es una herramienta de gestión de proyectos de código abierto. Antes de la versión 1.2.2, atacantes no autenticados pueden enumerar a los miembros del espacio de trabajo y extraer información sensible, incluyendo direcciones de correo electrónico, roles de usuario e identificadores internos. La vulnerabilidad se debe a que las clases de permisos de Django REST Framework estaban configuradas incorrectamente para permitir el acceso anónimo a puntos finales protegidos. Este problema ha sido parcheado en la versión 1.2.2.
Vulnerabilidad en homarr de homarr-labs (CVE-2026-27796)
Severidad: MEDIA
Fecha de publicación: 07/03/2026
Fecha de última actualización: 10/03/2026
Homarr es un panel de control de código abierto. Antes de la versión 1.54.0, el endpoint tRPC integration.all en Homarr está expuesto como un publicProcedure, permitiendo a usuarios no autenticados recuperar una lista completa de integraciones configuradas. Estos metadatos incluyen información sensible como URLs de servicios internos, nombres de integración y tipos de servicio. Este problema ha sido parcheado en la versión 1.54.0.
Vulnerabilidad en homarr de homarr-labs (CVE-2026-27797)
Severidad: MEDIA
Fecha de publicación: 07/03/2026
Fecha de última actualización: 10/03/2026
Homarr es un panel de control de código abierto. Antes de la versión 1.54.0, una vulnerabilidad de falsificación de petición del lado del servidor (SSRF) no autenticada permite a un atacante remoto forzar al servidor Homarr a realizar peticiones HTTP salientes arbitrarias. Esto puede ser utilizado como una primitiva de acceso a la red interna (por ejemplo, alcanzando rangos de loopback/privados) desde el contexto de red del host/contenedor de Homarr. Este problema ha sido parcheado en la versión 1.54.0.
Vulnerabilidad en Apache ZooKeeper (CVE-2026-24281)
Severidad: ALTA
Fecha de publicación: 07/03/2026
Fecha de última actualización: 10/03/2026
La verificación de nombre de host en Apache ZooKeeper ZKTrustManager recurre a DNS inverso (PTR) cuando falla la validación IP SAN, permitiendo a los atacantes que controlan o falsifican registros PTR suplantar servidores o clientes de ZooKeeper con un certificado válido para el nombre PTR. Es importante señalar que el atacante debe presentar un certificado que sea de confianza para ZKTrustManager, lo que hace que el vector de ataque sea más difícil de explotar. Se recomienda a los usuarios actualizar a la versión 3.8.6 o 3.9.5, que corrige este problema al introducir una nueva opción de configuración para deshabilitar la búsqueda de DNS inverso en los protocolos de cliente y quórum.
Vulnerabilidad en Apache ZooKeeper (CVE-2026-24308)
Severidad: ALTA
Fecha de publicación: 07/03/2026
Fecha de última actualización: 10/03/2026
El manejo inadecuado de los valores de configuración en ZKConfig en Apache ZooKeeper 3.8.5 y 3.9.4 en todas las plataformas permite a un atacante exponer información sensible almacenada en la configuración del cliente en el archivo de registro del cliente. Los valores de configuración se exponen en el registro de nivel INFO, lo que hace que los sistemas de producción potenciales se vean afectados por el problema. Se recomienda a los usuarios actualizar a la versión 3.8.6 o 3.9.5, que corrige este problema.
Vulnerabilidad en WL-NU516U1 de Wavlink (CVE-2026-3661)
Severidad: MEDIA
Fecha de publicación: 07/03/2026
Fecha de última actualización: 10/03/2026
Se ha encontrado una vulnerabilidad en Wavlink WL-NU516U1 240425. Esto afecta a la función ota_new_upgrade del archivo /cgi-bin/adm.cgi. Esta manipulación del argumento model causa inyección de comandos. Es posible iniciar el ataque de forma remota. El exploit ha sido publicado y puede ser utilizado. Se contactó con el fabricante con antelación sobre esta divulgación.
