Boletín de vulnerabilidades

Vulnerabilidades con productos recientemente documentados:

No hay vulnerabilidades nuevas para los productos a los que está suscrito.

Otras vulnerabilidades de los productos a los que usted está suscrito, y cuya información ha sido actualizada recientemente:

• Vulnerabilidad en Un desbordamiento de enteros en el servidor NATS (CVE-2019-13126)
  Severidad: ALTA
  Fecha de publicación: 29/07/2019
  Fecha de última actualización: 30/03/2026
  anterior a la versión.0.2 permite que un atacante remoto bloquee el servidor al enviar una solicitud especialmente diseñada. Si la autenticación está habilitada, el atacante remoto debe haberse autenticado primero.
  
• Vulnerabilidad en un servicio NATS en el paquete github.com/nats-io/nats-server/server (CVE-2020-28466)
  Severidad: ALTA
  Fecha de publicación: 07/03/2021
  Fecha de última actualización: 30/03/2026
  Esto afecta a todas las versiones del paquete github.com/nats-io/nats-server/server. Las cuentas que no son confiables pueden bloquear el servidor mediante configuraciones que representan ciclos de exportación/importación de un servicio. Reclamando de los mantenedores: una ejecución de un servicio NATS que está expuesto a usuarios que no son de confianza presenta un riesgo mayor. Cualquier fallo de ejecución remota o gravedad equivalente, o denegación de servicio por parte de usuarios no autenticados, conllevará a liberaciones rápidas por parte de los mantenedores de NATS. Es probable que las soluciones para problemas de denegación de servicio sin amenaza de ejecución remota, cuando se limitan a los titulares de cuentas, solo se comprometan con la rama de desarrollo principal sin una atención especial. Se anima a aquellos que ejecutan dichos servicios a que compilen regularmente desde git
  
• Vulnerabilidad en un elemento en un archivo ZIP para flujos JetStream en NATS nats-server (CVE-2022-26652)
  Severidad: MEDIA
  Fecha de publicación: 10/03/2022
  Fecha de última actualización: 30/03/2026
  NATS nats-server versiones anteriores a 2.7.4, permite un Salto de Directorio (con acceso de escritura) por medio de un elemento en un archivo ZIP para flujos JetStream. nats-streaming-server versiones anteriores a 0.24.3 también está afectado
  
• Vulnerabilidad en SourceCodester Online Food Ordering System 2.0 (CVE-2023-0258)
  Severidad: BAJA
  Fecha de publicación: 12/01/2023
  Fecha de última actualización: 30/03/2026
  Se encontró una vulnerabilidad en SourceCodester Online Food Ordering System 2.0. Ha sido calificada como problemática. Una función desconocida del componente Category List Handler es afectada por esta vulnerabilidad. La manipulación del argumento Reason con la entrada "> conduce a cross-site scripting. El ataque puede iniciarse de forma remota. VDB-218186 es el identificador asignado a esta vulnerabilidad.
  
• Vulnerabilidad en SourceCodester Online Food Ordering System 2.0 (CVE-2023-0257)
  Severidad: MEDIA
  Fecha de publicación: 12/01/2023
  Fecha de última actualización: 30/03/2026
  Se encontró una vulnerabilidad en SourceCodester Online Food Ordering System 2.0. Ha sido declarada crítica. Una función desconocida del archivo /fos/admin/index.php?page=menu del componente Menu Form es afectada por esta vulnerabilidad. La manipulación del argumento Imagen con la entrada conduce a una subida sin restricciones. El ataque se puede lanzar de forma remota. A esta vulnerabilidad se le asignó el identificador VDB-218185.
  
• Vulnerabilidad en SourceCodester Online Food Ordering System 2.0 (CVE-2023-0256)
  Severidad: MEDIA
  Fecha de publicación: 12/01/2023
  Fecha de última actualización: 30/03/2026
  Se encontró una vulnerabilidad en SourceCodester Online Food Ordering System 2.0. Ha sido clasificada como crítica. Una función desconocida del archivo /fos/admin/ajax.php?action=login del componente Login Page es afectada por esta vulnerabilidad. La manipulación del argumento Username conduce a la inyección SQL. Es posible lanzar el ataque de forma remota. El identificador de esta vulnerabilidad es VDB-218184.
  
• Vulnerabilidad en SourceCodester Online Food Ordering System 2.0 (CVE-2023-0332)
  Severidad: ALTA
  Fecha de publicación: 17/01/2023
  Fecha de última actualización: 30/03/2026
  Se encontró una vulnerabilidad en SourceCodester Online Food Ordering System 2.0. Ha sido clasificada como crítica. Una función desconocida del archivo admin/manage_user.php es afectada por esta vulnerabilidad. La manipulación del argumento id conduce a la inyección de SQL. Es posible lanzar el ataque de forma remota. El exploit ha sido divulgado al público y puede utilizarse. El identificador de esta vulnerabilidad es VDB-218472.
  
• Vulnerabilidad en Online-food-ordering-system 1.0 de Tourist5 (CVE-2020-29297)
  Severidad: CRÍTICA
  Fecha de publicación: 20/01/2023
  Fecha de última actualización: 30/03/2026
  Múltiples vulnerabilidades de inyección SQL en Online-food-ordering-system 1.0 de Tourist5.
  
• Vulnerabilidad en un archivo PHP en la función Select Image de Online Food Ordering System (CVE-2022-29651)
  Severidad: ALTA
  Fecha de publicación: 25/05/2022
  Fecha de última actualización: 30/03/2026
  Una vulnerabilidad de carga de archivos arbitraria en la función Select Image de Online Food Ordering System versión v1.0, permite a atacantes ejecutar código arbitrario por medio de un archivo PHP diseñado
  
• Vulnerabilidad en el parámetro Search en el archivo /online-food-order/food-search.php en Online Food Ordering System (CVE-2022-29650)
  Severidad: CRÍTICA
  Fecha de publicación: 25/05/2022
  Fecha de última actualización: 30/03/2026
  Se ha detectado que Online Food Ordering System versión v1.0, contiene una vulnerabilidad de inyección SQL por medio del parámetro Search en el archivo /online-food-order/food-search.php
  
• Vulnerabilidad en el Control de Acceso en NATS Server y la biblioteca JWT (CVE-2021-3127)
  Severidad: ALTA
  Fecha de publicación: 16/03/2021
  Fecha de última actualización: 30/03/2026
  NATS Server versiones 2.x anteriores a 2.2.0 y la biblioteca JWT versiones anteriores a 2.0.1, presentan un Control de Acceso Incorrecto porque unos enlaces de token de importación se manejan inapropiadamente
  
• Vulnerabilidad en el componente /dishes.php?res_id= en Online Food Ordering System (CVE-2022-36759)
  Severidad: CRÍTICA
  Fecha de publicación: 02/09/2022
  Fecha de última actualización: 30/03/2026
  Se ha detectado que Online Food Ordering System versión v1.0, contiene una vulnerabilidad de inyección SQL por medio del componente /dishes.php?res_id=
  
• Vulnerabilidad en WordPress (CVE-2022-3380)
  Severidad: ALTA
  Fecha de publicación: 31/10/2022
  Fecha de última actualización: 27/03/2026
  El complemento Customizer Export/Import de WordPress anterior a 0.9.5 deserializa el contenido de un archivo importado, lo que podría provocar problemas de inyección de objetos PHP cuando un administrador importa (intencionalmente o no) un archivo malicioso y hay una cadena de gadgets adecuada presente en el blog.
  
• Vulnerabilidad en la función "dynamically provisioned sandbox accounts" en NATS nats-server (CVE-2022-24450)
  Severidad: ALTA
  Fecha de publicación: 08/02/2022
  Fecha de última actualización: 30/03/2026
  NATS nats-server versiones anteriores a 2.7.2, presenta un Control de Acceso Incorrecto. Cualquier usuario autenticado puede obtener los privilegios de la cuenta System haciendo un uso inapropiado de la función "dynamically provisioned sandbox accounts"
  
• Vulnerabilidad en la creación de una entrada en el manejador SEH en FinalWire Ltd AIDA64 Engineer (CVE-2020-19513)
  Severidad: ALTA
  Fecha de publicación: 19/02/2021
  Fecha de última actualización: 30/03/2026
  Un desbordamiento del búfer en FinalWire Ltd AIDA64 Engineer versión 6.00.5100, permite a atacantes ejecutar código arbitrario mediante la creación de una entrada diseñada que sobrescribirá el manejador SEH
  
• Vulnerabilidad en un archivo PHP en Sourcecodester Online Food Ordering System (CVE-2021-41644)
  Severidad: CRÍTICA
  Fecha de publicación: 29/10/2021
  Fecha de última actualización: 30/03/2026
  Se presenta una vulnerabilidad de Ejecución de Código Remota (RCE) en Sourcecodester Online Food Ordering System versión 2.0, por medio de un archivo PHP diseñado maliciosamente que omite los filtros de carga de imágenes
  
• Vulnerabilidad en NATS.io (CVE-2023-46129)
  Severidad: ALTA
  Fecha de publicación: 31/10/2023
  Fecha de última actualización: 30/03/2026
  NATS.io es una tecnología de comunicación distribuida pub-sub de código abierto de alto rendimiento, creada para la nube, local, IoT y computación de borde. La librería de manejo de claves criptográficas, nkeys, recientemente obtuvo soporte para cifrado, no solo para firma/autenticación. Esto se utiliza en nats-server 2.10 (septiembre de 2023) y versiones posteriores para llamadas de autenticación. En las versiones 0.4.0 a 0.4.5 de nkeys, correspondientes a las versiones 2.10.0 a 2.10.3 del servidor NATS, la lógica de manejo de cifrado `xkeys` de la librería nkeys pasó por error una matriz por valor a una función interna, donde la función mutó ese búfer. para completar la clave de cifrado que se utilizará. Como resultado, todo el cifrado se realizó en realidad con una clave de todos ceros. Esto afecta únicamente al cifrado, no a la firma. SOLUCIÓN: COMPLETE EL IMPACTO EN LA SEGURIDAD DE LA LLAMADA DE AUTENCIÓN DEL SERVIDOR NATS. La librería nkeys Go 0.4.6, correspondiente a NATS Server 2.10.4, tiene un parche para este problema. No hay workarounds conocidos disponibles. Para cualquier aplicación que maneje llamadas de autenticación en Go, si usa la librería nkeys, actualice la dependencia, vuelva a compilarla e implementarla al mismo tiempo.
  
• Vulnerabilidad en CodeAstro Online Food Ordering System 1.0 (CVE-2024-0247)
  Severidad: ALTA
  Fecha de publicación: 05/01/2024
  Fecha de última actualización: 30/03/2026
  Una vulnerabilidad fue encontrada en CodeAstro Online Food Ordering System 1.0 y clasificada como crítica. Esta vulnerabilidad afecta a código desconocido del archivo /admin/ del componente Admin Panel. La manipulación del argumento Username conduce a la inyección SQL. El ataque se puede iniciar de forma remota. El exploit ha sido divulgado al público y puede utilizarse. VDB-249778 es el identificador asignado a esta vulnerabilidad.
  
• Vulnerabilidad en Contact Form With Captcha (CVE-2023-45771)
  Severidad: ALTA
  Fecha de publicación: 26/03/2024
  Fecha de última actualización: 27/03/2026
  La neutralización inadecuada de la entrada durante la vulnerabilidad de generación de páginas web ('Cross-site Scripting') en Contact Form With Captcha permite el XSS reflejado. Este problema afecta a Contact Form With Captcha: desde n/a hasta 1.6.8.
  
• Vulnerabilidad en kernel de Linux (CVE-2024-42302)
  Severidad: ALTA
  Fecha de publicación: 17/08/2024
  Fecha de última actualización: 27/03/2026
  En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: PCI/DPC: corrige el use-after-free en DPC simultáneos y la eliminación en caliente. Keith informa un use-after-free cuando ocurre un evento de DPC simultáneamente con la eliminación en caliente del mismo. parte de la jerarquía: dpc_handler() espera que el bus secundario esté listo debajo del puerto descendente donde ocurrió el evento DPC. Para hacerlo, sondea el espacio de configuración del primer dispositivo secundario en el bus secundario. Si ese dispositivo secundario se elimina simultáneamente, los accesos a su estructura pci_dev hacen que el kernel falle. Esto se debe a que pci_bridge_wait_for_secondary_bus() no mantiene una referencia en el dispositivo secundario. Antes de v6.3, la función solo se llamaba al reanudar desde la suspensión del sistema o al reanudar el tiempo de ejecución. Mantener una referencia no era necesario en aquel entonces porque el subproceso pciehp IRQ nunca podía ejecutarse al mismo tiempo. (Al reanudar desde la suspensión del sistema, las IRQ no se habilitan hasta después de la fase resume_noirq. Y la reanudación del tiempo de ejecución siempre se espera antes de que se elimine un dispositivo PCI). Sin embargo, a partir de v6.3, pci_bridge_wait_for_secondary_bus() también se llama en un evento DPC. El commit 53b54ad074de ("PCI/DPC: Esperar la preparación del bus secundario después del reinicio"), que introdujo eso, no pudo apreciar que pci_bridge_wait_for_secundary_bus() ahora necesita mantener una referencia en el dispositivo secundario porque dpc_handler() y pciehp pueden ejecutarse simultáneamente. El commit fue respaldada a núcleos estables v5.10+, por lo que ese es el más antiguo afectado. Agregue la adquisición de referencia que falta. Seguimiento de pila abreviado: ERROR: no se puede manejar el error de página para la dirección: 00000000091400c0 CPU: 15 PID: 2464 Comm: irq/53-pcie-dpc 6.9.0 RIP: pci_bus_read_config_dword+0x17/0x50 pci_dev_wait() pci_bridge_wait_for_secondary_bus() dpc_reset_link() _hacer_recuperación () dpc_handler()
  
• Vulnerabilidad en kernel de Linux (CVE-2024-42314)
  Severidad: ALTA
  Fecha de publicación: 17/08/2024
  Fecha de última actualización: 27/03/2026
  En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: btrfs: corrige el use after free el mapa de extensión al agregar páginas a una biografía comprimida En add_ra_bio_pages() estamos accediendo al mapa de extensión para calcular 'add_size' después de que eliminamos nuestra referencia en el mapa de extensión, lo que resulta en un use-after-free. Solucione este problema calculando 'add_size' antes de eliminar nuestra referencia del mapa de extensión.
  
• Vulnerabilidad en kernel de Linux (CVE-2024-43839)
  Severidad: ALTA
  Fecha de publicación: 17/08/2024
  Fecha de última actualización: 27/03/2026
  En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: bna: ajuste el tamaño del buf 'nombre' de las estructuras bna_tcb y bna_ccb para tener suficiente espacio para escribir todos los argumentos posibles de sprintf(). Actualmente el tamaño de 'nombre' es 16, pero es posible que el primer especificador '%s' ya necesite al menos 16 caracteres, ya que allí se usa 'bnad->netdev->name'. Para los especificadores '%d', supongamos que requieren: * 1 carácter para la suma 'tx_id + tx_info->tcb[i]->id', BNAD_MAX_TXQ_PER_TX es 8 * 2 caracteres para 'rx_id + rx_info->rx_ctrl[i]. ccb->id', BNAD_MAX_RXP_PER_RX es 16 y reemplace sprintf con snprintf. Detectado utilizando la herramienta de análisis estático - Svace.
  
• Vulnerabilidad en SourceCodester Online Food Ordering System 2.0 (CVE-2024-8604)
  Severidad: MEDIA
  Fecha de publicación: 09/09/2024
  Fecha de última actualización: 30/03/2026
  Se ha encontrado una vulnerabilidad clasificada como problemática en SourceCodester Online Food Ordering System 2.0. Afecta a una parte desconocida del archivo index.php del componente Create an Account Page. La manipulación del argumento Nombre/Apellido provoca cross site scripting. Es posible iniciar el ataque de forma remota.
  
• Vulnerabilidad en Everest (CVE-2020-37140)
  Severidad: MEDIA
  Fecha de publicación: 05/02/2026
  Fecha de última actualización: 27/03/2026
  Everest, posteriormente conocido como AIDA64, 5.50.2100 contiene una vulnerabilidad de denegación de servicio que permite a atacantes locales bloquear la aplicación manipulando la funcionalidad de apertura de archivos. Los atacantes pueden generar un búfer de 450 bytes de caracteres repetidos y pegarlo en el cuadro de diálogo de apertura de archivos para provocar un bloqueo de la aplicación.
  
• Vulnerabilidad en Apache Software Foundation (CVE-2026-25903)
  Severidad: ALTA
  Fecha de publicación: 17/02/2026
  Fecha de última actualización: 30/03/2026
  Apache NiFi 1.1.0 hasta 2.7.2 carecen de autorización al actualizar propiedades de configuración en componentes de extensión que tienen Permisos Requeridos específicos basados en la anotación Restricted. La anotación Restricted indica privilegios adicionales requeridos para añadir el componente anotado a la configuración del flujo, pero la autorización del framework no verificó el estado restringido al actualizar un componente añadido previamente. La autorización faltante requiere que un usuario más privilegiado añada un componente restringido a la configuración del flujo, pero permite a un usuario menos privilegiado realizar cambios en la configuración de propiedades. Las instalaciones de Apache NiFi que no implementan diferentes niveles de autorización para componentes Restricted no están sujetas a esta vulnerabilidad porque el framework impone permisos de escritura como el límite de seguridad. Actualizar a Apache NiFi 2.8.0 es la mitigación recomendada.
  
• Vulnerabilidad en Aida64 (CVE-2019-25360)
  Severidad: ALTA
  Fecha de publicación: 18/02/2026
  Fecha de última actualización: 27/03/2026
  Aida64 Engineer 6.10.5200 contiene una vulnerabilidad de desbordamiento de búfer en la configuración de registro CSV que permite a los atacantes ejecutar código malicioso mediante la creación de una carga útil especialmente diseñada. Los atacantes pueden explotar la vulnerabilidad creando un archivo de registro malformado con técnicas de sobrescritura de SEH (Structured Exception Handler) cuidadosamente construidas para lograr la ejecución remota de código.
  
