Dos nuevos avisos de seguridad
Índice
- Omisión de autenticación en cPanel
- Contaminación de prototipos en n8n
Omisión de autenticación en cPanel
La vulnerabilidad afecta a todas las versiones posteriores a a la 11.40.
cPanel ha publicado una vulnerabilidad de severidad crítica que en caso de ser explotada podría permitir a un atacante omitir la autenticación en el software.
cPanel ha publicado un parche para las siguientes versiones de cPanel y WHM:
- 11.86.0.41;
- 11.110.0.97;
- 11.118.0.63;
- 11.126.0.54;
- 11.130.0.19;
- 11.132.0.29;
- 11.136.0.5;
- 11.134.0.20.
Para WP Squared se ha publicado la versión 136.1.7.
Se recomienda seguir las pautas del aviso oficial en lazado en referencias para actualizar a la versión correspondiente.
CVE-2026-41940: vulnerabilidad de inicio de sesión de autenticación que podría permitir el acceso no autorizado al panel de control.
Esta vulnerabilidad podría estar siendo explotada.
cPanel ha publicado en si aviso oficial, un script para buscar indicadores de compromiso y comprobar las sesiones en el sistema de archivos.
Contaminación de prototipos en n8n
Las siguientes versiones de n8n:
- 2.18.0;
- Desde la 2.17.0 hasta la 2.17.3;
- Menores a la 1.123.32.
a-tallat y simonkoeck han descubierto 2 vulnerabilidades de severidad crítica que, en caso de ser explotadas, podrían permitir la ejecución de código en remoto.
Actualizar el producto a las siguientes versiones respectivamente:
- 2.18.1;
- 2.17.4;
- 1.123.32.
En caso de que no se sea posible instalar la actualización inmediatamente, se pueden aplicar, de forma temporal, las siguientes contramedidas:
- Limitar los permisos de creación y edición de flujos de trabajo (workflows) a solo usuarios en los que se confíe plenamente.
- Deshabilitar el nodo XML añadiendo "n8n-nodes-base.xml" a la variable de entorno "NODES_EXCLUDE".
- CVE-2026-42231:un fallo en la biblioteca "xml2js" utilizada para analizar los cuerpos de las solicitudes XML en el gestor de webhooks de n8n permite la contaminación de prototipos mediante una carga útil XML manipulada. Un usuario autenticado con permisos para crear o modificar flujos de trabajo puede explotar esto para contaminar el prototipo del objeto JavaScript y, al encadenar la contaminación con las operaciones SSH del nodo Git, lograr la ejecución de código en remoto en el host n8n.
- CVE-2026-42232: un usuario autenticado con permisos para crear o modificar flujos de trabajo puede lograr una contaminación de prototipos global a través de un nodo XML y, de este modo, ejecutar código en remoto cuando se combina con otros nodos y se explota la polución de prototipos.