Vulnerabilidad en zitadel (CVE-2026-29067)
Severidad: ALTA
Fecha de publicación: 07/03/2026
Fecha de última actualización: 10/03/2026
ZITADEL es una plataforma de gestión de identidades de código abierto. Desde la versión 4.0.0-rc.1 hasta la 4.7.0, existe una potencial vulnerabilidad en el mecanismo de restablecimiento de contraseña de ZITADEL en el inicio de sesión V2. ZITADEL utiliza el encabezado Forwarded o X-Forwarded-Host de las solicitudes entrantes para construir la URL del enlace de confirmación de restablecimiento de contraseña. Este enlace, que contiene un código secreto, se envía luego por correo electrónico al usuario. Este problema ha sido parcheado en la versión 4.7.1.
Vulnerabilidad en zitadel (CVE-2026-29191)
Severidad: CRÍTICA
Fecha de publicación: 07/03/2026
Fecha de última actualización: 10/03/2026
ZITADEL es una plataforma de gestión de identidades de código abierto. Desde la versión 4.0.0 hasta la 4.11.1, fue descubierta una vulnerabilidad en la interfaz de inicio de sesión V2 de Zitadel que permitía una posible toma de control de cuenta mediante XSS en el endpoint /saml-post. Este problema ha sido parcheado en la versión 4.12.0.
Vulnerabilidad en zitadel (CVE-2026-29192)
Severidad: ALTA
Fecha de publicación: 07/03/2026
Fecha de última actualización: 10/03/2026
ZITADEL es una plataforma de gestión de identidades de código abierto. Desde la versión 4.0.0 hasta la 4.11.1, se descubrió una vulnerabilidad en la interfaz de inicio de sesión V2 de Zitadel que permitía una posible toma de control de cuenta a través de la redirección de URI predeterminada. Este problema ha sido parcheado en la versión 4.12.0.
Vulnerabilidad en zitadel (CVE-2026-29193)
Severidad: ALTA
Fecha de publicación: 07/03/2026
Fecha de última actualización: 10/03/2026
ZITADEL es una plataforma de gestión de identidades de código abierto. Desde la versión 4.0.0 hasta la 4.12.0, una vulnerabilidad en la interfaz de usuario (UI) de inicio de sesión V2 de Zitadel permitía a los usuarios eludir el comportamiento de inicio de sesión y las políticas de seguridad, y autorregistrarse para nuevas cuentas o iniciar sesión con contraseña incluso si las opciones correspondientes estaban deshabilitadas en su organización. Este problema ha sido parcheado en la versión 4.12.1.
Vulnerabilidad en parse-server de parse-community (CVE-2026-30848)
Severidad: MEDIA
Fecha de publicación: 07/03/2026
Fecha de última actualización: 10/03/2026
Parse Server es un backend de código abierto que puede ser desplegado en cualquier infraestructura que pueda ejecutar Node.js. Antes de las versiones 8.6.8 y 9.5.0-alpha.8, la ruta de servicio de archivos estáticos de PagesRouter es vulnerable a un ataque de salto de ruta que permite la lectura no autenticada de archivos fuera del directorio pagesPath configurado. La verificación de límites utiliza una comparación de prefijo de cadena sin aplicar un límite de separador de directorio. Un atacante puede usar secuencias de salto de ruta para acceder a archivos en directorios hermanos cuyos nombres comparten el mismo prefijo que el directorio pages (por ejemplo, pages-secret comienza con pages). Este problema ha sido parcheado en las versiones 8.6.8 y 9.5.0-alpha.8.