• Vulnerabilidad en Statmatic (CVE-2026-27196)
  Severidad: ALTA
  Fecha de publicación: 21/02/2026
  Fecha de última actualización: 30/03/2026
  Statmatic es un sistema de gestión de contenido (CMS) impulsado por Laravel y Git. Las versiones 5.73.8 e inferiores, además de la 6.0.0-alpha.1 hasta la 6.3.1, tienen una vulnerabilidad de XSS Almacenado en los tipos de campo html que permite a usuarios autenticados con permisos de gestión de campos inyectar JavaScript malicioso que se ejecuta cuando es visto por usuarios con mayores privilegios. Este problema ha sido solucionado en 6.3.2 y 5.73.9.
  
• Vulnerabilidad en Junos OS Evolved (CVE-2026-21902)
  Severidad: CRÍTICA
  Fecha de publicación: 25/02/2026
  Fecha de última actualización: 30/03/2026
  Una vulnerabilidad de Asignación Incorrecta de Permisos para Recursos Críticos en el framework de detección de anomalías On-Box de Juniper Networks Junos OS Evolved en la serie PTX permite a un atacante no autenticado y basado en red ejecutar código como root. El framework de detección de anomalías On-Box solo debería ser accesible por otros procesos internos a través de la instancia de enrutamiento interna, pero no a través de un puerto expuesto externamente. Con la capacidad de acceder y manipular el servicio para ejecutar código como root, un atacante remoto puede tomar el control completo del dispositivo. Tenga en cuenta que este servicio está habilitado por defecto ya que no se requiere ninguna configuración específica. Este problema afecta a Junos OS Evolved en la serie PTX: * versiones 25.4 anteriores a 25.4R1-S1-EVO, 25.4R2-EVO. Este problema no afecta a las versiones de Junos OS Evolved anteriores a 25.4R1-EVO. Este problema no afecta a Junos OS.
  
• Vulnerabilidad en PowerShell Universal de Devolutions (CVE-2026-3277)
  Severidad: MEDIA
  Fecha de publicación: 27/02/2026
  Fecha de última actualización: 30/03/2026
  La configuración de autenticación de OpenID Connect (OIDC) en PowerShell Universal anterior a 2026.1.3 almacena el secreto de cliente de OIDC en texto claro en el script .universal/authentication.ps1, lo que permite a un atacante con acceso de lectura a ese archivo obtener las credenciales de cliente de OIDC.
  
• Vulnerabilidad en Devolutions Server (CVE-2026-3638)
  Severidad: MEDIA
  Fecha de publicación: 09/03/2026
  Fecha de última actualización: 30/03/2026
  Control de acceso inadecuado en los puntos finales de la API de restauración de usuarios y roles en Devolutions Server 2025.3.11.0 y versiones anteriores permite a un usuario autenticado con bajos privilegios restaurar usuarios y roles eliminados mediante solicitudes de API manipuladas.
  
• Vulnerabilidad en DeviceId (CVE-2025-48611)
  Severidad: CRÍTICA
  Fecha de publicación: 10/03/2026
  Fecha de última actualización: 30/03/2026
  En DeviceId de DeviceId.java, hay una posible desincronización en la persistencia debido a una comprobación de límites faltante. Esto podría llevar a una escalada local de privilegios sin necesidad de privilegios de ejecución adicionales. No se necesita interacción del usuario para la explotación.
  
• Vulnerabilidad en Backup and Replication de Veeam (CVE-2026-21668)
  Severidad: ALTA
  Fecha de publicación: 12/03/2026
  Fecha de última actualización: 31/03/2026
  Una vulnerabilidad que permite a un usuario de dominio autenticado eludir restricciones y manipular archivos arbitrarios en un Repositorio de Copias de Seguridad.
  
• Vulnerabilidad en Backup and Replication de Veeam (CVE-2026-21669)
  Severidad: CRÍTICA
  Fecha de publicación: 12/03/2026
  Fecha de última actualización: 31/03/2026
  Una vulnerabilidad que permite a un usuario de dominio autenticado realizar ejecución remota de código (RCE) en el servidor de copia de seguridad.
  
• Vulnerabilidad en Backup and Replication de Veeam (CVE-2026-21670)
  Severidad: ALTA
  Fecha de publicación: 12/03/2026
  Fecha de última actualización: 31/03/2026
  Una vulnerabilidad que permite a un usuario de bajo privilegio extraer credenciales SSH guardadas.
  
• Vulnerabilidad en Software Appliance de Veeam (CVE-2026-21671)
  Severidad: CRÍTICA
  Fecha de publicación: 12/03/2026
  Fecha de última actualización: 31/03/2026
  Una vulnerabilidad que permite a un usuario autenticado con el rol de Administrador de Copias de Seguridad realizar ejecución remota de código (RCE) en implementaciones de alta disponibilidad (HA) de Veeam Backup & Replication.
  
• Vulnerabilidad en Backup and Replication de Veeam (CVE-2026-21666)
  Severidad: CRÍTICA
  Fecha de publicación: 12/03/2026
  Fecha de última actualización: 31/03/2026
  Una vulnerabilidad que permite a un usuario de dominio autenticado realizar ejecución remota de código (RCE) en el servidor de copia de seguridad.
  
• Vulnerabilidad en Backup and Replication de Veeam (CVE-2026-21667)
  Severidad: CRÍTICA
  Fecha de publicación: 12/03/2026
  Fecha de última actualización: 31/03/2026
  Una vulnerabilidad que permite a un usuario de dominio autenticado realizar ejecución remota de código (RCE) en el servidor de copia de seguridad.
  
• Vulnerabilidad en Trane (CVE-2026-28252)
  Severidad: CRÍTICA
  Fecha de publicación: 12/03/2026
  Fecha de última actualización: 27/03/2026
  Una vulnerabilidad de uso de algoritmo criptográfico roto o arriesgado en Trane Tracer SC, Tracer SC+ y Tracer Concierge podría permitir a un atacante eludir la autenticación y obtener acceso a nivel de root al dispositivo.
  
• Vulnerabilidad en Trane (CVE-2026-28253)
  Severidad: ALTA
  Fecha de publicación: 12/03/2026
  Fecha de última actualización: 27/03/2026
  Una vulnerabilidad de Asignación de Memoria con Valor de Tamaño Excesivo en Trane Tracer SC, Tracer SC+ y Tracer Concierge podría permitir a un atacante no autenticado causar una condición de denegación de servicio.
  
• Vulnerabilidad en Trane (CVE-2026-28254)
  Severidad: MEDIA
  Fecha de publicación: 12/03/2026
  Fecha de última actualización: 27/03/2026
  Una vulnerabilidad de autorización faltante en Trane Tracer SC, Tracer SC+ y Tracer Concierge podría permitir a un atacante no autenticado acceder a información sensible a través de APIs no protegidas.
  
• Vulnerabilidad en Trane (CVE-2026-28255)
  Severidad: ALTA
  Fecha de publicación: 12/03/2026
  Fecha de última actualización: 27/03/2026
  Una vulnerabilidad de uso de credenciales codificadas de forma rígida en Trane Tracer SC, Tracer SC+ y Tracer Concierge podría permitir a un atacante divulgar información sensible y tomar el control de cuentas.
  
• Vulnerabilidad en Trane (CVE-2026-28256)
  Severidad: MEDIA
  Fecha de publicación: 12/03/2026
  Fecha de última actualización: 27/03/2026
  Una vulnerabilidad de Uso de constantes codificadas de forma rígida y relevantes para la seguridad en Trane Tracer SC, Tracer SC+ y Tracer Concierge podría permitir a un atacante divulgar información sensible y tomar el control de cuentas.
  
• Vulnerabilidad en Smart Switch de Samsung Mobile (CVE-2026-20995)
  Severidad: MEDIA
  Fecha de publicación: 16/03/2026
  Fecha de última actualización: 31/03/2026
  Exposición de funcionalidad sensible a un actor no autorizado en Smart Switch anterior a la versión 3.7.69.15 permite a atacantes remotos establecer una configuración específica.
  
• Vulnerabilidad en Smart Switch de Samsung Mobile (CVE-2026-20996)
  Severidad: ALTA
  Fecha de publicación: 16/03/2026
  Fecha de última actualización: 31/03/2026
  El uso de un algoritmo criptográfico roto o arriesgado en Smart Switch anterior a la versión 3.7.69.15 permite a atacantes remotos configurar un esquema degradado para autenticación.
  
• Vulnerabilidad en Smart Switch de Samsung Mobile (CVE-2026-20997)
  Severidad: MEDIA
  Fecha de publicación: 16/03/2026
  Fecha de última actualización: 31/03/2026
  Verificación incorrecta de firma criptográfica en Smart Switch anterior a la versión 3.7.69.15 permite a atacantes remotos eludir potencialmente la autenticación.
  
• Vulnerabilidad en Smart Switch de Samsung Mobile (CVE-2026-20998)
  Severidad: ALTA
  Fecha de publicación: 16/03/2026
  Fecha de última actualización: 31/03/2026
  Autenticación incorrecta en Smart Switch anterior a la versión 3.7.69.15 permite a atacantes remotos eludir la autenticación.
  
• Vulnerabilidad en Smart Switch de Samsung Mobile (CVE-2026-20999)
  Severidad: ALTA
  Fecha de publicación: 16/03/2026
  Fecha de última actualización: 31/03/2026
  Omisión de autenticación por repetición en Smart Switch anterior a la versión 3.7.69.15 permite a atacantes remotos activar funciones privilegiadas.
  
• Vulnerabilidad en Smart Switch de Samsung Mobile (CVE-2026-21004)
  Severidad: MEDIA
  Fecha de publicación: 16/03/2026
  Fecha de última actualización: 31/03/2026
  Autenticación impropia en Smart Switch anterior a la versión 3.7.69.15 permite a atacantes adyacentes desencadenar una denegación de servicio.
  
• Vulnerabilidad en Smart Switch de Samsung Mobile (CVE-2026-21005)
  Severidad: ALTA
  Fecha de publicación: 16/03/2026
  Fecha de última actualización: 31/03/2026
  Salto de ruta en Smart Switch anterior a la versión 3.7.69.15 permite a atacantes adyacentes sobrescribir archivos arbitrarios con privilegios de Smart Switch.
  
• Vulnerabilidad en AION de HCL (CVE-2025-52637)
  Severidad: MEDIA
  Fecha de publicación: 16/03/2026
  Fecha de última actualización: 27/03/2026
  HCL AION se ve afectado por una vulnerabilidad donde ciertas configuraciones de la oferta pueden permitir la ejecución de consultas SQL potencialmente dañinas. Una validación o restricciones inadecuadas en la ejecución de consultas podrían exponer el sistema a interacciones no deseadas con la base de datos o a una exposición limitada de información bajo condiciones específicas.
  
• Vulnerabilidad en AION de HCL (CVE-2025-52638)
  Severidad: MEDIA
  Fecha de publicación: 16/03/2026
  Fecha de última actualización: 27/03/2026
  HCL AION se ve afectado por una vulnerabilidad donde las imágenes base de los contenedores no se autentican correctamente. Esto puede exponer el sistema a riesgos de seguridad potenciales, como el uso de imágenes de contenedor no confiables, lo que podría llevar a un comportamiento no deseado o a un impacto en la seguridad.
  
• Vulnerabilidad en AION de HCL (CVE-2025-52648)
  Severidad: MEDIA
  Fecha de publicación: 16/03/2026
  Fecha de última actualización: 27/03/2026
  HCL AION está afectado por una vulnerabilidad donde las imágenes de oferta no están firmadas digitalmente. La falta de firma de imágenes puede permitir el uso de imágenes no verificadas o manipuladas, lo que podría llevar a riesgos de seguridad como el compromiso de la integridad o un comportamiento no deseado en el sistema.
  
• Vulnerabilidad en Hub Reporting Service de Devolutions (CVE-2026-4396)
  Severidad: ALTA
  Fecha de publicación: 18/03/2026
  Fecha de última actualización: 30/03/2026
  Validación de certificado incorrecta en Devolutions Hub Reporting Service 2025.3.1.1 y versiones anteriores permite a un atacante de red realizar un ataque man-in-the-middle a través de la verificación de certificado TLS deshabilitada.
  
• Vulnerabilidad en OPEXUS (CVE-2026-32865)
  Severidad: CRÍTICA
  Fecha de publicación: 19/03/2026
  Fecha de última actualización: 30/03/2026
  OPEXUS eComplaint y eCASE antes de la versión 10.1.0.0 incluyen el código de verificación secreto en la respuesta HTTP al solicitar un restablecimiento de contraseña a través de 'ForcePasswordReset.aspx'. Un atacante que conoce la dirección de correo electrónico de un usuario existente puede restablecer la contraseña y las preguntas de seguridad del usuario. Las preguntas de seguridad existentes no se solicitan durante el proceso.
  
• Vulnerabilidad en OPEXUS (CVE-2026-32866)
  Severidad: MEDIA
  Fecha de publicación: 19/03/2026
  Fecha de última actualización: 30/03/2026
  OPEXUS eComplaint y eCASE anteriores a 10.2.0.0 no sanean correctamente el contenido de los campos de nombre y apellido en un perfil de usuario. Un atacante autenticado puede inyectar partes de una carga útil XSS en sus campos de nombre y apellido. La carga útil se ejecuta cuando se renderiza el nombre completo del usuario. El atacante puede ejecutar scripts en el contexto de la sesión de una víctima.
  
• Vulnerabilidad en OPEXUS (CVE-2026-32867)
  Severidad: MEDIA
  Fecha de publicación: 19/03/2026
  Fecha de última actualización: 30/03/2026
  OPEXUS eComplaint antes de la versión 10.1.0.0 permite a un atacante no autenticado obtener o adivinar un número de caso existente y cargar archivos arbitrarios a través de 'Portal/EEOC/DocumentUploadPub.aspx'. Los usuarios verían estos archivos inesperados en los casos. Cargar un gran número de archivos podría consumir almacenamiento.
  
• Vulnerabilidad en OPEXUS (CVE-2026-32868)
  Severidad: MEDIA
  Fecha de publicación: 19/03/2026
  Fecha de última actualización: 30/03/2026
  OPEXUS eComplaint y eCASE anteriores a 10.2.0.0 no sanean correctamente el contenido de los campos de nombre y apellido en la pantalla 'Mi Información'. Un atacante autenticado puede inyectar partes de una carga útil de XSS en los campos de nombre y apellido. La carga útil se ejecuta cuando se renderiza el nombre completo. El atacante puede ejecutar scripts en el contexto de la sesión de una víctima.
  
• Vulnerabilidad en OPEXUS (CVE-2026-32869)
  Severidad: MEDIA
  Fecha de publicación: 19/03/2026
  Fecha de última actualización: 30/03/2026
  OPEXUS eComplaint y eCASE anteriores a 10.2.0.0 no sanean correctamente el contenido del campo 'Nombre de la Organización' al rellenar la información del caso. Un atacante autenticado puede inyectar una carga útil XSS que se ejecuta en el contexto de la sesión de una víctima cuando esta visita la página de información del caso.
  
• Vulnerabilidad en ormar de ormar-orm (CVE-2026-27953)
  Severidad: ALTA
  Fecha de publicación: 19/03/2026
  Fecha de última actualización: 27/03/2026
  ormar es un mini ORM asíncrono para Python. Las versiones 0.23.0 e inferiores son vulnerables a un bypass de validación de Pydantic a través del constructor del modelo, permitiendo a cualquier usuario no autenticado omitir toda la validación de campos inyectando '__pk_only__': true en un cuerpo de solicitud JSON. Al inyectar '__pk_only__': true en un cuerpo de solicitud JSON, un atacante no autenticado puede omitir toda la validación de campos y persistir datos no validados directamente en la base de datos. Una inyección de parámetro secundaria __excluded__ utiliza el mismo patrón para anular selectivamente campos de modelo arbitrarios (p. ej., correo electrónico o rol) durante la construcción. Esto afecta el patrón canónico de integración de FastAPI de ormar recomendado en su documentación oficial, permitiendo la escalada de privilegios, violaciones de integridad de datos y bypass de lógica de negocio en cualquier aplicación que utilice ormar.Model directamente como parámetro del cuerpo de la solicitud. Este problema ha sido solucionado en la versión 0.23.1.
  
• Vulnerabilidad en Kargo (CVE-2026-32828)
  Severidad: BAJA
  Fecha de publicación: 20/03/2026
  Fecha de última actualización: 30/03/2026
  Kargo gestiona y automatiza la promoción de artefactos de software. En las versiones 1.4.0 a 1.6.3, 1.7.0-rc.1 a 1.7.8, 1.8.0-rc.1 a 1.8.11, y 1.9.0-rc.1 a 1.9.4, los pasos de promoción http y http-download permiten la falsificación de petición del lado del servidor (SSRF) contra direcciones link-local, más críticamente el endpoint de metadatos de instancia en la nube (169.254.169.254), permitiendo la exfiltración de datos sensibles como credenciales IAM. Estos pasos proporcionan control total sobre los encabezados y métodos de las peticiones, haciendo ineficaces las mitigaciones de SSRF basadas en encabezados de los proveedores de la nube. Un atacante autenticado con permisos para crear/actualizar Stages o elaborar recursos de Promotion puede explotar esto enviando un manifiesto de Promotion malicioso, con datos de respuesta recuperables a través de campos de estado de Promotion, repositorios Git, o un segundo paso http. Este problema ha sido solucionado en las versiones 1.6.4, 1.7.9, 1.8.12 y 1.9.5.
  
