Siete nuevos avisos de SCI

• CVE-2026-100291: varios servicios ONVIF procesan solicitudes de administración sin exigir la autenticación necesaria. Un atacante remoto no autenticado podría acceder a operaciones sensibles del dispositivo.
• CVE-2026-100292: una interfaz de depuración oculta puede habilitarse mediante una solicitud autenticada y utilizarse para enviar comandos adicionales a un servicio interno. Su explotación podría permitir ejecutar comandos en el sistema operativo.
• CVE-2026-100293: los mecanismos de actualización local y en la nube instalan nuevo firmware sin comprobar su firma criptográfica. Un atacante con acceso al proceso de actualización podría introducir una imagen de firmware no confiable que el dispositivo aceptaría como válida.
• CVE-2026-100294: el firmware contiene credenciales de la API en la nube codificadas y compartidas entre diferentes dispositivos. Un atacante que obtenga el paquete público de firmware podría reutilizarlas para interactuar con el servicio en la nube sin autorización.
• CVE-2026-100296: una solicitud POST sin contenido dirigida a /setUserConfig puede restablecer silenciosamente la contraseña de administrador a su valor predeterminado y alterar el estado de autenticación hasta que el dispositivo se reinicie. Cualquier usuario autenticado podría provocar esta situación.
• CVE-2026-100298: dos endpoints de información de usuario podrían revelar datos sensibles del dispositivo y de las cuentas en condiciones no previstas durante su funcionamiento normal.
• CVE-2026-100299: el dispositivo almacena en la consola serie un hash de contraseña heredado que utiliza un cifrado débil basado en DES, lo que podría facilitar la obtención de las credenciales.

Para las vulnerabilidades de severidad media se han asignado los identificadores CVE-2026-100295 y CVE-2026-100297.

CVE-2026-96274: vulnerabilidad de excepción no controlada en Baicells Nova 430H. Un dispositivo no autenticado situado dentro del alcance de la señal de radio podría enviar, durante el establecimiento de la conexión, un mensaje manipulado que contenga datos NAS no válidos. Debido a que el eNodeB no valida correctamente estos datos, el mensaje se reenvía a la red central y puede provocar el cierre de la asociación de señalización de la celda. Esto causaría una interrupción temporal del servicio hasta que el eNodeB y la red central restablezcan la conexión.

• CVE-2026-71379: el punto de conexión utilizado para exportar archivos permite que un atacante no autenticado extraiga cualquier tabla de la base de datos mediante una solicitud POST especialmente manipulada.
• CVE-2026-70356: el punto de conexión para cargar archivos no comprueba su tipo en el servidor. Un atacante podría cargar y ejecutar archivos PHP arbitrarios en el servidor web.
• CVE-2026-72510: vulnerabilidad de inyección SQL ciega basada en tiempo en el parámetro supplier_no de la función de búsqueda de asignaciones comerciales.
• CVE-2026-63713: vulnerabilidad de inyección SQL ciega basada en tiempo en el parámetro search de la función utilizada para consultar los registros de auditoría.
• CVE-2026-68954: vulnerabilidad de inyección SQL ciega basada en tiempo en el parámetro pattern de la función de búsqueda de la página principal de TMS.
• CVE-2026-68068: vulnerabilidad de inyección SQL ciega basada en tiempo en el parámetro screenID del visor de la cola de transacciones electrónicas.
• CVE-2026-72507: vulnerabilidad de inyección SQL ciega basada en tiempo en el parámetro reportType del informe de resumen de productos.
• CVE-2026-71302: vulnerabilidad de fijación de sesión. La aplicación acepta identificadores de sesión proporcionados por el usuario y no los renueva tras la autenticación. Un atacante podría establecer previamente un identificador y reutilizarlo después de que la víctima inicie sesión para secuestrar su sesión.

Para la vulnerabilidad de severidad media se ha asignado el identificador CVE-2026-71189.

Para la vulnerabilidad de severidad baja se ha asignado el identificador CVE-2026-69662.

• CVE-2026-84409: vulnerabilidad Cross-Site Scripting (XSS) causada por una neutralización inadecuada de los datos mostrados en la interfaz web. El mecanismo de actualización obtiene metadatos mediante una conexión HTTP sin cifrar y posteriormente los inserta directamente como contenido HTML. Un atacante capaz de manipular estos datos podría ejecutar código arbitrario con privilegios de root en el dispositivo.
• CVE-2026-91191: vulnerabilidad de verificación incorrecta de firmas criptográficas en el mecanismo de actualización. El dispositivo puede aceptar paquetes no autorizados como legítimos debido a que la comprobación de firmas se deshabilita durante el arranque y la clave privada utilizada en producción está incluida en el SDK distribuido públicamente. Un atacante podría proporcionar un paquete malicioso y ejecutar código arbitrario con privilegios de root durante su instalación.

CVE-2026-22755: vulnerabilidad de inyección de comandos del sistema operativo en los módulos de firmware de múltiples cámaras de red de VIVOTEK. Un atacante remoto no autenticado podría introducir comandos mediante un nombre de archivo especialmente manipulado procesado por upload_map.cgi. Su explotación podría permitir ejecutar código con privilegios de root y tomar el control completo del dispositivo.

CVE-2026-84411: vulnerabilidad de subdesbordamiento de enteros en el tratamiento del cuerpo de las solicitudes HTTP realizado por el servicio de administración web de RouterOS. Un atacante remoto no autenticado podría enviar una única solicitud especialmente manipulada antes del proceso de autenticación. Su explotación podría permitir ejecutar código arbitrario con privilegios de root o provocar una denegación de servicio.

CVE-2026-19438: vulnerabilidad de Path Traversal en el servidor HTTP de Mint Workbench I. Un atacante que haya iniciado sesión localmente en el equipo y disponga de permisos de escritura en la ruta afectada podría eludir las restricciones de acceso a directorios y leer archivos arbitrarios del sistema, comprometiendo su confidencialidad.