Vulnerabilidad en parse-server de parse-community (CVE-2026-30850)
Severidad: MEDIA
Fecha de publicación: 07/03/2026
Fecha de última actualización: 10/03/2026
Parse Server es un backend de código abierto que puede ser desplegado en cualquier infraestructura que pueda ejecutar Node.js. Antes de las versiones 8.6.9 y 9.5.0-alpha.9, el endpoint de metadatos de archivos (GET /files/:appId/metadata/:filename) no aplica los triggers de archivo beforeFind / afterFind. Cuando estos triggers se utilizan como puertas de control de acceso, el endpoint de metadatos los omite por completo, permitiendo el acceso no autorizado a los metadatos de los archivos. Este problema ha sido parcheado en las versiones 8.6.9 y 9.5.0-alpha.9.
Vulnerabilidad en parse-server de parse-community (CVE-2026-30854)
Severidad: MEDIA
Fecha de publicación: 07/03/2026
Fecha de última actualización: 10/03/2026
Parse Server es un backend de código abierto que puede ser desplegado en cualquier infraestructura que pueda ejecutar Node.js. Desde la versión 9.3.1-alpha.3 hasta antes de la versión 9.5.0-alpha.10, cuando graphQLPublicIntrospection está deshabilitado, las consultas __type anidadas dentro de fragmentos en línea (por ejemplo, ... on Query { __type(name:'User') { name } }) eluden el control de introspección, permitiendo a usuarios no autenticados realizar reconocimiento de tipos. La introspección de __schema no se ve afectada. Este problema ha sido parcheado en la versión 9.5.0-alpha.10.
Vulnerabilidad en parse-server de parse-community (CVE-2026-30863)
Severidad: CRÍTICA
Fecha de publicación: 07/03/2026
Fecha de última actualización: 10/03/2026
Parse Server es un backend de código abierto que puede ser desplegado en cualquier infraestructura que pueda ejecutar Node.js. Antes de las versiones 8.6.10 y 9.5.0-alpha.11, los adaptadores de autenticación de Google, Apple y Facebook utilizan la verificación JWT para validar tokens de identidad. Cuando la opción de configuración de audiencia del adaptador no está establecida (clientId para Google/Apple, appIds para Facebook), la verificación JWT omite silenciosamente la validación de la declaración de audiencia. Esto permite a un atacante utilizar un JWT válidamente firmado emitido para una aplicación diferente para autenticarse como cualquier usuario en el Parse Server objetivo. Este problema ha sido parcheado en las versiones 8.6.10 y 9.5.0-alpha.11.
Vulnerabilidad en N300RH de Totolink (CVE-2026-3696)
Severidad: MEDIA
Fecha de publicación: 08/03/2026
Fecha de última actualización: 10/03/2026
Una vulnerabilidad fue encontrada en Totolink N300RH 6..1c.1353_B20190305. El elemento afectado es la función setWiFiWpsConfig del archivo /cgi-bin/cstecgi.cgi del componente Gestor CGI. Realizar una manipulación resulta en inyección de comandos del sistema operativo. El ataque puede ser iniciado remotamente. El exploit ha sido hecho público y podría ser usado.
Vulnerabilidad en HiPER 810G de UTT (CVE-2026-3698)
Severidad: ALTA
Fecha de publicación: 08/03/2026
Fecha de última actualización: 10/03/2026
Una vulnerabilidad fue identificada en UTT HiPER 810G hasta 1.7.7-171114. Esto afecta la función strcpy del archivo /goform/NTP. La manipulación conduce a desbordamiento de búfer. El ataque puede ser iniciado remotamente. El exploit está disponible públicamente y podría ser usado.
Vulnerabilidad en HiPER 810G de UTT (CVE-2026-3699)
Severidad: ALTA
Fecha de publicación: 08/03/2026
Fecha de última actualización: 10/03/2026
Una falla de seguridad ha sido descubierta en UTT HiPER 810G hasta 1.7.7-171114. Esto afecta a la función strcpy del archivo /goform/formRemoteControl. La manipulación resulta en desbordamiento de búfer. El ataque puede lanzarse remotamente. El exploit ha sido publicado y puede utilizarse para ataques.