• Vulnerabilidad en lz4_flex (CVE-2026-32829)
  Severidad: ALTA
  Fecha de publicación: 20/03/2026
  Fecha de última actualización: 30/03/2026
  lz4_flex es una implementación pura en Rust de compresión/descompresión LZ4. En las versiones 0.11.5 e inferiores, y 0.12.0, la descompresión de datos LZ4 no válidos puede filtrar información sensible de memoria no inicializada o de operaciones de descompresión anteriores. La biblioteca no valida correctamente los valores de desplazamiento durante las 'operaciones de copia de coincidencia' de LZ4, permitiendo lecturas fuera de límites del búfer de salida. Las funciones API basadas en bloques ('decompress_into', 'decompress_into_with_dict', y otras cuando 'safe-decode' está deshabilitado) se ven afectadas, mientras que todas las API de trama no se ven afectadas. El impacto es la exposición potencial de datos sensibles y secretos a través de entradas LZ4 manipuladas o malformadas. Este problema ha sido solucionado en las versiones 0.11.6 y 0.12.1.
  
• Vulnerabilidad en Heimdall (CVE-2026-32811)
  Severidad: ALTA
  Fecha de publicación: 20/03/2026
  Fecha de última actualización: 30/03/2026
  Heimdall es un Proxy Consciente de la Identidad y un servicio de decisión de control de acceso nativo de la nube. Al usar Heimdall en modo API de decisión gRPC de Envoy con las versiones 0.7.0-alpha hasta 0.17.10, una codificación incorrecta de la cadena de URL de consulta permite que se eludan reglas con expresiones de ruta sin comodines. Envoy divide la URL solicitada en partes y envía las partes individualmente a Heimdall. Aunque la consulta y la ruta están presentes en la API, el campo de consulta está documentado para estar siempre vacío y la consulta de la URL se incluye en el campo de ruta. La implementación utiliza la biblioteca url de Go para reconstruir la URL, lo que codifica automáticamente los caracteres especiales en la ruta. Como consecuencia, un parámetro como /mypath?foo=bar a Path se escapa a /mypath%3Ffoo=bar. Posteriormente, una regla que coincide con /mypath ya no coincide y es eludida. El problema solo puede conducir a un acceso no intencionado si Heimdall está configurado con una regla predeterminada de 'permitir todo'. Desde la v0.16.0, Heimdall aplica valores predeterminados seguros y se niega a iniciar con dicha configuración a menos que esta aplicación se deshabilite explícitamente, p. ej., a través de --insecure-skip-secure-default-rule-enforcement o la bandera más amplia --insecure. Este problema ha sido solucionado en la versión 0.17.11.
  
• Vulnerabilidad en tinytag (CVE-2026-32889)
  Severidad: MEDIA
  Fecha de publicación: 20/03/2026
  Fecha de última actualización: 30/03/2026
  tinytag es una biblioteca de Python para leer metadatos de archivos de audio. La versión 2.2.0 permite a un atacante que puede proporcionar archivos MP3 para su análisis activar un bucle no terminante mientras la biblioteca analiza un marco ID3v2 SYLT (letras sincronizadas). En implementaciones del lado del servidor que analizan automáticamente archivos proporcionados por el atacante, un único MP3 de 498 bytes puede hacer que la operación de análisis deje de progresar y permanezca ocupada hasta que el trabajador o proceso sea terminado. La causa raíz es que _parse_synced_lyrics asume que _find_string_end_pos siempre devuelve una posición mayor que el desplazamiento actual. Esa suposición es falsa cuando no hay un terminador de cadena presente en el contenido restante del marco. Este problema ha sido solucionado en la versión 2.2.1.
  
• Vulnerabilidad en Anchorr (CVE-2026-32890)
  Severidad: CRÍTICA
  Fecha de publicación: 20/03/2026
  Fecha de última actualización: 27/03/2026
  Anchorr es un bot de Discord para solicitar películas y programas de TV y recibir notificaciones cuando se añaden elementos a un servidor multimedia. En las versiones 1.4.1 e inferiores, una vulnerabilidad de cross-site scripting (XSS) almacenado en el menú desplegable de Mapeo de Usuarios del panel de control web permite a cualquier usuario de Discord sin privilegios en el gremio configurado ejecutar JavaScript arbitrario en el navegador del administrador de Anchorr. Al encadenar esto con el endpoint GET /API/config (que devuelve todos los secretos en texto plano), un atacante puede exfiltrar cada credencial almacenada en Anchorr, lo que incluye DISCORD_TOKEN, JELLYFIN_API_KEY, JELLYSEERR_API_KEY, JWT_SECRET, WEBHOOK_SECRET y hashes de contraseña bcrypt sin ninguna autenticación a Anchorr mismo. Este problema ha sido solucionado en la versión 1.4.2.
  
• Vulnerabilidad en Anchorr Privilege Escalation: Jellyseerr User ? Anchorr Admin via Stored XSS (CVE-2026-32891)
  Severidad: CRÍTICA
  Fecha de publicación: 20/03/2026
  Fecha de última actualización: 27/03/2026
  Anchorr es un bot de Discord para solicitar películas y programas de TV y recibir notificaciones cuando se añaden elementos a un servidor de medios. Las versiones 1.4.1 e inferiores contienen una vulnerabilidad XSS almacenada en el selector de usuario de Jellyseerr. Jellyseerr permite a cualquier titular de cuenta ejecutar JavaScript arbitrario en la sesión del navegador del administrador de Anchorr. El script inyectado llama al endpoint autenticado /api/config - que devuelve la configuración completa de la aplicación en texto plano. Esto permite al atacante forjar un token de sesión de Anchorr válido y obtener acceso de administrador completo al panel de control sin conocimiento de la contraseña de administrador. La misma respuesta también expone las claves API y los tokens para cada servicio integrado, lo que resulta en la toma de control simultánea de la cuenta del servidor de medios Jellyfin (a través de JELLYFIN_API_KEY), del gestor de solicitudes Jellyseerr (a través de JELLYSEERR_API_KEY), y del bot de Discord (a través de DISCORD_TOKEN). Este problema ha sido solucionado en la versión 1.4.2.
  
• Vulnerabilidad en free5GC (CVE-2026-32937)
  Severidad: ALTA
  Fecha de publicación: 20/03/2026
  Fecha de última actualización: 27/03/2026
  free5GC es una red central 5G de código abierto. free5GC CHF anterior a la versión 1.2.2 tiene una vulnerabilidad de acceso a una porción fuera de límites en el servicio CHF 'nchf-convergedcharging'. Una solicitud autenticada válida a PUT `/nchf-convergedcharging/v3/recharging/:ueId?ratingGroup=...` puede desencadenar un pánico del lado del servidor en 'github.com/free5gc/chf/internal/sbi.(*Server).RechargePut(...)' debido a un acceso a una porción fuera de rango. En el tiempo de ejecución reportado, la recuperación de Gin convierte el pánico en HTTP 500, pero la ruta de recarga permanece remotamente susceptible de desencadenar un pánico y puede ser abusada repetidamente para degradar la funcionalidad de recarga e inundar los registros. En implementaciones sin un manejo de recuperación equivalente, este pánico puede causar una interrupción del servicio más grave. free5GC CHF aplica un parche al problema. Algunas soluciones alternativas están disponibles: Restringir el acceso al punto final de recarga 'nchf-convergedcharging' solo a llamadores NF estrictamente confiables; aplicar limitación de velocidad o ACL de red delante de la interfaz SBI del CHF para reducir los intentos repetidos de desencadenar pánicos; si la API de recarga no es necesaria, deshabilitar o bloquear temporalmente la accesibilidad externa a esta ruta; y/o asegurar que la recuperación de pánicos, el monitoreo y las alertas estén habilitados.
  
• Vulnerabilidad en free5GC (CVE-2026-33062)
  Severidad: ALTA
  Fecha de publicación: 20/03/2026
  Fecha de última actualización: 27/03/2026
  free5GC es una red central 5G de código abierto. free5GC NRF anterior a la versión 1.4.2 tiene una vulnerabilidad de validación de entrada incorrecta que conduce a denegación de servicio. Todas las implementaciones de free5GC que utilizan el servicio de descubrimiento NRF están afectadas. La función 'EncodeGroupId' intenta acceder a los índices de la matriz [0], [1], [2] sin validar la longitud de los datos divididos. Cuando el parámetro contiene caracteres separadores insuficientes, el código entra en pánico con 'index out of range'. Un atacante remoto puede hacer que el servicio NRF entre en pánico y falle al enviar una solicitud HTTP GET manipulada con un parámetro 'group-id-list' malformado. Esto resulta en una denegación de servicio completa para el servicio de descubrimiento NRF. free5GC NRF versión 1.4.2 corrige el problema. No hay una solución alternativa directa a nivel de aplicación. La recomendación es aplicar el parche proporcionado o restringir el acceso a la API NRF solo a fuentes confiables.
  
• Vulnerabilidad en free5GC AUSF (CVE-2026-33063)
  Severidad: ALTA
  Fecha de publicación: 20/03/2026
  Fecha de última actualización: 27/03/2026
  free5GC es una red central 5G de código abierto. free5GC AUSF anterior a la versión 1.4.2 tiene una vulnerabilidad de verificación de nulos incorrecta que conduce a la denegación de servicio. Todas las implementaciones de free5GC v4.0.1 que utilizan el servicio de autenticación de UE de AUSF (el endpoint '/nausf-auth/v1/ue-authentications') están afectadas. Un atacante remoto puede causar que el servicio AUSF entre en pánico y falle al enviar una solicitud de autenticación de UE manipulada que activa una conversión de interfaz nula en la función 'GetSupiFromSuciSupiMap'. Esto resulta en una denegación de servicio completa para el servicio de autenticación de AUSF. La función 'GetSupiFromSuciSupiMap' intenta realizar una conversión de interfaz de 'interface{}' a '*context.SuciSupiMap' sin verificar si el valor subyacente es nulo. Cuando 'SuciSupiMap' es nulo, el código entra en pánico con 'interface conversion: interface {} is nil, not *context.SuciSupiMap'. free5GC AUSF versión 1.4.2 parchea el problema. No hay una solución alternativa directa a nivel de aplicación. La recomendación es aplicar el parche proporcionado o restringir el acceso a la API de AUSF solo a fuentes confiables.
  
• Vulnerabilidad en Improper certificate validation in the PAM propagation WinRM connections allows a network attacker to perform... (CVE-2026-4434)
  Severidad: ALTA
  Fecha de publicación: 20/03/2026
  Fecha de última actualización: 30/03/2026
  La validación de certificado incorrecta en las conexiones WinRM de propagación de PAM permite a un atacante de red realizar un ataque man-in-the-middle a través de la verificación de certificado TLS deshabilitada.
  
• Vulnerabilidad en Checkmate de bluewave-labs (CVE-2026-31836)
  Severidad: ALTA
  Fecha de publicación: 20/03/2026
  Fecha de última actualización: 30/03/2026
  Checkmate es una herramienta de código abierto y autoalojada diseñada para rastrear y monitorear el hardware del servidor, el tiempo de actividad, los tiempos de respuesta y los incidentes en tiempo real con hermosas visualizaciones. En versiones desde la 3.5.1 y anteriores, una vulnerabilidad de asignación masiva en el endpoint de actualización del perfil de usuario de Checkmate permite a cualquier usuario autenticado escalar sus privilegios a superadministrador, eludiendo todos los controles de acceso basados en roles. Un atacante puede modificar su rol de usuario para obtener acceso administrativo completo a la aplicación, incluyendo la capacidad de ver a todos los usuarios, modificar configuraciones críticas y acceder a datos sensibles del sistema. En el momento de la publicación, no hay parches disponibles públicamente.
  
• Vulnerabilidad en gmt de GenericMappingTools (CVE-2026-33147)
  Severidad: ALTA
  Fecha de publicación: 20/03/2026
  Fecha de última actualización: 27/03/2026
  GMT es una colección de código abierto de herramientas de línea de comandos para manipular conjuntos de datos geográficos y cartesianos. En versiones desde la 6.6.0 y anteriores, se identificó una vulnerabilidad de desbordamiento de búfer basado en pila en la función gmt_remote_dataset_id dentro de src/gmt_remote.c. Este problema ocurre cuando una cadena larga especialmente diseñada se pasa como un identificador de conjunto de datos (p. ej., a través del módulo which), lo que lleva a un fallo o a una potencial ejecución de código arbitrario. Este problema ha sido parcheado mediante el commit 0ad2b49.
  
• Vulnerabilidad en libfuse (CVE-2026-33179)
  Severidad: MEDIA
  Fecha de publicación: 20/03/2026
  Fecha de última actualización: 27/03/2026
  libfuse es la implementación de referencia de FUSE de Linux. Desde la versión 3.18.0 hasta antes de la versión 3.18.2, una desreferencia de puntero NULL y una fuga de memoria en fuse_uring_init_queue permiten a un usuario local bloquear el demonio FUSE o causar agotamiento de recursos. Cuando numa_alloc_local falla durante la configuración de la entrada de la cola io_uring, el código procede con punteros NULL. Cuando fuse_uring_register_queue falla, las asignaciones NUMA se filtran y la función devuelve éxito incorrectamente. Solo el transporte io_uring se ve afectado; la ruta tradicional /dev/fuse no se ve afectada. PoC confirmado con AddressSanitizer/LeakSanitizer. Este problema ha sido parcheado en la versión 3.18.2.
  
• Vulnerabilidad en ScreenToGif de NickeManarin (CVE-2026-33156)
  Severidad: ALTA
  Fecha de publicación: 20/03/2026
  Fecha de última actualización: 27/03/2026
  ScreenToGif es una herramienta de grabación de pantalla. En versiones desde la 2.42.1 y anteriores, ScreenToGif es vulnerable a la carga lateral de DLL a través de version.dll. Cuando el ejecutable portátil se ejecuta desde un directorio escribible por el usuario, carga version.dll desde el directorio de la aplicación en lugar del directorio System32 de Windows, permitiendo la ejecución de código arbitrario en el contexto del usuario. Esto es especialmente impactante porque ScreenToGif se distribuye principalmente como una aplicación portátil diseñada para ejecutarse desde ubicaciones escribibles por el usuario. En el momento de la publicación, no hay parches disponibles públicamente.
  
• Vulnerabilidad en json de ruby (CVE-2026-33210)
  Severidad: ALTA
  Fecha de publicación: 20/03/2026
  Fecha de última actualización: 27/03/2026
  Ruby JSON es una implementación de JSON para Ruby. Desde la versión 2.14.0 hasta antes de las versiones 2.15.2.1, 2.17.1.2 y 2.19.2, una vulnerabilidad de inyección de cadena de formato puede llevar a ataques de denegación de servicio o revelación de información, cuando la opción de análisis allow_duplicate_key: false se utiliza para analizar documentos proporcionados por el usuario. Este problema ha sido parcheado en las versiones 2.15.2.1, 2.17.1.2 y 2.19.2.
  
• Vulnerabilidad en MailEnable (CVE-2026-32850)
  Severidad: MEDIA
  Fecha de publicación: 23/03/2026
  Fecha de última actualización: 30/03/2026
  Versiones de MailEnable anteriores a la 10.55 contienen una vulnerabilidad de cross-site scripting reflejado en la interfaz de webmail que permite a atacantes remotos ejecutar JavaScript arbitrario en el navegador de una víctima al crear una URL maliciosa. Los atacantes pueden inyectar código malicioso a través del parámetro SelectedIndex en el formulario ManageShares.aspx, que no se sanea correctamente antes de ser incrustado en JavaScript generado dinámicamente.
  
• Vulnerabilidad en MailEnable (CVE-2026-32851)
  Severidad: MEDIA
  Fecha de publicación: 23/03/2026
  Fecha de última actualización: 30/03/2026
  Las versiones de MailEnable anteriores a la 10.55 contienen una vulnerabilidad de cross-site scripting reflejado en la interfaz de webmail que permite a atacantes remotos ejecutar JavaScript arbitrario en el navegador de una víctima al crear una URL maliciosa. Los atacantes pueden inyectar código malicioso a través del parámetro Attendees en el formulario FreeBusy.aspx, que no se sanea correctamente antes de ser incrustado en JavaScript generado dinámicamente.
  
• Vulnerabilidad en MailEnable (CVE-2026-32852)
  Severidad: MEDIA
  Fecha de publicación: 23/03/2026
  Fecha de última actualización: 30/03/2026
  MailEnable versiones anteriores a 10.55 contienen una vulnerabilidad de cross-site scripting reflejado en la interfaz de webmail que permite a atacantes remotos ejecutar JavaScript arbitrario en el navegador de una víctima mediante la creación de una URL maliciosa. Los atacantes pueden inyectar código malicioso a través del parámetro StartDate en el formulario FreeBusy.aspx, el cual no se sanea correctamente antes de ser incrustado en JavaScript generado dinámicamente.
  
• Vulnerabilidad en aquasecurity (CVE-2026-33634)
  Severidad: CRÍTICA
  Fecha de publicación: 23/03/2026
  Fecha de última actualización: 30/03/2026
  Trivy es un escáner de seguridad. El 19 de marzo de 2026, un actor de amenaza utilizó credenciales comprometidas para publicar una versión maliciosa de Trivy v0.69.4, forzar el envío de 76 de 77 etiquetas de versión en `aquasecurity/trivy-action` a malware de robo de credenciales, y reemplazar las 7 etiquetas en `aquasecurity/setup-trivy` con commits maliciosos. Este incidente es una continuación del ataque a la cadena de suministro que comenzó a finales de febrero de 2026. Tras la divulgación inicial el 1 de marzo, se realizó la rotación de credenciales pero no fue atómica (no todas las credenciales fueron revocadas simultáneamente). El atacante podría haber utilizado un token válido para exfiltrar secretos recién rotados durante la ventana de rotación (que duró unos pocos días). Esto podría haber permitido al atacante retener el acceso y ejecutar el ataque del 19 de marzo. Los componentes afectados incluyen la imagen Go / contenedor `aquasecurity/trivy` versión 0.69.4, las versiones 0.0.1 – 0.34.2 (76/77) de la GitHub Action `aquasecurity/trivy-action`, y las versiones 0.2.0 – 0.2.6 de la GitHub Action `aquasecurity/setup-trivy`, antes de la recreación de la 0.2.6 con un commit seguro. Las versiones seguras conocidas incluyen las versiones 0.69.2 y 0.69.3 del binario de Trivy, la versión 0.35.0 de trivy-action, y la versión 0.2.6 de setup-trivy. Además, tome otras mitigaciones para asegurar la seguridad de los secretos. Si existe alguna posibilidad de que una versión comprometida se haya ejecutado en el entorno de uno, todos los secretos accesibles a las pipelines afectadas deben ser tratados como expuestos y rotados inmediatamente. Verifique si la organización de uno extrajo o ejecutó Trivy v0.69.4 de cualquier fuente. Elimine cualquier artefacto afectado inmediatamente. Revise todos los flujos de trabajo que utilizan `aquasecurity/trivy-action` o `aquasecurity/setup-trivy`. Aquellos que referenciaron una etiqueta de versión en lugar de un SHA de commit completo deben revisar los registros de ejecución del flujo de trabajo del 19 al 20 de marzo de 2026 en busca de signos de compromiso. Busque repositorios llamados `tpcp-docs` en la organización de GitHub de uno. La presencia de dicho repositorio puede indicar que el mecanismo de exfiltración de respaldo se activó y los secretos fueron robados con éxito. Fije las GitHub Actions a hashes SHA de commit completos e inmutables, no use etiquetas de versión mutables.
  
• Vulnerabilidad en bcrypt-ruby (CVE-2026-33306)
  Severidad: MEDIA
  Fecha de publicación: 24/03/2026
  Fecha de última actualización: 30/03/2026
  bcrypt-ruby es un enlace Ruby para el algoritmo de hash de contraseñas bcrypt() de OpenBSD. Antes de la versión 3.1.22, un desbordamiento de entero en la implementación Java de BCrypt para JRuby puede causar cero iteraciones en el bucle de fortalecimiento. Las aplicaciones afectadas deben estar configurando el costo en 31 para que esto ocurra. La implementación de JRuby de bcrypt-ruby ('BCrypt.java') calcula el recuento de rondas de fortalecimiento de clave como un entero con signo de 32 bits. Cuando 'cost=31' (el máximo permitido por la gema), el desbordamiento de entero con signo hace que el recuento de rondas se vuelva negativo, y el bucle de fortalecimiento ejecuta cero iteraciones. Esto colapsa bcrypt de 2^31 rondas de fortalecimiento exponencial de clave a una computación en tiempo efectivamente constante — solo quedan la configuración inicial de clave EksBlowfish y la fase final de cifrado 64x. El hash resultante parece válido ('$2a$31$...') y se verifica correctamente a través de 'checkpw', haciendo que la debilidad sea invisible para la aplicación. Este problema se activa solo cuando se usa cost=31 o al verificar un hash '$2a$31$'. Este problema ha sido solucionado en la versión 3.1.22. Como solución alternativa, configure el costo en algo menor que 31.
  
• Vulnerabilidad en Apache Software Foundation (CVE-2026-32642)
  Severidad: BAJA
  Fecha de publicación: 24/03/2026
  Fecha de última actualización: 30/03/2026
  Vulnerabilidad de Autorización Incorrecta (CWE-863) en Apache Artemis, Apache ActiveMQ Artemis existe cuando una aplicación que utiliza el protocolo OpenWire intenta crear una suscripción a un tema JMS no duradera en una dirección que no existe con un usuario autenticado que tiene el permiso 'createDurableQueue' pero no tiene el permiso 'createAddress' y la creación automática de direcciones está deshabilitada. En esta circunstancia, se creará una dirección temporal mientras que el intento de crear la suscripción no duradera debería fallar en su lugar ya que el usuario no está autorizado a crear la dirección correspondiente. Cuando la conexión OpenWire se cierra, la dirección se elimina. Este problema afecta a Apache Artemis: desde 2.50.0 hasta 2.52.0; Apache ActiveMQ Artemis: desde 2.0.0 hasta 2.44.0. Se recomienda a los usuarios actualizar a la versión 2.53.0, que corrige el problema.
  
• Vulnerabilidad en AIDA64 Extreme (CVE-2019-25629)
  Severidad: ALTA
  Fecha de publicación: 24/03/2026
  Fecha de última actualización: 27/03/2026
  AIDA64 Extreme 5.99.4900 contiene una vulnerabilidad de desbordamiento de búfer en el gestor de excepciones estructuradas en la funcionalidad de registro que permite a atacantes locales ejecutar código arbitrario al proporcionar una ruta de archivo de registro CSV maliciosa. Los atacantes pueden inyectar shellcode a través de las preferencias de registro de Monitorización de Hardware para desbordar el búfer y desencadenar la ejecución de código cuando la aplicación procesa la ruta del archivo de registro.
  
• Vulnerabilidad en AIDA64 Business (CVE-2019-25631)
  Severidad: ALTA
  Fecha de publicación: 24/03/2026
  Fecha de última actualización: 27/03/2026
  AIDA64 Business 5.99.4900 contiene una vulnerabilidad de desbordamiento de búfer de manejo de excepciones estructurado que permite a atacantes locales ejecutar código arbitrario sobrescribiendo punteros SEH con shellcode malicioso. Los atacantes pueden inyectar shellcode egg hunter a través del campo de nombre para mostrar de SMTP en las preferencias o la funcionalidad del asistente de informes para activar el desbordamiento y ejecutar código con privilegios de aplicación.
  
• Vulnerabilidad en NGINX Open Source y NGINX de F5 (CVE-2026-27651)
  Severidad: ALTA
  Fecha de publicación: 24/03/2026
  Fecha de última actualización: 30/03/2026
  Cuando el módulo ngx_mail_auth_http_module está habilitado en NGINX Plus o NGINX Open Source, las solicitudes no reveladas pueden causar la terminación de los procesos de trabajador. Este problema puede ocurrir cuando (1) la autenticación CRAM-MD5 o APOP está habilitada, y (2) el servidor de autenticación permite reintentar al devolver el encabezado de respuesta Auth-Wait. Nota: Las versiones de software que han alcanzado el Fin del Soporte Técnico (EoTS) no son evaluadas.
  
• Vulnerabilidad en NGINX Open Source de F5 (CVE-2026-27784)
  Severidad: ALTA
  Fecha de publicación: 24/03/2026
  Fecha de última actualización: 30/03/2026
  La implementación de 32 bits de NGINX Open Source tiene una vulnerabilidad en el módulo ngx_http_mp4_module, lo que podría permitir a un atacante leer en exceso o sobrescribir la memoria del proceso worker de NGINX, lo que resultaría en su terminación, utilizando un archivo MP4 especialmente diseñado. El problema solo afecta a NGINX Open Source de 32 bits si está compilado con el módulo ngx_http_mp4_module y la directiva mp4 se utiliza en el archivo de configuración. Además, el ataque es posible solo si un atacante puede desencadenar el procesamiento de un archivo MP4 especialmente diseñado con el módulo ngx_http_mp4_module. Nota: Las versiones de software que han alcanzado el Fin de Soporte Técnico (EoTS) no se evalúan.
  
• Vulnerabilidad en vikunja de go-vikunja (CVE-2026-33334)
  Severidad: MEDIA
  Fecha de publicación: 24/03/2026
  Fecha de última actualización: 27/03/2026
  Vikunja es una plataforma de gestión de tareas de código abierto autoalojada. A partir de la versión 0.21.0 y antes de la versión 2.2.0, el wrapper de Electron de Vikunja Desktop habilita 'nodeIntegration' en el proceso de renderizado sin 'contextIsolation' ni sandbox. Esto significa que cualquier vulnerabilidad de cross-site scripting (XSS) en el frontend web de Vikunja -- presente o futura -- escala automáticamente a ejecución remota de código completa en la máquina de la víctima, ya que los scripts inyectados obtienen acceso a las API de Node.js. La versión 2.2.0 corrige el problema.
  
• Vulnerabilidad en vikunja de go-vikunja (CVE-2026-33335)
  Severidad: MEDIA
  Fecha de publicación: 24/03/2026
  Fecha de última actualización: 27/03/2026
  Vikunja es una plataforma de gestión de tareas de código abierto y autoalojada. A partir de la versión 0.21.0 y antes de la versión 2.2.0, el *wrapper* de Electron de Vikunja Desktop pasa las URL de las llamadas a `window.open()` directamente a `shell.openExternal()` sin ninguna validación o lista blanca de *protocolos*. Un *atacante* que puede colocar un enlace con `target="_blank"` (o que de otro modo active `window.open`) en contenido generado por el usuario puede hacer que el *sistema operativo* de la víctima abra esquemas URI arbitrarios, invocando aplicaciones locales, abriendo archivos locales o activando manejadores de *protocolos* personalizados. La versión 2.2.0 corrige el problema.
  
• Vulnerabilidad en Vikunja (CVE-2026-33336)
  Severidad: MEDIA
  Fecha de publicación: 24/03/2026
  Fecha de última actualización: 27/03/2026
  Vikunja es una plataforma de gestión de tareas de código abierto y autoalojada. Desde la versión 0.21.0 hasta la versión 2.2.0, el envoltorio Electron de Vikunja Desktop habilita `nodeIntegration` en la ventana principal del navegador (BrowserWindow) y no restringe las navegaciones dentro de la misma ventana. Un atacante que pueda colocar un enlace en contenido generado por el usuario (descripciones de tareas, comentarios, descripciones de proyectos) puede hacer que BrowserWindow navegue a un origen controlado por el atacante, donde JavaScript se ejecuta con acceso completo a Node.js, lo que da lugar a la ejecución de código arbitrario en el equipo de la víctima. La versión 2.2.0 corrige el problema. ## Causa raíz Dos errores de configuración se combinan para crear esta vulnerabilidad: 1. **`nodeIntegration: true`** está establecido en las preferencias web de `BrowserWindow` (`desktop/main.js:14-16`), lo que otorga a cualquier página cargada en el renderizador acceso completo a las API de Node.js (`require`, `child_process`, `fs`, etc.). 2. **No hay ningún controlador `will-navigate` o `will-redirect`** registrado en `webContents`. El `setWindowOpenHandler` existente (`desktop/main.js:19-23`) solo intercepta las llamadas a `window.open()` (solicitudes de nuevas ventanas). **No** intercepta las navegaciones dentro de la misma ventana provocadas por: - Enlaces `` (sin `target=«_blank»`) - Asignaciones de `window.location` - Redireccionamientos HTTP - Etiquetas `` ## Escenario de ataque 1. El atacante es un usuario normal en la misma instancia de Vikunja (por ejemplo, un miembro de un proyecto compartido). 2. El atacante crea o edita la descripción de un proyecto o de una tarea que contiene un enlace HTML estándar, por ejemplo: `Haga clic aquí para ver las especificaciones de diseño actualizadas` 3. La interfaz de Vikunja muestra este enlace. El proceso de sanitización de DOMPurify lo permite correctamente, ya que se trata de una etiqueta de anclaje legítima y no de una inyección de código. Ejemplo de ruta de renderizado: `frontend/src/views/project/ProjectInfo.vue` utiliza `v-html` con salida sanitizada por DOMPurify. 4. La víctima utiliza Vikunja Desktop y hace clic en el enlace. 5. Como no existe ningún controlador `will-navigate`, BrowserWindow navega a `https://evil.example/exploit` en el mismo proceso de renderizado. 6. La página del atacante se ejecuta ahora en un contexto con `nodeIntegration: true` y ejecuta: `require(“child_process”).exec(“id > /tmp/pwned”);` 7. Se ejecutan comandos arbitrarios como usuario del sistema operativo de la víctima. ## Impacto Ejecución remota completa de código en el escritorio de la víctima. El atacante puede leer/escribir archivos arbitrarios, ejecutar comandos arbitrarios, instalar malware o puertas traseras, y sustraer credenciales y datos confidenciales. No se requiere ninguna vulnerabilidad XSS: basta con un hipervínculo normal aprobado por el sanitizador. ## Prueba de concepto 1. Configura una instancia de Vikunja con dos usuarios que compartan un proyecto. 2. Como usuario atacante, edita la descripción del proyecto para incluir: `Notas de la reunión` 3. Aloja el archivo poc.html con: `` 4. Como víctima, abre el proyecto en Vikunja Desktop y haz clic en el enlace. 5. Se ejecuta calc.exe (o cualquier otro comando) en el equipo de la víctima. ## Créditos Esta vulnerabilidad se detectó utilizando [GitHub Security Lab Taskflows](https://github.com/GitHubSecurityLab/seclab-taskflows).
  
• Vulnerabilidad en vikunja de go-vikunja (CVE-2026-33473)
  Severidad: MEDIA
  Fecha de publicación: 24/03/2026
  Fecha de última actualización: 27/03/2026
  Vikunja es una plataforma de gestión de tareas de código abierto autoalojada. A partir de la versión 0.13 y antes de la versión 2.2.1, cualquier usuario que haya habilitado 2FA puede ver su TOTP reutilizado durante la ventana de validez estándar de 30 segundos. La versión 2.2.1 corrige el problema.
  
• Vulnerabilidad en vikunja de go-vikunja (CVE-2026-33474)
  Severidad: MEDIA
  Fecha de publicación: 24/03/2026
  Fecha de última actualización: 27/03/2026
  Vikunja es una plataforma de gestión de tareas de código abierto autoalojada. A partir de la versión 1.0.0-rc0 y anterior a la versión 2.2.0, la decodificación y el redimensionamiento ilimitados de imágenes durante la generación de previsualizaciones permiten a un atacante agotar la CPU y la memoria con imágenes altamente comprimidas pero de dimensiones extremadamente grandes. La versión 2.2.0 corrige el problema.
  
• Vulnerabilidad en vikunja de go-vikunja (CVE-2026-33668)
  Severidad: ALTA
  Fecha de publicación: 24/03/2026
  Fecha de última actualización: 27/03/2026
  Vikunja es una plataforma de gestión de tareas de código abierto autoalojada. A partir de la versión 0.18.0 y antes de la versión 2.2.1, cuando una cuenta de usuario está deshabilitada o bloqueada, la verificación de estado solo se aplica en el inicio de sesión local y en las rutas de actualización de tokens JWT. Otras tres rutas de autenticación — tokens de API, autenticación básica de CalDAV y OpenID Connect — no verifican el estado del usuario, permitiendo que los usuarios deshabilitados o bloqueados continúen accediendo a la API y sincronizando datos. La versión 2.2.1 corrige el problema.
  
• Vulnerabilidad en vikunja de go-vikunja (CVE-2026-33675)
  Severidad: MEDIA
  Fecha de publicación: 24/03/2026
  Fecha de última actualización: 27/03/2026
  Vikunja es una plataforma de gestión de tareas de código abierto autoalojada. Antes de la versión 2.2.1, las funciones auxiliares de migración 'DownloadFile' y 'DownloadFileWithHeaders' en 'pkg/modules/migration/helpers.go' realizan solicitudes HTTP GET arbitrarias sin ninguna protección SSRF. Cuando un usuario activa una migración de Todoist o Trello, las URL de archivos adjuntos de la respuesta de la API de terceros se pasan directamente a estas funciones, permitiendo a un atacante forzar al servidor de Vikunja a obtener recursos de red internos y devolver la respuesta como un archivo adjunto de tarea descargable. La versión 2.2.1 corrige el problema.
  
• Vulnerabilidad en vikunja de go-vikunja (CVE-2026-33676)
  Severidad: MEDIA
  Fecha de publicación: 24/03/2026
  Fecha de última actualización: 27/03/2026
  Vikunja es una plataforma de gestión de tareas de código abierto y autoalojada. Antes de la versión 2.2.1, cuando la API de Vikunja devuelve tareas, rellena el campo 'related_tasks' con objetos de tarea completos para todas las tareas relacionadas sin verificar si el usuario solicitante tiene permiso de lectura sobre los proyectos de esas tareas. Un usuario autenticado que puede leer una tarea que tiene relaciones entre proyectos recibirá detalles completos (título, descripción, fechas de vencimiento, prioridad, porcentaje de finalización, ID de proyecto, etc.) de tareas en proyectos a los que no tiene acceso. La versión 2.2.1 corrige el problema.
  
• Vulnerabilidad en vikunja de go-vikunja (CVE-2026-33677)
  Severidad: MEDIA
  Fecha de publicación: 24/03/2026
  Fecha de última actualización: 27/03/2026
  Vikunja es una plataforma de gestión de tareas de código abierto autoalojada. Antes de la versión 2.2.1, el endpoint 'GET /API/v1/projects/:project/webhooks' devuelve las credenciales BasicAuth del webhook ('basic_auth_user' y 'basic_auth_password') en texto plano a cualquier usuario con acceso de lectura al proyecto. Si bien el código existente enmascara correctamente el campo 'secret' de HMAC, los campos BasicAuth añadidos en una migración posterior no recibieron el mismo tratamiento. Esto permite a los colaboradores de solo lectura robar credenciales destinadas a la autenticación contra receptores de webhook externos. La versión 2.2.1 corrige el problema.
  
• Vulnerabilidad en vikunja de go-vikunja (CVE-2026-33678)
  Severidad: ALTA
  Fecha de publicación: 24/03/2026
  Fecha de última actualización: 30/03/2026
  Vikunja es una plataforma de gestión de tareas de código abierto y autoalojada. Antes de la versión 2.2.1, 'TaskAttachment.ReadOne()' consulta los adjuntos solo por ID ('WHERE id = ?'), ignorando el ID de la tarea de la ruta URL. La verificación de permisos en 'CanRead()' valida el acceso a la tarea especificada en la URL, pero 'ReadOne()' carga un adjunto diferente que puede pertenecer a una tarea en otro proyecto. Esto permite a cualquier usuario autenticado descargar o eliminar cualquier adjunto en el sistema proporcionando su propio ID de tarea accesible junto con un ID de adjunto objetivo. Los ID de los adjuntos son enteros secuenciales, lo que hace que la enumeración sea trivial. La versión 2.2.1 corrige el problema.
  