Vulnerabilidad en HiPER 810G de UTT (CVE-2026-3700)
Severidad: ALTA
Fecha de publicación: 08/03/2026
Fecha de última actualización: 10/03/2026
Se ha identificado una debilidad en UTT HiPER 810G hasta 1.7.7-171114. Afectada es la función strcpy del archivo /goform/formConfigDnsFilterGlobal. Esta manipulación causa desbordamiento de búfer. Es posible la explotación remota del ataque. El exploit ha sido puesto a disposición del público y podría ser usado para ataques.
Vulnerabilidad en NU516U1 de Wavlink (CVE-2026-3704)
Severidad: MEDIA
Fecha de publicación: 08/03/2026
Fecha de última actualización: 10/03/2026
Una vulnerabilidad ha sido encontrada en Wavlink NU516U1 251208. Esta vulnerabilidad afecta la función sub_405B2C del archivo /cgi-bin/firewall.cgi del componente Incomplete Fix CVE-2025-10959. La manipulación conduce a inyección de comandos. Es posible iniciar el ataque remotamente. El exploit ha sido divulgado al público y puede ser usado. Se recomienda actualizar el componente afectado. El proveedor fue contactado tempranamente, respondió de una manera muy profesional y rápidamente lanzó una versión corregida del producto afectado.
Vulnerabilidad en Crypt::Sodium::XS de IAMB (CVE-2026-30910)
Severidad: ALTA
Fecha de publicación: 08/03/2026
Fecha de última actualización: 10/03/2026
Las versiones de Crypt::Sodium::XS hasta la 0.001000 para Perl tienen posibles desbordamientos de enteros. El cifrado AEAD combinado, la creación de firmas combinada y las funciones bin2hex no verifican que el tamaño de salida sea menor que SIZE_MAX, lo que podría llevar a un 'integer wraparound' causando un búfer de salida de tamaño insuficiente. Esto puede causar un fallo en bin2hex y en algoritmos de cifrado distintos de aes256gcm. Para el cifrado aes256gcm y las firmas, un búfer de tamaño insuficiente podría llevar a un desbordamiento de búfer. Es poco probable encontrar este problema, ya que la longitud del mensaje tendría que ser muy grande. Para bin2hex, el tamaño de entrada tendría que ser > SIZE_MAX / 2 Para el cifrado aegis, el tamaño de entrada tendría que ser > SIZE_MAX - 32U Para otros cifrados, el tamaño de entrada tendría que ser > SIZE_MAX - 16U Para las firmas, el tamaño de entrada tendría que ser > SIZE_MAX - 64U
Vulnerabilidad en Magic B1 de H3C (CVE-2026-3701)
Severidad: ALTA
Fecha de publicación: 08/03/2026
Fecha de última actualización: 10/03/2026
Una vulnerabilidad de seguridad ha sido detectada en H3C Magic B1 hasta 100R004. Afectada por esta vulnerabilidad es la función Edit_BasicSSID_5G del archivo /goform/aspForm. Tal manipulación del argumento param conduce a desbordamiento de búfer. El ataque puede ser ejecutado remotamente. El exploit ha sido divulgado públicamente y puede ser usado. El proveedor fue contactado tempranamente sobre esta divulgación pero no respondió de ninguna manera.
Vulnerabilidad en NU516U1 de Wavlink (CVE-2026-3703)
Severidad: ALTA
Fecha de publicación: 08/03/2026
Fecha de última actualización: 10/03/2026
Se ha encontrado una vulnerabilidad en Wavlink NU516U1 251208. Esto afecta a la función sub_401A10 del archivo /cgi-bin/login.cgi. La ejecución de una manipulación del argumento ipaddr puede conducir a una escritura fuera de límites. El ataque puede realizarse de forma remota. El exploit ha sido publicado y puede ser utilizado. Se recomienda actualizar el componente afectado. Se contactó al proveedor con antelación, respondió de manera muy profesional y rápidamente lanzó una versión corregida del producto afectado.