• Vulnerabilidad en vikunja de go-vikunja (CVE-2026-33679)
  Severidad: MEDIA
  Fecha de publicación: 24/03/2026
  Fecha de última actualización: 30/03/2026
  Vikunja es una plataforma de gestión de tareas de código abierto autoalojada. Antes de la versión 2.2.1, la función `DownloadImage` en `pkg/utils/avatar.go` utiliza un `http.Client{}` básico sin protección SSRF al descargar imágenes de avatar de usuario de la URL de la declaración 'picture' de OpenID Connect. Un atacante que controla la URL de la imagen de perfil de su OIDC puede forzar al servidor Vikunja a realizar solicitudes GET HTTP a puntos finales de metadatos internos o en la nube arbitrarios. Esto elude las protecciones SSRF que se aplican correctamente al sistema de webhooks. La versión 2.2.1 corrige el problema.
  
• Vulnerabilidad en vikunja de go-vikunja (CVE-2026-33680)
  Severidad: ALTA
  Fecha de publicación: 24/03/2026
  Fecha de última actualización: 30/03/2026
  Vikunja es una plataforma de gestión de tareas de código abierto autoalojada. Antes de la versión 2.2.2, el método `LinkSharing.ReadAll()` permite a los usuarios autenticados con un enlace compartido listar todos los enlaces compartidos de un proyecto, incluyendo sus hashes secretos. Si bien `LinkSharing.CanRead()` bloquea correctamente a los usuarios de enlaces compartidos de leer enlaces compartidos individuales a través de `ReadOne`, el gestor `ReadAllWeb` omite esta verificación al no llamar nunca a `CanRead()`. Un atacante con un enlace compartido de solo lectura puede recuperar hashes de enlaces compartidos de escritura o de administrador en el mismo proyecto y autenticarse con ellos, escalando a acceso de administrador completo. La versión 2.2.2 corrige el problema.
  
• Vulnerabilidad en vikunja de go-vikunja (CVE-2026-33700)
  Severidad: MEDIA
  Fecha de publicación: 24/03/2026
  Fecha de última actualización: 30/03/2026
  Vikunja es una plataforma de gestión de tareas de código abierto autoalojada. Antes de la versión 2.2.1, el endpoint `DELETE /api/v1/projects/:project/shares/:share` no verifica que el recurso compartido de enlace pertenezca al proyecto especificado en la URL. Un atacante con acceso de administrador a cualquier proyecto puede eliminar recursos compartidos de enlace de otros proyectos proporcionando su propio ID de proyecto combinado con el ID del recurso compartido objetivo. La versión 2.2.1 corrige el problema.
  
• Vulnerabilidad en Triton Inference Server de NVIDIA (CVE-2025-33238)
  Severidad: ALTA
  Fecha de publicación: 24/03/2026
  Fecha de última actualización: 31/03/2026
  El servidor HTTP Sagemaker de NVIDIA Triton Inference Server contiene una vulnerabilidad donde un atacante puede causar una excepción. Un exploit exitoso de esta vulnerabilidad puede llevar a una denegación de servicio.
  
• Vulnerabilidad en Triton Inference Server de NVIDIA (CVE-2025-33254)
  Severidad: ALTA
  Fecha de publicación: 24/03/2026
  Fecha de última actualización: 31/03/2026
  NVIDIA Triton Inference Server contiene una vulnerabilidad donde un atacante puede causar corrupción del estado interno. Un exploit exitoso de esta vulnerabilidad puede llevar a una denegación de servicio.
  
• Vulnerabilidad en NeMo Framework de NVIDIA (CVE-2026-24157)
  Severidad: ALTA
  Fecha de publicación: 24/03/2026
  Fecha de última actualización: 31/03/2026
  NVIDIA NeMo Framework contiene una vulnerabilidad en la carga de puntos de control donde un atacante podría causar ejecución remota de código. Un exploit exitoso de esta vulnerabilidad podría conducir a la ejecución de código, escalada de privilegios, revelación de información y manipulación de datos.
  
• Vulnerabilidad en Triton Inference Server de NVIDIA (CVE-2026-24158)
  Severidad: ALTA
  Fecha de publicación: 24/03/2026
  Fecha de última actualización: 31/03/2026
  NVIDIA Triton Inference Server contiene una vulnerabilidad en el endpoint HTTP donde un atacante puede causar una denegación de servicio al proporcionar una carga útil comprimida grande. Un exploit exitoso de esta vulnerabilidad puede conducir a una denegación de servicio.
  
• Vulnerabilidad en NVIDIA NeMo (CVE-2026-24159)
  Severidad: ALTA
  Fecha de publicación: 24/03/2026
  Fecha de última actualización: 31/03/2026
  NVIDIA NeMo Framework contiene una vulnerabilidad donde un atacante puede causar ejecución remota de código. Un exploit exitoso de esta vulnerabilidad podría conducir a ejecución de código, escalada de privilegios, revelación de información y manipulación de datos.
  
• Vulnerabilidad en Thunderbird de Mozilla (CVE-2026-3889)
  Severidad: MEDIA
  Fecha de publicación: 24/03/2026
  Fecha de última actualización: 27/03/2026
  Problema de suplantación en Thunderbird. Esta vulnerabilidad afecta a Thunderbird < 149 y Thunderbird < 140.9.
  
• Vulnerabilidad en Thunderbird de Mozilla (CVE-2026-4371)
  Severidad: ALTA
  Fecha de publicación: 24/03/2026
  Fecha de última actualización: 27/03/2026
  Un servidor de correo malicioso podría enviar cadenas malformadas con longitudes negativas, haciendo que el analizador lea memoria fuera del búfer. Si un servidor de correo o una conexión a un servidor de correo fueran comprometidos, un atacante podría hacer que el analizador funcione mal, potencialmente bloqueando Thunderbird o filtrando datos sensibles. Esta vulnerabilidad afecta a Thunderbird < 149 y Thunderbird < 140.9.
  
• Vulnerabilidad en Apple (CVE-2026-28867)
  Severidad: MEDIA
  Fecha de publicación: 25/03/2026
  Fecha de última actualización: 27/03/2026
  Este problema se abordó con autenticación mejorada. Este problema está solucionado en iOS 18.7.7 y iPadOS 18.7.7, iOS 26.4 y iPadOS 26.4, macOS Sequoia 15.7.5, macOS Tahoe 26.4, tvOS 26.4, visionOS 26.4, watchOS 26.4. Una aplicación podría ser capaz de filtrar estado sensible del kernel.
  
• Vulnerabilidad en Apple (CVE-2026-28871)
  Severidad: MEDIA
  Fecha de publicación: 25/03/2026
  Fecha de última actualización: 30/03/2026
  Un problema de lógica se abordó con comprobaciones mejoradas. Este problema se solucionó en Safari 26.4, iOS 18.7.7 y iPadOS 18.7.7, iOS 26.4 y iPadOS 26.4, macOS Tahoe 26.4. Visitar un sitio web diseñado con fines maliciosos puede conducir a un ataque de cross-site scripting.
  
• Vulnerabilidad en Indoor Connect 8855 (CVE-2025-27260)
  Severidad: ALTA
  Fecha de publicación: 25/03/2026
  Fecha de última actualización: 27/03/2026
  Ericsson Las versiones de Indoor Connect 8855 anteriores a 2025.Q3 contienen una vulnerabilidad de Filtrado Inadecuado de Elementos Especiales que, si se explota, puede conducir a la modificación no autorizada de cierta información.
  
• Vulnerabilidad en Indoor Connect 8855 (CVE-2025-40841)
  Severidad: MEDIA
  Fecha de publicación: 25/03/2026
  Fecha de última actualización: 27/03/2026
  Las versiones de Ericsson Indoor Connect 8855 anteriores a 2025.Q3 contienen una vulnerabilidad de falsificación de petición en sitios cruzados (CSRF) que, si se explota, puede conducir a la modificación no autorizada de cierta información.
  
• Vulnerabilidad en Indoor Connect 8855 (CVE-2025-40842)
  Severidad: ALTA
  Fecha de publicación: 25/03/2026
  Fecha de última actualización: 27/03/2026
  Las versiones de Ericsson Indoor Connect 8855 anteriores a 2025.Q3 contienen una vulnerabilidad de cross-site scripting (XSS) que, si se explota, puede conducir a la divulgación y modificación no autorizada de cierta información.
  
• Vulnerabilidad en core de kiteworks (CVE-2026-23514)
  Severidad: ALTA
  Fecha de publicación: 25/03/2026
  Fecha de última actualización: 27/03/2026
  Kiteworks es una red de datos privada (PDN). Las versiones 9.2.0 y 9.2.1 de Kiteworks Core tienen una vulnerabilidad de control de acceso que permite a los usuarios autenticados acceder a contenido no autorizado. Actualice Kiteworks Core a la versión 9.2.2 o posterior para recibir un parche.
  
• Vulnerabilidad en OpenCart Core (CVE-2024-58341)
  Severidad: ALTA
  Fecha de publicación: 25/03/2026
  Fecha de última actualización: 27/03/2026
  OpenCart Core 4.0.2.3 contiene una vulnerabilidad de inyección SQL que permite a atacantes no autenticados manipular consultas de base de datos inyectando código SQL a través del parámetro 'search'. Los atacantes pueden enviar solicitudes GET al endpoint de búsqueda de productos con valores 'search' maliciosos para extraer información sensible de la base de datos utilizando técnicas de inyección SQL ciega basada en booleanos o ciega basada en tiempo.
  
• Vulnerabilidad en Secure Data Forms de kiteworks (CVE-2026-24750)
  Severidad: ALTA
  Fecha de publicación: 25/03/2026
  Fecha de última actualización: 27/03/2026
  Kiteworks es una red de datos privada (PDN). En Kiteworks Secure Data Forms anterior a la versión 9.2.1, un atacante autenticado podría explotar una neutralización incorrecta de la entrada durante la generación de páginas web como XSS almacenado al modificar formularios. Actualice Kiteworks a la versión 9.2.1 o posterior para recibir un parche.
  
• Vulnerabilidad en textract (CVE-2026-26831)
  Severidad: CRÍTICA
  Fecha de publicación: 25/03/2026
  Fecha de última actualización: 30/03/2026
  textract hasta la versión 2.5.0 es vulnerable a la Inyección de Comandos del Sistema Operativo a través del parámetro de ruta de archivo en múltiples extractores. Al procesar archivos con nombres de archivo maliciosos, la ruta de archivo (filePath) se pasa directamente a child_process.exec() en lib/extractors/doc.js, rtf.js, dxf.js, images.js y lib/util.js con una sanitización inadecuada.
  
• Vulnerabilidad en thumbler (CVE-2026-26833)
  Severidad: CRÍTICA
  Fecha de publicación: 25/03/2026
  Fecha de última actualización: 30/03/2026
  thumbler hasta la versión 1.1.2 permite la inyección de comandos del sistema operativo a través del parámetro input, output, time o size en la función thumbnail() porque la entrada del usuario se concatena en una cadena de comando de shell pasada a child_process.exec() sin la sanitización o el escape adecuados.
  
• Vulnerabilidad en Tagify de Drupal (CVE-2026-3212)
  Severidad: MEDIA
  Fecha de publicación: 25/03/2026
  Fecha de última actualización: 27/03/2026
  Neutralización Incorrecta de la Entrada Durante la Generación de Páginas Web ('cross-site scripting') vulnerabilidad en Drupal Tagify permite cross-site scripting (XSS). Este problema afecta a Tagify: desde 0.0.0 anterior a 1.2.49.
  
• Vulnerabilidad en Secure Data Forms de kiteworks (CVE-2026-23635)
  Severidad: MEDIA
  Fecha de publicación: 25/03/2026
  Fecha de última actualización: 27/03/2026
  Kiteworks es una red de datos privada (PDN). En Kiteworks Secure Data Forms anteriores a la versión 9.2.1, una mala configuración de los atributos de seguridad podría potencialmente conducir a un Transporte de Credenciales No Protegido bajo ciertas circunstancias. Actualice Kiteworks a la versión 9.2.1 o posterior para recibir un parche.
  
• Vulnerabilidad en Secure Data Forms de kiteworks (CVE-2026-23636)
  Severidad: MEDIA
  Fecha de publicación: 25/03/2026
  Fecha de última actualización: 27/03/2026
  Kiteworks es una red de datos privada (PDN). En Kiteworks Secure Data Forms anteriores a la versión 9.2.1, el gestor de un formulario podría potencialmente explotar una carga de archivo sin restricciones de tipo peligroso debido a una validación faltante. Actualice Kiteworks a la versión 9.2.1 o posterior para recibir un parche.
  
• Vulnerabilidad en requests de psf (CVE-2026-25645)
  Severidad: MEDIA
  Fecha de publicación: 25/03/2026
  Fecha de última actualización: 30/03/2026
  Requests es una biblioteca HTTP. Antes de la versión 2.33.0, la función de utilidad 'requests.utils.extract_zipped_paths()' utiliza un nombre de archivo predecible al extraer archivos de archivos zip en el directorio temporal del sistema. Si el archivo de destino ya existe, se reutiliza sin validación. Un atacante local con acceso de escritura al directorio temporal podría pre-crear un archivo malicioso que se cargaría en lugar del legítimo. El uso estándar de la biblioteca Requests no se ve afectado por esta vulnerabilidad. Solo las aplicaciones que llaman a 'extract_zipped_paths()' directamente se ven afectadas. A partir de la versión 2.33.0, la biblioteca extrae archivos a una ubicación no determinista. Si los desarrolladores no pueden actualizar, pueden establecer 'TMPDIR' en su entorno a un directorio con acceso de escritura restringido.
  
• Vulnerabilidad en Kiteworks Email Protection Gateway de kiteworks (CVE-2026-29092)
  Severidad: MEDIA
  Fecha de publicación: 25/03/2026
  Fecha de última actualización: 27/03/2026
  Kiteworks es una red de datos privada (PDN). Antes de la versión 9.2.1, una vulnerabilidad en la gestión de sesiones de Kiteworks Email Protection Gateway permite a los usuarios bloqueados mantener sesiones activas después de que su cuenta sea deshabilitada. Esto podría permitir que el acceso no autorizado continúe hasta que la sesión expire naturalmente. Actualice Kiteworks a la versión 9.2.1 o posterior para recibir un parche.
  
• Vulnerabilidad en fontconfig (CVE-2026-34085)
  Severidad: MEDIA
  Fecha de publicación: 25/03/2026
  Fecha de última actualización: 27/03/2026
  fontconfig anterior a 2.17.1 tiene un error de uno en la asignación durante el manejo de capacidades sfnt, lo que lleva a una escritura fuera de límites de un byte, y potencialmente a un fallo o ejecución de código. Esto se encuentra en FcFontCapabilities en fcfreetype.c.
  
• Vulnerabilidad en GitLab (CVE-2026-3857)
  Severidad: ALTA
  Fecha de publicación: 25/03/2026
  Fecha de última actualización: 30/03/2026
  GitLab ha remediado un problema en GitLab CE/EE que afecta a todas las versiones desde la 17.10 anterior a la 18.8.7, la 18.9 anterior a la 18.9.3 y la 18.10 anterior a la 18.10.1 que podría haber permitido a un usuario no autenticado ejecutar mutaciones GraphQL arbitrarias en nombre de usuarios autenticados debido a una protección CSRF insuficiente.
  
• Vulnerabilidad en n8n de n8n-io (CVE-2026-27496)
  Severidad: ALTA
  Fecha de publicación: 25/03/2026
  Fecha de última actualización: 27/03/2026
  n8n es una plataforma de automatización de flujos de trabajo de código abierto. Antes de las versiones 1.123.22, 2.9.3 y 2.10.1, un usuario autenticado con permiso para crear o modificar flujos de trabajo podía usar el JavaScript Task Runner para asignar búferes de memoria no inicializados. Los búferes no inicializados pueden contener datos residuales del mismo proceso de Node.js — incluyendo datos de solicitudes anteriores, tareas, secretos o tokens — lo que resulta en la revelación de información sensible de datos en proceso. Los Task Runners deben habilitarse usando 'N8N_RUNNERS_ENABLED=true'. En modo de ejecutor externo, el impacto se limita a los datos dentro del proceso del ejecutor externo. El problema se ha solucionado en las versiones de n8n 1.123.22, 2.10.1 y 2.9.3. Los usuarios deben actualizar a esta versión o posterior para remediar la vulnerabilidad. Si la actualización no es posible de inmediato, los administradores deben considerar las siguientes mitigaciones temporales: Limitar los permisos de creación y edición de flujos de trabajo solo a usuarios de plena confianza, y/o usar el modo de ejecutor externo ('N8N_RUNNERS_MODE=external') para aislar el proceso del ejecutor. Estas soluciones alternativas no remedian completamente el riesgo y solo deben usarse como medidas de mitigación a corto plazo.
  
• Vulnerabilidad en n8n de n8n-io (CVE-2026-33660)
  Severidad: CRÍTICA
  Fecha de publicación: 25/03/2026
  Fecha de última actualización: 30/03/2026
  n8n es una plataforma de automatización de flujos de trabajo de código abierto. Antes de las versiones 2.14.1, 2.13.3 y 1.123.26, un usuario autenticado con permiso para crear o modificar flujos de trabajo podría usar el modo 'Combine by SQL' del nodo Merge para leer archivos locales en el host de n8n y lograr ejecución remota de código. El sandbox de AlaSQL no restringía suficientemente ciertas sentencias SQL, permitiendo a un atacante acceder a archivos sensibles en el servidor o incluso comprometer la instancia. El problema ha sido solucionado en las versiones de n8n 2.14.1, 2.13.3 y 1.123.26. Los usuarios deben actualizar a una de estas versiones o posteriores para remediar la vulnerabilidad. Si la actualización no es posible de inmediato, los administradores deben considerar las siguientes mitigaciones temporales: Limitar los permisos de creación y edición de flujos de trabajo solo a usuarios de plena confianza, y/o deshabilitar el nodo Merge añadiendo `n8n-nodes-base.merge` a la variable de entorno `NODES_EXCLUDE`. Estas soluciones provisionales no remedian completamente el riesgo y solo deben usarse como medidas de mitigación a corto plazo.
  
• Vulnerabilidad en n8n de n8n-io (CVE-2026-33665)
  Severidad: ALTA
  Fecha de publicación: 25/03/2026
  Fecha de última actualización: 30/03/2026
  n8n es una plataforma de automatización de flujos de trabajo de código abierto. Antes de las versiones 2.4.0 y 1.121.0, cuando la autenticación LDAP está habilitada, n8n vinculaba automáticamente una identidad LDAP a una cuenta local existente si el atributo de correo electrónico LDAP coincidía con el correo electrónico de la cuenta local. Un usuario LDAP autenticado que pudiera controlar su propio atributo de correo electrónico LDAP podía configurarlo para que coincidiera con el correo electrónico de otro usuario —incluido el de un administrador— y, al iniciar sesión, obtener acceso completo a esa cuenta. La vinculación de la cuenta persistía incluso si el correo electrónico LDAP se revertía posteriormente, lo que resultaba en una toma de control permanente de la cuenta. La autenticación LDAP debe estar configurada y activa (no predeterminada). El problema ha sido solucionado en las versiones 2.4.0 y 1.121.0 de n8n. Los usuarios deberían actualizar a una de estas versiones o posteriores para remediar la vulnerabilidad. Si la actualización no es posible de inmediato, los administradores deberían considerar las siguientes mitigaciones temporales: Deshabilitar la autenticación LDAP hasta que la instancia pueda ser actualizada, restringir los permisos del directorio LDAP para que los usuarios no puedan modificar sus propios atributos de correo electrónico, y/o auditar las cuentas existentes vinculadas a LDAP en busca de asociaciones de cuenta inesperadas. Estas soluciones provisionales no remedian completamente el riesgo y solo deberían usarse como medidas de mitigación a corto plazo.
  
• Vulnerabilidad en n8n de n8n-io (CVE-2026-33696)
  Severidad: CRÍTICA
  Fecha de publicación: 25/03/2026
  Fecha de última actualización: 27/03/2026
  n8n es una plataforma de automatización de flujos de trabajo de código abierto. Antes de las versiones 2.14.1, 2.13.3 y 1.123.27, un usuario autenticado con permiso para crear o modificar flujos de trabajo podría explotar una vulnerabilidad de contaminación de prototipos en los nodos XML y GSuiteAdmin. Al proporcionar parámetros manipulados como parte de la configuración del nodo, un atacante podría escribir valores controlados por el atacante en `Object.prototype`. Un atacante podría usar esta contaminación de prototipos para lograr la ejecución remota de código en la instancia de n8n. El problema ha sido solucionado en las versiones de n8n 2.14.1, 2.13.3 y 1.123.27. Los usuarios deberían actualizar a una de estas versiones o posteriores para remediar la vulnerabilidad. Si la actualización no es posible de inmediato, los administradores deberían considerar las siguientes mitigaciones temporales: Limitar los permisos de creación y edición de flujos de trabajo solo a usuarios de plena confianza, y/o deshabilitar el nodo XML añadiendo `n8n-nodes-base.xml` a la variable de entorno `NODES_EXCLUDE`. Estas soluciones alternativas no remedian completamente el riesgo y solo deberían usarse como medidas de mitigación a corto plazo.
  
• Vulnerabilidad en n8n de n8n-io (CVE-2026-33713)
  Severidad: ALTA
  Fecha de publicación: 25/03/2026
  Fecha de última actualización: 27/03/2026
  n8n es una plataforma de automatización de flujos de trabajo de código abierto. Antes de las versiones 2.14.1, 2.13.3 y 1.123.26, un usuario autenticado con permiso para crear o modificar flujos de trabajo podría explotar una vulnerabilidad de inyección SQL en el nodo Data Table Get. En la base de datos SQLite predeterminada, las sentencias individuales pueden ser manipuladas y la superficie de ataque está prácticamente limitada. En implementaciones de PostgreSQL, la ejecución de múltiples sentencias es posible, lo que permite la modificación y eliminación de datos. El problema ha sido solucionado en las versiones de n8n 1.123.26, 2.13.3 y 2.14.1. Los usuarios deben actualizar a una de estas versiones o posteriores para remediar la vulnerabilidad. Si la actualización no es posible de inmediato, los administradores deben considerar las siguientes mitigaciones temporales: Limitar los permisos de creación y edición de flujos de trabajo solo a usuarios de plena confianza, deshabilitar el nodo Data Table añadiendo 'n8n-nodes-base.dataTable' a la variable de entorno 'NODES_EXCLUDE', y/o revisar los flujos de trabajo existentes en busca de nodos Data Table Get donde 'orderByColumn' esté configurado con una expresión que incorpore entrada externa o proporcionada por el usuario. Estas soluciones provisionales no remedian completamente el riesgo y solo deben usarse como medidas de mitigación a corto plazo.
  
• Vulnerabilidad en n8n de n8n-io (CVE-2026-33720)
  Severidad: MEDIA
  Fecha de publicación: 25/03/2026
  Fecha de última actualización: 27/03/2026
  n8n es una plataforma de automatización de flujos de trabajo de código abierto. Antes de la versión 2.8.0, cuando la variable de entorno `N8N_SKIP_AUTH_ON_OAUTH_CALLBACK` se establece en `true`, el gestor de callback de OAuth omite la verificación de propiedad del parámetro de estado de OAuth. Esto permite a un atacante engañar a una víctima para que complete un flujo de OAuth contra un objeto de credencial que el atacante controla, haciendo que los tokens de OAuth de la víctima se almacenen en la credencial del atacante. El atacante puede entonces usar esos tokens para ejecutar flujos de trabajo en su nombre. Este problema solo afecta a las instancias donde `N8N_SKIP_AUTH_ON_OAUTH_CALLBACK=true` está configurado explícitamente (no predeterminado). El problema ha sido solucionado en la versión 2.8.0 de n8n. Los usuarios deben actualizar a esta versión o posterior para remediar la vulnerabilidad. Si la actualización no es posible de inmediato, los administradores deben considerar las siguientes mitigaciones temporales: Evitar habilitar `N8N_SKIP_AUTH_ON_OAUTH_CALLBACK=true` a menos que sea estrictamente necesario, y/o restringir el acceso a la instancia de n8n solo a usuarios de plena confianza. Estas soluciones provisionales no remedian completamente el riesgo y solo deben usarse como medidas de mitigación a corto plazo.
  
• Vulnerabilidad en n8n de n8n-io (CVE-2026-33722)
  Severidad: ALTA
  Fecha de publicación: 25/03/2026
  Fecha de última actualización: 27/03/2026
  n8n es una plataforma de automatización de flujos de trabajo de código abierto. Antes de las versiones 2.6.4 y 1.123.23, un usuario autenticado sin permiso para listar secretos externos podía referenciar un secreto por el nombre externo en una credencial y recuperar su valor en texto plano al guardar la credencial. Esto eludía la verificación de permisos 'externalSecret:list' y permitía el acceso a secretos almacenados en bóvedas conectadas sin privilegios de administrador o propietario. Este problema requiere que la instancia tenga una bóveda de secretos externos configurada. El atacante debe conocer o ser capaz de adivinar el nombre de un secreto objetivo. El problema ha sido solucionado en las versiones 1.123.23 y 2.6.4 de n8n. Los usuarios deben actualizar a una de estas versiones o posteriores para remediar la vulnerabilidad. Si la actualización no es posible de inmediato, los administradores deben considerar las siguientes mitigaciones temporales: Restringir el acceso a n8n solo a usuarios de plena confianza, y/o deshabilitar la integración de secretos externos hasta que se pueda aplicar el parche. Estas soluciones provisionales no remedian completamente el riesgo y solo deben usarse como medidas de mitigación a corto plazo.
  
• Vulnerabilidad en n8n de n8n-io (CVE-2026-33724)
  Severidad: MEDIA
  Fecha de publicación: 25/03/2026
  Fecha de última actualización: 27/03/2026
  n8n es una plataforma de automatización de flujos de trabajo de código abierto. Antes de la versión 2.5.0, cuando la característica de Control de Código Fuente está configurada para usar SSH, el comando SSH utilizado para las operaciones de git deshabilitaba explícitamente la verificación de la clave de host. Un atacante de red posicionado entre la instancia de n8n y el servidor Git remoto podría interceptar la conexión y presentar una clave de host fraudulenta, inyectando potencialmente contenido malicioso en los flujos de trabajo o interceptando datos del repositorio. Este problema solo afecta a las instancias donde la característica de Control de Código Fuente ha sido explícitamente habilitada y configurada para usar SSH (no predeterminada). El problema ha sido solucionado en la versión 2.5.0 de n8n. Los usuarios deben actualizar a esta versión o posterior para remediar la vulnerabilidad. Si la actualización no es posible de inmediato, los administradores deben considerar las siguientes mitigaciones temporales: Deshabilitar la característica de Control de Código Fuente si no es activamente requerida, y/o restringir el acceso a la red para asegurar que la instancia de n8n se comunique con el servidor Git solo a través de rutas de red confiables y controladas. Estas soluciones provisionales no remedian completamente el riesgo y solo deben usarse como medidas de mitigación a corto plazo.
  
• Vulnerabilidad en n8n de n8n-io (CVE-2026-33749)
  Severidad: MEDIA
  Fecha de publicación: 25/03/2026
  Fecha de última actualización: 27/03/2026
  n8n es una plataforma de automatización de flujos de trabajo de código abierto. Antes de las versiones 1.123.27, 2.13.3 y 2.14.1, un usuario autenticado con permiso para crear o modificar flujos de trabajo podía elaborar un flujo de trabajo que produjera un objeto de datos binarios HTML sin un nombre de archivo. El endpoint `/rest/binary-data` servía dichas respuestas en línea en el origen de n8n sin los encabezados `Content-Disposition` o `Content-Security-Policy`, permitiendo que el HTML se renderizara en el navegador con acceso completo a JavaScript del mismo origen. Al enviar la URL resultante a un usuario con mayores privilegios, un atacante podría ejecutar JavaScript en la sesión autenticada de la víctima, lo que permitiría la exfiltración de flujos de trabajo y credenciales, la modificación de flujos de trabajo o la escalada de privilegios a administrador. El problema ha sido solucionado en las versiones de n8n 1.123.27, 2.13.3 y 2.14.1. Los usuarios deben actualizar a una de estas versiones o posteriores para remediar la vulnerabilidad. Si la actualización no es posible de inmediato, los administradores deben considerar las siguientes mitigaciones temporales: Limitar los permisos de creación y edición de flujos de trabajo solo a usuarios de plena confianza, y/o restringir el acceso a la red a la instancia de n8n para evitar que usuarios no confiables accedan a las URL de datos binarios. Estas soluciones provisionales no remedian completamente el riesgo y solo deben usarse como medidas de mitigación a corto plazo.
  
• Vulnerabilidad en n8n de n8n-io (CVE-2026-33751)
  Severidad: MEDIA
  Fecha de publicación: 25/03/2026
  Fecha de última actualización: 27/03/2026
  n8n es una plataforma de automatización de flujos de trabajo de código abierto. Antes de las versiones 1.123.27, 2.13.3 y 2.14.1, un fallo en la lógica de escape de filtros del nodo LDAP permitía que los metacaracteres LDAP pasaran sin escapar cuando la entrada controlada por el usuario se interpolaba en los filtros de búsqueda LDAP. En flujos de trabajo donde la entrada de usuario externa se pasa a través de expresiones a los parámetros de búsqueda del nodo LDAP, un atacante podría manipular el filtro construido para recuperar registros LDAP no deseados o eludir las comprobaciones de autenticación implementadas en el flujo de trabajo. La explotación requiere una configuración de flujo de trabajo específica. El nodo LDAP debe usarse con entrada controlada por el usuario pasada a través de expresiones (por ejemplo, desde un formulario o webhook). El problema se ha solucionado en las versiones de n8n 1.123.27, 2.13.3 y 2.14.1. Los usuarios deben actualizar a una de estas versiones o posteriores para remediar la vulnerabilidad. Si la actualización no es posible de inmediato, los administradores deben considerar las siguientes mitigaciones temporales: Limitar los permisos de creación y edición de flujos de trabajo solo a usuarios de plena confianza, deshabilitar el nodo LDAP añadiendo `n8n-nodes-base.ldap` a la variable de entorno `NODES_EXCLUDE`, y/o evitar pasar entrada de usuario externa no validada a los parámetros de búsqueda del nodo LDAP a través de expresiones. Estas soluciones provisionales no remedian completamente el riesgo y solo deben usarse como medidas de mitigación a corto plazo.
  
• Vulnerabilidad en Concert de IBM (CVE-2025-12708)
  Severidad: MEDIA
  Fecha de publicación: 25/03/2026
  Fecha de última actualización: 27/03/2026
  IBM Concert 1.0.0 hasta 2.2.0 contiene credenciales codificadas de forma rígida que podrían ser obtenidas por un usuario local.
  
• Vulnerabilidad en InfoSphere Information Server de IBM (CVE-2025-14790)
  Severidad: MEDIA
  Fecha de publicación: 25/03/2026
  Fecha de última actualización: 30/03/2026
  IBM InfoSphere Information Server 11.7.0.0 hasta 11.7.1.6 podría permitir a un atacante obtener información sensible debido a credenciales insuficientemente protegidas.
  
• Vulnerabilidad en WebSphere Application Server - Liberty de IBM (CVE-2025-14915)
  Severidad: MEDIA
  Fecha de publicación: 25/03/2026
  Fecha de última actualización: 30/03/2026
  IBM WebSphere Servidor de Aplicaciones - Liberty 17.0.0.3 hasta 26.0.0.3 IBM WebSphere Servidor de Aplicaciones Liberty se ve afectado por escalada de privilegios. Un usuario privilegiado podría obtener acceso adicional al servidor de aplicaciones.
  
• Vulnerabilidad en WebSphere Application Server - Liberty de IBM (CVE-2025-14917)
  Severidad: MEDIA
  Fecha de publicación: 25/03/2026
  Fecha de última actualización: 30/03/2026
  IBM WebSphere Servidor de Aplicaciones - Liberty 17.0.0.3 hasta 26.0.0.3 IBM WebSphere Servidor de Aplicaciones Liberty podría proporcionar seguridad más débil de lo esperado al administrar las configuraciones de seguridad.
  
• Vulnerabilidad en WebSphere Application Server Liberty de IBM (CVE-2026-1561)
  Severidad: MEDIA
  Fecha de publicación: 25/03/2026
  Fecha de última actualización: 30/03/2026
  IBM WebSphere Servidor de aplicaciones - Liberty 17.0.0.3 hasta 26.0.0.3 IBM WebSphere Servidor de aplicaciones Liberty es vulnerable a falsificación de petición del lado del servidor (SSRF). Esto puede permitir a un atacante remoto enviar peticiones no autorizadas desde el sistema, lo que podría llevar a la enumeración de red o facilitar otros ataques.
  
• Vulnerabilidad en Sonarr (CVE-2026-30975)
  Severidad: ALTA
  Fecha de publicación: 25/03/2026
  Fecha de última actualización: 30/03/2026
  Sonarr es un PVR para usuarios de Usenet y BitTorrent. Las versiones anteriores a la 4.0.16.2942 tienen una omisión de autenticación que afectaba a los usuarios que habían deshabilitado la autenticación para direcciones locales (Autenticación Requerida configurada como: 'Deshabilitada para Direcciones Locales') sin un proxy inverso ejecutándose delante de Sonarr que sí pasara la cabecera inválida. Los parches están disponibles en la versión 4.0.16.2942 en la rama nightly/develop y en la versión 4.0.16.2944 para las versiones stable/main. Algunas soluciones alternativas están disponibles. Asegúrese de que la configuración 'Autenticación Requerida' de Sonarr esté establecida en 'Habilitada', ejecute Sonarr detrás de un proxy inverso, y/o no exponga Sonarr directamente a internet y, en su lugar, confíe en acceder a él a través de una VPN, Tailscale o una solución similar.
  
• Vulnerabilidad en Sonarr (CVE-2026-30976)
  Severidad: ALTA
  Fecha de publicación: 25/03/2026
  Fecha de última actualización: 30/03/2026
  Sonarr es un PVR para usuarios de Usenet y BitTorrent. En versiones de la rama 4.x anteriores a la 4.0.17.2950, un atacante remoto no autenticado puede leer potencialmente cualquier archivo legible por el proceso de Sonarr. Estos incluyen archivos de configuración de la aplicación (que contienen claves de API y credenciales de base de datos), archivos del sistema de Windows y cualquier archivo accesible por el usuario en la misma unidad. Este problema solo afecta a los sistemas Windows; macOS y Linux no se ven afectados. Los archivos devueltos desde la API no estaban limitados al directorio en disco desde el que se suponía que debían servirse. Este problema ha sido parcheado en la versión 4.0.17.2950 en la rama nightly/develop o en la 4.0.17.2952 para las versiones stable/main. Es posible solucionar el problema alojando Sonarr únicamente en una red interna segura y accediéndolo a través de VPN, Tailscale o una solución similar fuera de esa red.
  
• Vulnerabilidad en crun (CVE-2026-30892)
  Severidad: Pendiente de análisis
  Fecha de publicación: 26/03/2026
  Fecha de última actualización: 27/03/2026
  crun es un entorno de ejecución de contenedores OCI de código abierto escrito íntegramente en C. En las versiones 1.19 a 1.26, la opción `-u` (`--user`) de `crun exec` se analiza de forma incorrecta. El valor `1` se interpreta como UID 0 y GID 0, cuando debería haber sido UID 1 y GID 0. Por lo tanto, el proceso se ejecuta con privilegios más elevados de lo esperado. La versión 1.27 corrige el problema.
  