Vulnerabilidad en WL-WN579X3-C de Wavlink (CVE-2026-3715)
Severidad: ALTA
Fecha de publicación: 08/03/2026
Fecha de última actualización: 10/03/2026
Se encontró una vulnerabilidad en Wavlink WL-WN579X3-C 231124. Esto afecta la función sub_40139C del archivo /cgi-bin/firewall.cgi. Realizar una manipulación del argumento del_flag resulta en un desbordamiento de búfer basado en pila. Es posible iniciar el ataque de forma remota. El exploit se ha hecho público y podría ser usado. Actualizar a la versión 20260226 puede mitigar este problema. Debería actualizar el componente afectado. Se contactó al proveedor con antelación, respondió de manera muy profesional y lanzó rápidamente una versión corregida del producto afectado.
Vulnerabilidad en WL-WN579X3-C de Wavlink (CVE-2026-3716)
Severidad: MEDIA
Fecha de publicación: 08/03/2026
Fecha de última actualización: 10/03/2026
Se determinó una vulnerabilidad en Wavlink WL-WN579X3-C 231124. Esta vulnerabilidad afecta la función sub_401AD4 del archivo /cgi-bin/adm.cgi. La ejecución de una manipulación del argumento Hostname puede llevar a cross site scripting. Es posible lanzar el ataque remotamente. El exploit ha sido divulgado públicamente y puede ser utilizado. Actualizar a la versión 20260226 puede resolver este problema. El componente afectado debe ser actualizado. El proveedor se contactó tempranamente, respondió de manera muy profesional y rápidamente lanzó una versión corregida del producto afectado.
Vulnerabilidad en CMS de YiFang (CVE-2026-3741)
Severidad: MEDIA
Fecha de publicación: 08/03/2026
Fecha de última actualización: 10/03/2026
Una vulnerabilidad de seguridad ha sido detectada en YiFang CMS 2.0.5. El elemento afectado es la función update del archivo app/db/admin/D_friendLink.PHP. Dicha manipulación del argumento linkName conduce a cross site scripting. El ataque puede ser realizado desde remoto. El exploit ha sido divulgado públicamente y puede ser usado. El proveedor fue contactado tempranamente sobre esta divulgación pero no respondió de ninguna manera.
Vulnerabilidad en CMS de YiFang (CVE-2026-3742)
Severidad: MEDIA
Fecha de publicación: 08/03/2026
Fecha de última actualización: 10/03/2026
Una vulnerabilidad fue detectada en YiFang CMS 2.0.5. El elemento impactado es la función update del archivo app/db/admin/D_singlePage.php. Realizar una manipulación del argumento Title resulta en cross site scripting. Es posible iniciar el ataque de forma remota. El exploit es ahora público y puede ser usado. El proveedor fue contactado tempranamente sobre esta divulgación pero no respondió de ninguna manera.
Vulnerabilidad en CMS de YiFang (CVE-2026-3743)
Severidad: MEDIA
Fecha de publicación: 08/03/2026
Fecha de última actualización: 10/03/2026
Se ha encontrado una vulnerabilidad en YiFang CMS 2.0.5. Esto afecta a la función update del archivo app/db/admin/D_singlePageGroup.php. La ejecución de una manipulación del argumento Name puede llevar a cross-site scripting. Es posible lanzar el ataque remotamente. El exploit ha sido publicado y puede ser utilizado. El proveedor fue contactado con antelación sobre esta divulgación, pero no respondió de ninguna manera.