• Vulnerabilidad en saloon de saloonphp (CVE-2026-33182)
  Severidad: MEDIA
  Fecha de publicación: 26/03/2026
  Fecha de última actualización: 30/03/2026
  Saloon es una biblioteca PHP que proporciona a los usuarios herramientas para construir integraciones de API y SDKs. Antes de la versión 4.0.0, al construir la URL de la petición, Saloon combinaba la URL base del conector con el endpoint de la petición. Si el endpoint era una URL absoluta válida, el código usaba esa URL tal cual e ignoraba la URL base. La petición —y cualquier encabezado de autenticación, cookies o tokens adjuntos por el conector— se enviaba entonces al host controlado por el atacante. Si el endpoint podía ser influenciado por la entrada del usuario o la configuración (p. ej., redirect_uri, URL de callback), esto permitía la falsificación de petición del lado del servidor (SSRF) y/o la fuga de credenciales a un host de terceros. La solución en la versión 4.0.0 es rechazar las URLs absolutas en el endpoint: URLHelper::join() lanza InvalidArgumentException cuando el endpoint es una URL absoluta válida, a menos que se permita explícitamente, lo que requiere que los llamadores opten por la funcionalidad por conector o por petición.
  
• Vulnerabilidad en Saloon (CVE-2026-33183)
  Severidad: ALTA
  Fecha de publicación: 26/03/2026
  Fecha de última actualización: 30/03/2026
  Saloon es una biblioteca de PHP que ofrece a los usuarios herramientas para crear integraciones de API y SDK. Antes de la versión 4.0.0, los nombres de los fixtures se utilizaban para generar rutas de archivo dentro del directorio de fixtures configurado sin validación. Un nombre que contuviera segmentos de ruta (por ejemplo, ../traversal o ../../etc /passwd) daba lugar a una ruta fuera de dicho directorio. Cuando la aplicación leía un fixture (por ejemplo, para simulación) o escribía uno (por ejemplo, al registrar respuestas), podía leer o escribir archivos en cualquier lugar al que el proceso tuviera acceso. Si el nombre del fixture se derivaba de una entrada controlada por el usuario o por un atacante (por ejemplo, parámetros de solicitud o configuración), esto constituía una vulnerabilidad de traversal de ruta y podía dar lugar a la divulgación de archivos confidenciales o a la sobrescritura de archivos críticos. La corrección en la versión 4.0.0 añade validación en la capa de fixtures (rechazando nombres con /, \, .. o bytes nulos, y restringiéndolos a un conjunto de caracteres seguro) y defensa en profundidad en la capa de almacenamiento (asegurando que la ruta resuelta permanezca bajo el directorio base antes de cualquier lectura o escritura).
  
• Vulnerabilidad en liquidjs de harttle (CVE-2026-33285)
  Severidad: ALTA
  Fecha de publicación: 26/03/2026
  Fecha de última actualización: 30/03/2026
  LiquidJS es un motor de plantillas compatible con Shopify / GitHub Pages en JavaScript puro. Antes de la versión 10.25.1, el mecanismo de seguridad 'memoryLimit' de LiquidJS puede ser completamente eludido mediante el uso de expresiones de rango inverso (por ejemplo, '(100000000..1)'), permitiendo a un atacante asignar memoria ilimitada. Combinado con una operación de aplanamiento de cadenas (por ejemplo, el filtro 'replace'), esto causa un error fatal de V8 que provoca la caída del proceso de Node.js, resultando en una denegación de servicio completa desde una única solicitud HTTP. La versión 10.25.1 corrige el problema.
  
• Vulnerabilidad en liquidjs de harttle (CVE-2026-33287)
  Severidad: ALTA
  Fecha de publicación: 26/03/2026
  Fecha de última actualización: 30/03/2026
  LiquidJS es un motor de plantillas compatible con Shopify / GitHub Pages en JavaScript puro. Antes de la versión 10.25.1, el filtro 'replace_first' en LiquidJS utiliza 'String.prototype.replace()' de JavaScript, que interpreta '$&' como una retroreferencia a la subcadena coincidente. El filtro solo carga 'memoryLimit' por la longitud de la cadena de entrada, no por la salida amplificada. Un atacante puede lograr una amplificación exponencial de la memoria (hasta 625.000:1) mientras se mantiene dentro del presupuesto de 'memoryLimit', lo que lleva a una denegación de servicio. La versión 10.25.1 corrige el problema.
  
• Vulnerabilidad en squid de squid-cache (CVE-2026-33515)
  Severidad: MEDIA
  Fecha de publicación: 26/03/2026
  Fecha de última actualización: 31/03/2026
  Squid es un proxy de caché para la Web. Antes de la versión 7.5, debido a una validación de entrada incorrecta, Squid es vulnerable a una lectura fuera de límites al manejar tráfico ICP. Este problema permite a un atacante remoto recibir pequeñas cantidades de memoria que potencialmente contienen información sensible al responder con errores a solicitudes ICP no válidas. Este ataque se limita a implementaciones de Squid que habilitan explícitamente el soporte ICP (es decir, configuran un 'icp_port' distinto de cero). Este problema no puede mitigarse denegando consultas ICP utilizando reglas de 'icp_access'. La versión 7.5 contiene un parche.
  
• Vulnerabilidad en squid de squid-cache (CVE-2026-33526)
  Severidad: CRÍTICA
  Fecha de publicación: 26/03/2026
  Fecha de última actualización: 31/03/2026
  Squid es un proxy de almacenamiento en caché para la Web. Antes de la versión 7.5, debido a un uso después de liberación (Use-After-Free) en el heap, Squid es vulnerable a denegación de servicio al manejar tráfico ICP. Este problema permite a un atacante remoto realizar un ataque de denegación de servicio fiable y repetible contra el servicio Squid utilizando el protocolo ICP. Este ataque se limita a implementaciones de Squid que habilitan explícitamente el soporte ICP (es decir, configuran un 'icp_port' distinto de cero). Este problema _no puede_ mitigarse denegando consultas ICP utilizando reglas de 'icp_access'. La versión 7.5 contiene un parche.
  
• Vulnerabilidad en Shipping System CMS (CVE-2018-25183)
  Severidad: ALTA
  Fecha de publicación: 26/03/2026
  Fecha de última actualización: 27/03/2026
  El Sistema de Envío CMS 1.0 contiene una vulnerabilidad de inyección SQL que permite a atacantes no autenticados eludir la autenticación inyectando código SQL a través del parámetro de nombre de usuario. Los atacantes pueden enviar cargas útiles SQL maliciosas utilizando técnicas ciegas basadas en booleanos en solicitudes POST al endpoint de inicio de sesión de administrador para autenticarse sin credenciales válidas.
  
• Vulnerabilidad en Wecodex Restaurant CMS (CVE-2018-25185)
  Severidad: ALTA
  Fecha de publicación: 26/03/2026
  Fecha de última actualización: 27/03/2026
  Wecodex Restaurant CMS 1.0 contiene una vulnerabilidad de inyección SQL que permite a atacantes no autenticados manipular consultas de base de datos inyectando código SQL a través del parámetro username. Los atacantes pueden enviar solicitudes POST al endpoint de inicio de sesión con cargas útiles SQL maliciosas utilizando técnicas ciegas basadas en booleanos o ciegas basadas en tiempo para extraer información sensible de la base de datos.
  
• Vulnerabilidad en Wecodex Hotel CMS (CVE-2018-25195)
  Severidad: ALTA
  Fecha de publicación: 26/03/2026
  Fecha de última actualización: 27/03/2026
  Wecodex Hotel CMS 1.0 contiene una vulnerabilidad de inyección SQL en la funcionalidad de inicio de sesión de administrador que permite a atacantes no autenticados eludir la autenticación inyectando código SQL. Los atacantes pueden enviar cargas útiles SQL maliciosas a través del parámetro de nombre de usuario en solicitudes POST a index.php con action=processlogin para extraer información sensible de la base de datos u obtener acceso administrativo no autorizado.
  
• Vulnerabilidad en School Management System CMS (CVE-2018-25201)
  Severidad: ALTA
  Fecha de publicación: 26/03/2026
  Fecha de última actualización: 27/03/2026
  El Sistema de Gestión Escolar CMS 1.0 contiene una vulnerabilidad de inyección SQL en la funcionalidad de inicio de sesión de administrador que permite a los atacantes eludir la autenticación inyectando código SQL a través del parámetro de nombre de usuario. Los atacantes pueden enviar cargas útiles maliciosas utilizando técnicas de inyección SQL ciega basada en booleanos al endpoint processlogin para autenticarse como administrador sin credenciales válidas.
  
• Vulnerabilidad en Library CMS (CVE-2018-25204)
  Severidad: ALTA
  Fecha de publicación: 26/03/2026
  Fecha de última actualización: 31/03/2026
  Biblioteca CMS 1.0 contiene una vulnerabilidad de inyección SQL que permite a atacantes no autenticados eludir la autenticación inyectando código SQL a través del parámetro de nombre de usuario. Los atacantes pueden enviar solicitudes POST al endpoint de inicio de sesión de administrador con cargas útiles de inyección SQL ciega basada en booleanos en el campo de nombre de usuario para manipular consultas de base de datos y obtener acceso no autorizado.
  
• Vulnerabilidad en Ticaret V4 (CVE-2018-25210)
  Severidad: ALTA
  Fecha de publicación: 26/03/2026
  Fecha de última actualización: 27/03/2026
  WebOfisi E-Ticaret 4.0 contiene una vulnerabilidad de inyección SQL en el parámetro GET 'urun' del endpoint que permite a atacantes no autenticados manipular consultas de la base de datos. Los atacantes pueden inyectar cargas útiles SQL a través del parámetro 'urun' para ejecutar ataques de inyección SQL ciegos basados en booleanos, basados en errores, ciegos basados en tiempo y de consultas apiladas contra la base de datos de backend.
  
• Vulnerabilidad en GDTaller (CVE-2025-41026)
  Severidad: MEDIA
  Fecha de publicación: 26/03/2026
  Fecha de última actualización: 27/03/2026
  Vulnerabilidades de Cross Site Scripting Reflejado (XSS) en GDTaller. Estas vulnerabilidades permiten a un atacante ejecutar código JavaScript en el navegador de la víctima mediante el envío de una URL maliciosa en el parámetro 'site' en 'app_login.php'.
  
• Vulnerabilidad en GDTaller (CVE-2025-41027)
  Severidad: MEDIA
  Fecha de publicación: 26/03/2026
  Fecha de última actualización: 27/03/2026
  Vulnerabilidades de Cross Site Scripting Reflejado (XSS) en GDTaller. Estas vulnerabilidades permiten a un atacante ejecutar código JavaScript en el navegador de la víctima al enviar una URL maliciosa en el parámetro 'site' en 'app_recuperarclave.php'.
  
• Vulnerabilidad en Splitter (CVE-2018-25211)
  Severidad: ALTA
  Fecha de publicación: 26/03/2026
  Fecha de última actualización: 27/03/2026
  Allok Video Splitter 3.1.1217 contiene una vulnerabilidad de desbordamiento de búfer que permite a atacantes locales causar una denegación de servicio o ejecutar código arbitrario al proporcionar una cadena de tamaño excesivo en el campo Nombre de Licencia. Los atacantes pueden crear una carga útil maliciosa que exceda los 780 bytes, pegarla en el campo de registro Nombre de Licencia y activar el desbordamiento cuando se hace clic en el botón Registrar.
  
• Vulnerabilidad en WAV to WMA Converter (CVE-2018-25212)
  Severidad: ALTA
  Fecha de publicación: 26/03/2026
  Fecha de última actualización: 31/03/2026
  Boxoft wav-wma Converter 1.0 contiene una vulnerabilidad local de desbordamiento de búfer en el manejo estructurado de excepciones que permite a los atacantes ejecutar código arbitrario mediante la creación de archivos WAV maliciosos. Los atacantes pueden crear un archivo WAV especialmente diseñado con datos excesivos y gadgets ROP para sobrescribir la cadena SEH y lograr la ejecución de código en sistemas Windows.
  
• Vulnerabilidad en Nsauditor Local SEH Buffer Overflow (CVE-2018-25213)
  Severidad: ALTA
  Fecha de publicación: 26/03/2026
  Fecha de última actualización: 27/03/2026
  Nsauditor 3.0.28.0 contiene una vulnerabilidad de desbordamiento de búfer de manejo de excepciones estructurado que permite a atacantes locales ejecutar código arbitrario al proporcionar entrada maliciosa a la herramienta de búsqueda de DNS. Los atacantes pueden crear una carga útil con sobrescritura de la cadena SEH e inyectar shellcode a través del campo de consulta DNS para lograr la ejecución de código con privilegios de aplicación.
  
• Vulnerabilidad en MegaPing (CVE-2018-25214)
  Severidad: MEDIA
  Fecha de publicación: 26/03/2026
  Fecha de última actualización: 27/03/2026
  MegaPing contiene una vulnerabilidad local de desbordamiento de búfer que permite a atacantes locales provocar la caída de la aplicación al proporcionar una carga útil sobredimensionada al campo Destination Address List en la función Finger. Los atacantes pueden pegar un búfer manipulado que excede los límites de entrada esperados en el campo vulnerable y activar el botón Start para causar una caída por denegación de servicio.
  
• Vulnerabilidad en AnyBurn (CVE-2018-25216)
  Severidad: MEDIA
  Fecha de publicación: 26/03/2026
  Fecha de última actualización: 27/03/2026
  AnyBurn 4.3 contiene una vulnerabilidad local de desbordamiento de búfer que permite a atacantes locales bloquear la aplicación al proporcionar una cadena excesivamente larga en el campo del nombre del archivo de imagen. Los atacantes pueden pegar una carga útil de 10000 bytes en el parámetro 'Image file name' durante la operación 'Copy disk to Image' para desencadenar una condición de denegación de servicio.
  
• Vulnerabilidad en PDF Explorer (CVE-2018-25217)
  Severidad: ALTA
  Fecha de publicación: 26/03/2026
  Fecha de última actualización: 27/03/2026
  PDF Explorer 1.5.66.2 contiene una vulnerabilidad de desbordamiento de gestor de excepciones estructurado (SEH) que permite a atacantes locales ejecutar código arbitrario sobrescribiendo registros SEH con datos maliciosos. Los atacantes pueden crear una carga útil con desbordamiento de búfer, salto NSEH y cadenas de gadgets ROP que se ejecutan cuando el diálogo de configuración de campos personalizados procesa la entrada maliciosa en el campo 'Label'.
  
• Vulnerabilidad en everest-core de EVerest (CVE-2026-26073)
  Severidad: MEDIA
  Fecha de publicación: 26/03/2026
  Fecha de última actualización: 30/03/2026
  EVerest es una pila de software de carga de VE. Las versiones anteriores a la 2026.02.0 tienen una condición de carrera de datos que lleva a una posible corrupción de 'std::queue'/'std::deque'. El desencadenante es la actualización de la clave pública del medidor de potencia y los eventos de sesión/error del VE (mientras OCPP no está iniciado). Esto resulta en un informe de carrera de datos de TSAN y la observación de un error en tiempo de ejecución de dirección desalineada de ASAN/UBSAN. La versión 2026.02.0 contiene un parche.
  
• Vulnerabilidad en everest-core de EVerest (CVE-2026-26074)
  Severidad: ALTA
  Fecha de publicación: 26/03/2026
  Fecha de última actualización: 30/03/2026
  EVerest es una pila de software de carga de vehículos eléctricos. Las versiones anteriores a la 2026.02.0 tienen una condición de carrera que puede llevar a una posible corrupción de 'std::map'. El desencadenante es una solicitud CSMS GetLog/UpdateFirmware (red) con un evento de fallo de EVSE (físico). Esto resulta en informes de TSAN de acceso concurrente (condición de carrera) a 'event_queue'. La versión 2026.2.0 contiene un parche.
  
• Vulnerabilidad en everest-core de EVerest (CVE-2026-27813)
  Severidad: MEDIA
  Fecha de publicación: 26/03/2026
  Fecha de última actualización: 30/03/2026
  EVerest es una pila de software de carga de VE. Las versiones anteriores a la 2026.02.0 tienen una condición de carrera de datos que conduce a un uso después de liberación. Esto se activa por eventos de conexión/desconexión de VE y eventos de autorización RFID/RemoteStart/OCPP (o respuesta de autorización retrasada). La versión 2026.2.0 contiene un parche.
  