Vulnerabilidad en Bytedesk (CVE-2026-3748)
Severidad: MEDIA
Fecha de publicación: 08/03/2026
Fecha de última actualización: 10/03/2026
Una falla de seguridad ha sido descubierta en Bytedesk hasta 1.3.9. Esto afecta la función uploadFile del archivo source-code/src/main/java/com/bytedesk/core/upload/UploadRestController.java del componente SVG File Gestor. Realizar una manipulación resulta en una carga irrestricta. La explotación remota del ataque es posible. El exploit ha sido publicado y puede ser usado para ataques. Actualizar a la versión 1.4.5.1 puede mitigar este problema. El parche se llama 975e39e4dd527596987559f56c5f9f973f64eff7. Se recomienda actualizar el componente afectado.
Vulnerabilidad en Bytedesk (CVE-2026-3749)
Severidad: MEDIA
Fecha de publicación: 08/03/2026
Fecha de última actualización: 10/03/2026
Se ha identificado una debilidad en Bytedesk hasta la versión 1.3.9. Esta vulnerabilidad afecta a la función handleFileUpload del archivo source-code/src/main/java/com/bytedesk/core/upload/UploadRestService.java del componente Gestor de Archivos SVG. La ejecución de una manipulación puede llevar a una subida sin restricciones. El ataque puede ejecutarse de forma remota. El exploit ha sido puesto a disposición del público y podría ser utilizado para ataques. Actualizar a la versión 1.4.5.1 es capaz de resolver este problema. Este parche se denomina 975e39e4dd527596987559f56c5f9f973f64eff7. Se recomienda actualizar el componente afectado.
Vulnerabilidad en ContiNew Admin (CVE-2026-3750)
Severidad: MEDIA
Fecha de publicación: 08/03/2026
Fecha de última actualización: 10/03/2026
Una vulnerabilidad de seguridad ha sido detectada en ContiNew Admin hasta la versión 4.2.0. Este problema afecta la función URI.create del archivo continew-system/src/main/java/top/continew/admin/system/factory/S3ClientFactory.java del componente Módulo de Gestión de Almacenamiento. La manipulación conduce a falsificación de petición del lado del servidor. El ataque es posible de ser llevado a cabo de forma remota. El exploit ha sido divulgado públicamente y puede ser utilizado. El proveedor fue contactado tempranamente sobre esta divulgación pero no respondió de ninguna manera.
Vulnerabilidad en itsourcecode (CVE-2026-3767)
Severidad: MEDIA
Fecha de publicación: 08/03/2026
Fecha de última actualización: 10/03/2026
Se ha identificado una debilidad en itsourcecode sanitize or validate this input 1.0. Afecta a una función desconocida del archivo /admin/teacher-attendance.php. La ejecución de una manipulación del argumento teacher_id puede conducir a inyección SQL. El ataque puede ser lanzado de forma remota. El exploit ha sido puesto a disposición del público y podría ser utilizado para ataques.
Vulnerabilidad en UltraVNC (CVE-2026-3787)
Severidad: ALTA
Fecha de publicación: 08/03/2026
Fecha de última actualización: 10/03/2026
Se ha identificado una debilidad en UltraVNC 1.6.4.0 en Windows. Esto afecta a una función desconocida en la biblioteca cryptbase.dll del componente Servicio de Windows. Esta manipulación causa una ruta de búsqueda incontrolada. El ataque requiere acceso local. Se necesita un alto grado de complejidad para el ataque. La explotabilidad se reporta como difícil. El proveedor fue contactado tempranamente sobre esta divulgación pero no respondió de ninguna manera.
Vulnerabilidad en Bytedesk (CVE-2026-3788)
Severidad: MEDIA
Fecha de publicación: 09/03/2026
Fecha de última actualización: 10/03/2026
Una vulnerabilidad de seguridad ha sido detectada en Bytedesk hasta la versión 1.3.9. Esto afecta a la función getModels del archivo source-code/src/main/java/com/bytedesk/ai/springai/providers/openrouter/SpringAIOpenrouterRestService.java del componente SpringAIOpenrouterRestController. Dicha manipulación del argumento apiUrl conduce a una falsificación de petición del lado del servidor. El ataque puede ser lanzado remotamente. El exploit ha sido divulgado públicamente y puede ser utilizado. La actualización a la versión 1.4.5.4 solucionará este problema. El nombre del parche es 975e39e4dd527596987559f56c5f9f973f64eff7. Se recomienda actualizar el componente afectado.
Vulnerabilidad en Bytedesk (CVE-2026-3789)
Severidad: MEDIA
Fecha de publicación: 09/03/2026
Fecha de última actualización: 10/03/2026
Una vulnerabilidad fue detectada en Bytedesk hasta 1.3.9. Afectada es la función getModels del archivo source-code/src/main/java/com/bytedesk/ai/springai/providers/gitee/SpringAIGiteeRestService.java del componente SpringAIGiteeRestController. Realizar una manipulación del argumento apiUrl resulta en falsificación de petición del lado del servidor. Explotación remota del ataque es posible. El exploit es ahora público y puede ser usado. Actualizar a la versión 1.4.5.4 puede solucionar este problema. El parche se llama 975e39e4dd527596987559f56c5f9f973f64eff7. Se aconseja actualizar el componente afectado.
Vulnerabilidad en DoraCMS de doramart (CVE-2026-3794)
Severidad: MEDIA
Fecha de publicación: 09/03/2026
Fecha de última actualización: 10/03/2026
Una vulnerabilidad fue identificada en doramart DoraCMS 3.0.x. Este problema afecta algún procesamiento desconocido del archivo /api/v1/mail/send del componente API de correo electrónico. Dicha manipulación lleva a autenticación impropia. Es posible lanzar el ataque remotamente. El exploit está disponible públicamente y podría ser usado. El proveedor fue contactado tempranamente sobre esta divulgación pero no respondió de ninguna manera.
Vulnerabilidad en DoraCMS de doramart (CVE-2026-3795)
Severidad: MEDIA
Fecha de publicación: 09/03/2026
Fecha de última actualización: 10/03/2026
Se ha descubierto una falla de seguridad en doramart DoraCMS 3.0.x. Afectada es la función createFileBypath del archivo /DoraCMS/servidor/app/router/API/v1.js. Realizar una manipulación resulta en salto de ruta. El ataque puede iniciarse de forma remota. El exploit ha sido publicado al público y puede ser utilizado para ataques. El proveedor fue contactado con antelación sobre esta divulgación, pero no respondió de ninguna manera.
Vulnerabilidad en COMMGR2 de DeltaWW (CVE-2026-3630)
Severidad: CRÍTICA
Fecha de publicación: 09/03/2026
Fecha de última actualización: 10/03/2026
Delta Electronics COMMGR2 tiene vulnerabilidad de desbordamiento de búfer basado en pila.
Vulnerabilidad en COMMGR2 de DeltaWW (CVE-2026-3631)
Severidad: ALTA
Fecha de publicación: 09/03/2026
Fecha de última actualización: 10/03/2026
Delta Electronics COMMGR2 tiene una vulnerabilidad de DoS por desbordamiento de lectura de búfer.
Vulnerabilidad en QAX Virus Removal de Qi-ANXIN (CVE-2026-3796)
Severidad: MEDIA
Fecha de publicación: 09/03/2026
Fecha de última actualización: 10/03/2026
Se ha identificado una debilidad en Qi-ANXIN QAX Virus Removal hasta el 22-10-2025. El elemento afectado es la función ZwTerminateProcess en la biblioteca QKSecureIO_Imp.sys del componente Mini Filter Driver. La ejecución de una manipulación puede llevar a controles de acceso impropios. El ataque está restringido a ejecución local. El exploit se ha puesto a disposición del público y podría ser utilizado para ataques. Se contactó al proveedor temprano sobre esta divulgación, pero no respondió de ninguna manera.