• Vulnerabilidad en Mattermost (CVE-2026-3108)
  Severidad: ALTA
  Fecha de publicación: 26/03/2026
  Fecha de última actualización: 30/03/2026
  Las versiones de Mattermost 11.2.x <= 11.2.2, 10.11.x <= 10.11.10, 11.4.x <= 11.4.0, 11.3.x <= 11.3.1 no logran sanear el contenido de publicaciones controlado por el usuario en la salida de terminal de los comandos mmctl, lo que permite a los atacantes manipular las terminales de los administradores a través de mensajes elaborados que contienen secuencias de escape ANSI y OSC que habilitan la manipulación de pantalla, avisos falsos y el secuestro del portapapeles. ID de aviso de Mattermost: MMSA-2026-00599
  
• Vulnerabilidad en Mattermost (CVE-2026-3112)
  Severidad: MEDIA
  Fecha de publicación: 26/03/2026
  Fecha de última actualización: 30/03/2026
  Las versiones de Mattermost 11.4.x <= 11.4.0, 11.3.x <= 11.3.1, 11.2.x <= 11.2.3, 10.11.x <= 10.11.11 no validan las rutas de destino de los archivos de Registro Avanzado, lo que permite a los administradores del sistema leer archivos de host arbitrarios a través de una configuración JSON de Registro Avanzado maliciosa en la generación de paquetes de soporte. ID de Aviso de Mattermost: MMSA-2025-00562
  
• Vulnerabilidad en Mattermost (CVE-2026-3113)
  Severidad: MEDIA
  Fecha de publicación: 26/03/2026
  Fecha de última actualización: 30/03/2026
  Las versiones de Mattermost 11.4.x <= 11.4.0, 11.3.x <= 11.3.1, 11.2.x <= 11.2.3, 10.11.x <= 10.11.11 fallan al establecer permisos en la exportación masiva descargada, lo que permite a otros usuarios locales en el servidor poder leer el contenido de la exportación masiva. ID de Aviso de Mattermost: MMSA-2026-00593
  
• Vulnerabilidad en Mattermost (CVE-2026-3114)
  Severidad: MEDIA
  Fecha de publicación: 26/03/2026
  Fecha de última actualización: 30/03/2026
  Las versiones de Mattermost 11.4.x <= 11.4.0, 11.3.x <= 11.3.1, 11.2.x <= 11.2.3, 10.11.x <= 10.11.11 no validan los tamaños de las entradas de archivo descomprimidas durante la extracción de archivos, lo que permite a usuarios autenticados con permisos de carga de archivos causar una denegación de servicio mediante archivos zip manipulados que contienen entradas altamente comprimidas (bombas zip) que agotan la memoria del servidor. ID de aviso de Mattermost: MMSA-2026-00598
  
• Vulnerabilidad en Mattermost (CVE-2026-3115)
  Severidad: MEDIA
  Fecha de publicación: 26/03/2026
  Fecha de última actualización: 30/03/2026
  Las versiones de Mattermost 11.2.x <= 11.2.2, 10.11.x <= 10.11.10, 11.4.x <= 11.4.0, 11.3.x <= 11.3.1 no aplican las restricciones de visualización al recuperar los IDs de miembros de grupo, lo que permite a los usuarios invitados autenticados enumerar los IDs de usuario fuera de su ámbito de visibilidad permitido a través del endpoint de recuperación de grupo. ID de Aviso de Mattermost: MMSA-2026-00594
  
• Vulnerabilidad en recipes de TandoorRecipes (CVE-2026-28503)
  Severidad: MEDIA
  Fecha de publicación: 26/03/2026
  Fecha de última actualización: 30/03/2026
  Tandoor Recipes es una aplicación para gestionar recetas, planificar comidas y crear listas de compras. En versiones anteriores a la 2.6.0, la acción 'SyncViewSet.query_synced_folder()' en 'cookbook/views/API.py' (línea 903) obtiene un objeto Sync utilizando 'get_object_or_404(Sync, pk=pk)' sin incluir 'space=request.space' en el filtro. Esto permite que un usuario administrador en el Espacio A active operaciones de sincronización (importación de Dropbox/Nextcloud/Local) en configuraciones de Sync pertenecientes al Espacio B, y vea los registros de sincronización resultantes. La versión 2.6.0 corrige el problema.
  
• Vulnerabilidad en recipes de TandoorRecipes (CVE-2026-29055)
  Severidad: MEDIA
  Fecha de publicación: 26/03/2026
  Fecha de última actualización: 30/03/2026
  Tandoor Recipes es una aplicación para gestionar recetas, planificar comidas y crear listas de la compra. En versiones anteriores a la 2.6.0, el proceso de procesamiento de imágenes en Tandoor Recipes omite explícitamente la eliminación de metadatos EXIF, el reescalado de imágenes y la validación de tamaño para los formatos de imagen WebP y GIF. Un comentario TODO de desarrollador en el código fuente reconoce esto como un problema conocido. Como resultado, cuando los usuarios suben fotos de recetas en formato WebP (el formato predeterminado para las cámaras de los smartphones modernos), sus datos EXIF sensibles — incluyendo coordenadas GPS, modelo de cámara, marcas de tiempo e información de software — se almacenan y se sirven a todos los usuarios que pueden ver la receta. La versión 2.6.0 soluciona el problema.
  
• Vulnerabilidad en Daylight Studio FuelCMS (CVE-2026-30457)
  Severidad: CRÍTICA
  Fecha de publicación: 26/03/2026
  Fecha de última actualización: 30/03/2026
  Un problema en el componente /parser/dwoo de Daylight Studio FuelCMS v1.5.2 permite a los atacantes ejecutar código arbitrario a través de código PHP especialmente diseñado.
  
• Vulnerabilidad en Daylight Studio FuelCMS (CVE-2026-30458)
  Severidad: CRÍTICA
  Fecha de publicación: 26/03/2026
  Fecha de última actualización: 30/03/2026
  Un problema en Daylight Studio FuelCMS v1.5.2 permite a los atacantes exfiltrar tokens de restablecimiento de contraseña de los usuarios mediante un ataque de división de correo.
  
• Vulnerabilidad en Daylight Studio FuelCMS (CVE-2026-30463)
  Severidad: ALTA
  Fecha de publicación: 26/03/2026
  Fecha de última actualización: 30/03/2026
  Daylight Studio FuelCMS v1.5.2 se descubrió que contenía una vulnerabilidad de inyección SQL a través del componente /controllers/Login.php.
  
• Vulnerabilidad en recipes de TandoorRecipes (CVE-2026-33148)
  Severidad: MEDIA
  Fecha de publicación: 26/03/2026
  Fecha de última actualización: 30/03/2026
  Tandoor Recipes es una aplicación para gestionar recetas, planificar comidas y crear listas de compras. En versiones anteriores a la 2.6.0, el endpoint de búsqueda de FDC (USDA FoodData Central) construye una URL de API ascendente interpolando directamente el parámetro 'query' proporcionado por el usuario en la cadena de la URL sin codificación URL. Un atacante puede inyectar parámetros URL adicionales incluyendo caracteres '&' en el valor de la consulta. Esto permite anular la clave de la API, manipular el comportamiento de la consulta ascendente y causar caídas del servidor (HTTP 500) a través de solicitudes malformadas — una condición de denegación de servicio. La versión 2.6.0 corrige el problema.
  
• Vulnerabilidad en recipes de TandoorRecipes (CVE-2026-33152)
  Severidad: CRÍTICA
  Fecha de publicación: 26/03/2026
  Fecha de última actualización: 30/03/2026
  Tandoor Recipes es una aplicación para gestionar recetas, planificar comidas y crear listas de compras. En versiones anteriores a la 2.6.0, Tandoor Recipes configura Django REST Framework con BasicAuthentication como uno de los backends de autenticación predeterminados. La configuración de limitación de tasa de AllAuth (ACCOUNT_RATE_LIMITS: login: 5/m/ip) solo se aplica al endpoint de inicio de sesión basado en HTML en /accounts/login/. Cualquier endpoint de API que acepte solicitudes autenticadas puede ser objetivo a través de encabezados Authorization: Basic sin limitación de tasa, sin bloqueo de cuenta y con intentos ilimitados. Un atacante puede realizar adivinación de contraseñas a alta velocidad contra cualquier nombre de usuario conocido. La versión 2.6.0 corrige el problema.
  
• Vulnerabilidad en recipes de TandoorRecipes (CVE-2026-33153)
  Severidad: ALTA
  Fecha de publicación: 26/03/2026
  Fecha de última actualización: 30/03/2026
  Tandoor Recipes es una aplicación para gestionar recetas, planificar comidas y crear listas de compras. En versiones anteriores a la 2.6.0, el endpoint de la API de Recetas expone un parámetro de consulta oculto `?debug=true` que devuelve la consulta SQL sin procesar completa que se está ejecutando, incluyendo todos los nombres de tablas, nombres de columnas, relaciones JOIN, condiciones WHERE (revelando la lógica de control de acceso) y los ID de espacio multi-inquilino. Este parámetro funciona incluso cuando `DEBUG=False` de Django (modo de producción) y es accesible para cualquier usuario autenticado independientemente de su nivel de privilegio. Esto permite a un atacante de bajo privilegio mapear todo el esquema de la base de datos y realizar ingeniería inversa del modelo de autorización. La versión 2.6.0 corrige el problema.
  
• Vulnerabilidad en invoiceninja (CVE-2026-33628)
  Severidad: MEDIA
  Fecha de publicación: 26/03/2026
  Fecha de última actualización: 30/03/2026
  Invoice Ninja es una aplicación de facturación, presupuestos, proyectos y seguimiento del tiempo de código fuente disponible, construida con Laravel. Las descripciones de las líneas de artículos de las facturas en Invoice Ninja v5.13.0 eluden el filtro de denylist de XSS, permitiendo que las cargas útiles de XSS almacenadas se ejecuten cuando las facturas se renderizan en la vista previa de PDF o en el portal del cliente. El campo de descripción de la línea de artículo no se pasó por 'purify::clean()' antes de la renderización. Esto se corrigió en la v5.13.4 por el proveedor al añadir 'purify::clean()' para sanear las descripciones de las líneas de artículos.
  
• Vulnerabilidad en Lychee de LycheeOrg (CVE-2026-33644)
  Severidad: BAJA
  Fecha de publicación: 26/03/2026
  Fecha de última actualización: 30/03/2026
  Lychee es una herramienta de gestión de fotos gratuita y de código abierto. Antes de la versión 7.5.2, la protección SSRF en 'PhotoUrlRule.php' puede ser eludida utilizando el rebinding de DNS. La comprobación de validación de IP (líneas 86-89) solo se activa cuando el nombre de host es una dirección IP. Cuando se utiliza un nombre de dominio, 'filter_var($host, FILTER_VALIDATE_IP)' devuelve 'false', omitiendo toda la comprobación. La versión 7.5.2 corrige el problema.
  
• Vulnerabilidad en fireshare de ShaneIsrael (CVE-2026-33645)
  Severidad: ALTA
  Fecha de publicación: 26/03/2026
  Fecha de última actualización: 30/03/2026
  Fireshare facilita el intercambio de medios y enlaces autoalojados. En la versión 1.5.1, una vulnerabilidad de salto de ruta autenticado en el endpoint de carga por fragmentos de Fireshare permite a un atacante escribir archivos arbitrarios fuera del directorio de carga previsto. El campo multipart 'checkSum' se utiliza directamente en la construcción de rutas del sistema de archivos sin saneamiento ni comprobaciones de contención. Esto permite escrituras de archivos no autorizadas en rutas elegidas por el atacante que son escribibles por el proceso de Fireshare (por ejemplo, el contenedor '/tmp'), violando la integridad y potencialmente habilitando ataques posteriores dependiendo del despliegue. La versión 1.5.2 corrige el problema.
  
• Vulnerabilidad en Lychee de LycheeOrg (CVE-2026-33738)
  Severidad: MEDIA
  Fecha de publicación: 26/03/2026
  Fecha de última actualización: 30/03/2026
  Lychee es una herramienta de gestión de fotos gratuita y de código abierto. Antes de la versión 7.5.3, el campo `description` de la foto se almacena sin saneamiento HTML y se renderiza usando `{!! $item->summary !!}` (salida sin escape de Blade) en las plantillas de feeds RSS, Atom y JSON. El endpoint `/feed` es públicamente accesible sin autenticación, permitiendo que cualquier lector RSS ejecute JavaScript controlado por el atacante. La versión 7.5.3 corrige el problema.
  
• Vulnerabilidad en invoiceninja (CVE-2026-33742)
  Severidad: MEDIA
  Fecha de publicación: 26/03/2026
  Fecha de última actualización: 30/03/2026
  Invoice Ninja es una aplicación de facturación, presupuestos, proyectos y seguimiento del tiempo de código fuente disponible, construida con Laravel. Los campos de notas de producto en Invoice Ninja v5.13.0 permiten HTML en bruto a través de la renderización de Markdown, lo que permite XSS almacenado. La salida del analizador de Markdown no fue saneada con 'purify::clean()' antes de ser incluida en las plantillas de factura. Esto se corrigió en la v5.13.4 por el proveedor al añadir 'purify::clean()' para sanear la salida de Markdown.
  
• Vulnerabilidad en siyuan de siyuan-note (CVE-2026-33669)
  Severidad: CRÍTICA
  Fecha de publicación: 26/03/2026
  Fecha de última actualización: 30/03/2026
  SiYuan es un sistema de gestión de conocimiento personal. Antes de la versión 3.6.2, los ID de los documentos se recuperaban a través de la interfaz /API/file/readDir, y luego se utilizaba la interfaz /API/block/getChildBlocks para ver el contenido de todos los documentos. La versión 3.6.2 corrige el problema.
  
• Vulnerabilidad en siyuan de siyuan-note (CVE-2026-33670)
  Severidad: CRÍTICA
  Fecha de publicación: 26/03/2026
  Fecha de última actualización: 30/03/2026
  SiYuan es un sistema de gestión de conocimiento personal. Antes de la versión 3.6.2, la interfaz /API/file/readDir se utilizaba para recorrer y recuperar los nombres de archivo de todos los documentos bajo un cuaderno. La versión 3.6.2 corrige el problema.
  
• Vulnerabilidad en incus de lxc (CVE-2026-33542)
  Severidad: MEDIA
  Fecha de publicación: 26/03/2026
  Fecha de última actualización: 30/03/2026
  Incus es un gestor de contenedores de sistema y máquinas virtuales. Antes de la versión 6.23.0, una falta de validación de la huella digital de la imagen al descargar desde servidores de imágenes simplestreams abre la puerta al envenenamiento de la caché de imágenes y, bajo circunstancias muy estrechas, expone a otros inquilinos a ejecutar imágenes controladas por el atacante en lugar de la esperada. La versión 6.23.0 parchea el problema.
  
• Vulnerabilidad en incus de lxc (CVE-2026-33711)
  Severidad: MEDIA
  Fecha de publicación: 26/03/2026
  Fecha de última actualización: 30/03/2026
  Incus es un gestor de contenedores de sistema y máquinas virtuales. Incus proporciona una API para recuperar capturas de pantalla de la máquina virtual. Esa API se basa en el uso de un archivo temporal para que QEMU escriba la captura de pantalla, la cual luego se recoge y se envía al usuario antes de su eliminación. Dado que las versiones anteriores a la 6.23.0 utilizan rutas predecibles bajo /tmp para esto, un atacante con acceso local al sistema puede abusar de este mecanismo creando sus propios enlaces simbólicos con antelación. En la gran mayoría de los sistemas Linux, esto resultará en un error de 'Permiso denegado' al solicitar una captura de pantalla. Esto se debe a que el kernel de Linux tiene una característica de seguridad diseñada para bloquear tales ataques, protected_symlinks. En los sistemas raros con esto deshabilitado a propósito, es entonces posible engañar a Incus para que trunque y altere el modo y los permisos de archivos arbitrarios en el sistema de archivos, lo que lleva a una potencial denegación de servicio o posible escalada de privilegios local. La versión 6.23.0 corrige el problema.
  
• Vulnerabilidad en incus de lxc (CVE-2026-33743)
  Severidad: MEDIA
  Fecha de publicación: 26/03/2026
  Fecha de última actualización: 30/03/2026
  Incus es un gestor de contenedores de sistema y máquinas virtuales. Antes de la versión 6.23.0, una copia de seguridad de bucket de almacenamiento especialmente diseñada puede ser utilizada por un usuario con acceso a la característica de bucket de almacenamiento de Incus para hacer fallar el demonio de Incus. El uso repetido de este ataque puede ser utilizado para mantener el servidor fuera de línea, causando una denegación de servicio de la API del plano de control. Esto no tiene impacto en ninguna carga de trabajo en ejecución; los contenedores y máquinas virtuales existentes seguirán funcionando. La versión 6.23.0 corrige el problema.
  
• Vulnerabilidad en incus de lxc (CVE-2026-33897)
  Severidad: CRÍTICA
  Fecha de publicación: 26/03/2026
  Fecha de última actualización: 30/03/2026
  Incus es un gestor de contenedores de sistema y máquinas virtuales. Antes de la versión 6.23.0, los archivos de plantilla de instancia pueden usarse para causar lecturas o escrituras arbitrarias como root en el servidor anfitrión. Incus permite plantillas pongo2 dentro de las instancias que pueden usarse en varios momentos del ciclo de vida de la instancia para crear plantillas de archivos dentro de la instancia. Esta implementación particular de pongo2 dentro de Incus permitía la lectura/escritura de archivos, pero con la expectativa de que la característica chroot de pongo2 aislaría todo ese acceso al sistema de archivos de la instancia. Esto se permitía de tal manera que una plantilla podría teóricamente leer un archivo y luego generar una nueva versión de dicho archivo. Desafortunadamente, el mecanismo de aislamiento chroot es completamente omitido por pongo2, lo que lleva a un fácil acceso a todo el sistema de archivos del sistema con privilegios de root. La versión 6.23.0 parchea el problema.
  
• Vulnerabilidad en AC5 de Tenda (CVE-2026-4902)
  Severidad: ALTA
  Fecha de publicación: 26/03/2026
  Fecha de última actualización: 31/03/2026
  Se detectó una vulnerabilidad en Tenda AC5 15.03.06.47. Esto afecta a la función fromAddressNat del archivo /goform/addressNat del componente gestor de solicitudes POST. La manipulación del argumento page resulta en un desbordamiento de búfer basado en pila. El ataque puede ser lanzado remotamente. El exploit ya es público y puede ser usado.
  
• Vulnerabilidad en vllm de vllm-project (CVE-2026-27893)
  Severidad: ALTA
  Fecha de publicación: 27/03/2026
  Fecha de última actualización: 30/03/2026
  vLLM es un motor de inferencia y servicio para modelos de lenguaje grandes (LLM). A partir de la versión 0.10.1 y antes de la versión 0.18.0, dos archivos de implementación de modelos codifican de forma rígida 'trust_remote_code=True' al cargar subcomponentes, eludiendo la exclusión voluntaria de seguridad explícita del usuario '--trust-remote-code=False'. Esto permite la ejecución remota de código a través de repositorios de modelos maliciosos incluso cuando el usuario ha deshabilitado explícitamente la confianza en el código remoto. La versión 0.18.0 corrige el problema.
  
• Vulnerabilidad en open-webui (CVE-2026-28786)
  Severidad: MEDIA
  Fecha de publicación: 27/03/2026
  Fecha de última actualización: 30/03/2026
  Open WebUI es una plataforma de inteligencia artificial autoalojada diseñada para operar totalmente fuera de línea. Antes de la versión 0.8.6, un campo de nombre de archivo no saneado en el endpoint de transcripción de voz a texto permite a cualquier usuario autenticado no administrador activar un 'FileNotFoundError' cuyo mensaje — incluyendo la ruta absoluta 'DATA_DIR' del servidor — se devuelve textualmente en el cuerpo de la respuesta HTTP 400, confirmando la revelación de información en todas las implementaciones predeterminadas. La versión 0.8.6 corrige el problema.