Vulnerabilidad en Tiandy (CVE-2026-3797)
Severidad: MEDIA
Fecha de publicación: 09/03/2026
Fecha de última actualización: 10/03/2026
Se ha detectado una vulnerabilidad de seguridad en el Sistema de Videovigilancia Tiandy ?????? 7.17.0. El elemento afectado es la función uploadFile del archivo /src/com/tiandy/easy7/core/rest/CLS_REST_File.java. La manipulación del argumento fileName conduce a una carga sin restricciones. El ataque puede ser iniciado de forma remota. El exploit ha sido divulgado públicamente y puede ser utilizado. Se contactó al proveedor con antelación sobre esta divulgación, pero no respondió de ninguna manera.
Vulnerabilidad en CF-AC100 de Comfast (CVE-2026-3798)
Severidad: MEDIA
Fecha de publicación: 09/03/2026
Fecha de última actualización: 10/03/2026
Una vulnerabilidad fue detectada en Comfast CF-AC100 2.6.0.8. Esto afecta la función sub_44AC14 del archivo /cgi-bin/mbox-config?method=SET&section=ping_config del componente Gestor de Ruta de Solicitud. La manipulación resulta en inyección de comandos. El ataque puede ser lanzado remotamente. El exploit ahora es público y puede ser usado. El proveedor fue contactado tempranamente sobre esta divulgación pero no respondió de ninguna manera.
Vulnerabilidad en Taipower APP de Taipower (CVE-2026-3822)
Severidad: ALTA
Fecha de publicación: 09/03/2026
Fecha de última actualización: 10/03/2026
La aplicación Taipower, desarrollada por Taipower, tiene una vulnerabilidad de Validación de Certificado Inadecuada. Al establecer una conexión HTTPS con el servidor, la aplicación no verifica el certificado TLS/SSL del lado del servidor. Este fallo permite a atacantes remotos no autenticados explotar la vulnerabilidad para realizar un ataque man-in-the-middle (MitM) para leer y manipular paquetes de red.
Vulnerabilidad en Qsee Client de Qsee (CVE-2026-30896)
Severidad: ALTA
Fecha de publicación: 09/03/2026
Fecha de última actualización: 10/03/2026
El instalador para las versiones 1.0.1 y anteriores de Qsee Cliente carga de forma insegura las Bibliotecas de Enlace Dinámico (DLLs). Cuando se le indica a un usuario que coloque alguna DLL maliciosa en el mismo directorio y ejecute el instalador afectado, entonces se puede ejecutar código arbitrario con el privilegio administrativo.
Vulnerabilidad en Atop Technologies (CVE-2026-3823)
Severidad: CRÍTICA
Fecha de publicación: 09/03/2026
Fecha de última actualización: 10/03/2026
El switch de la serie EHG2408 desarrollado por Atop Technologies tiene una vulnerabilidad de desbordamiento de búfer basado en pila, que permite a atacantes remotos no autenticados controlar el flujo de ejecución del programa y ejecutar código arbitrario.
Vulnerabilidad en Apache IoTDB (CVE-2026-24015)
Severidad: CRÍTICA
Fecha de publicación: 09/03/2026
Fecha de última actualización: 10/03/2026
Una vulnerabilidad en Apache IoTDB. Este problema afecta a Apache IoTDB: desde la 1.0.0 anterior a la 1.3.7, desde la 2.0.0 anterior a la 2.0.7. Se recomienda a los usuarios actualizar a la versión 1.3.7 o 2.0.7, que soluciona el problema.
Vulnerabilidad en Apache IoTDB (CVE-2026-24713)
Severidad: CRÍTICA
Fecha de publicación: 09/03/2026
Fecha de última actualización: 10/03/2026
Vulnerabilidad de validación de entrada indebida en Apache IoTDB. Este problema afecta a Apache IoTDB: desde 1.0.0 hasta antes de 1.3.7, desde 2.0.0 hasta antes de 2.0.7. Se recomienda a los usuarios actualizar a la versión 1.3.7 o 2.0.7, lo que corrige el problema.