Ocho nuevos avisos de seguridad
Índice
- Inyección SQL en la plataforma eLoanApp de RDL Technologies
- Desbordamiento de memoria en productos de Citrix
- Acceso arbitrario a archivos en productos de Atlassian
- Múltiples vulnerabilidades en productos de MediaTek
- Uso de generador pseudoaleatorio criptográficamente débil en HFS de Rejetto
- Deserialización insegura en el plugin Magento 2 de TrueLayer
- Autenticación incorrecta en Integrated Lights-Out 7 de HPE
- Múltiples vulnerabilidades en productos de VMware
Inyección SQL en la plataforma eLoanApp de RDL Technologies
Plataforma eLoanApp.
INCIBE ha coordinado la publicación de una vulnerabilidad de severidad alta que afecta a la plataforma eLoanApp de RDL Technologies, software para la gestión de préstamos. La vulnerabilidad ha sido descubierta por Gonzalo Aguilar García (6h4ack).
A esta vulnerabilidad se le ha asignado el siguiente código, puntuación base CVSS v4.0, vector del CVSS y el tipo de vulnerabilidad CWE:
- CVE-2026-4889: CVSS v4.0: 7.8 | CVSS AV:N/AC:L/AT:N/PR:N/UI:N/VC:L/VI:L/VA:L/SC:H/SI:L/SA:L | CWE-89
No hay solución reportada por el momento.
CVE-2026-4889: vulnerabilidad de inyección SQL (SQLi) en la aplicación eLoanApp, concretamente en el parámetro POST 'logina' del punto final de procesamiento de usuarios '/ajax/users.php?op=verify'. El parámetro es vulnerable a inyecciones SQL basadas en valores booleanos y en el tiempo. La explotación exitosa de esta vulnerabilidad permitiría a un atacante descubrir el motor de base de datos de la plataforma y provocar retrasos en las consultas a la base de datos.
Desbordamiento de memoria en productos de Citrix
- NetScaler ADC y NetScaler Gateway 14.1, versiones anteriores a 14.1-73.41;
- NetScaler ADC y NetScaler Gateway 13.1, versiones anteriores a 13.1-64.28;
- NetScaler ADC 14.1-FIPS, versiones anteriores a 14.1-73.41 FIPS;
- NetScaler ADC 13.1-FIPS y 13.1-NDcPP, versiones anteriores a 13.1-37.282.
También están afectados los despliegues híbridos de Secure Private Access que utilicen instancias de NetScaler vulnerables.
La vulnerabilidad solamente puede explotarse cuando NetScaler ADC o NetScaler Gateway están configurados como proveedor de servicios SAML —SAML SP— o proveedor de identidad SAML —SAML IdP—.
Bishop Fox y watchTowr han informado sobre una vulnerabilidad de severidad alta que, en caso de ser explotada, podría provocar un desbordamiento de memoria y causar una denegación de servicio (DoS).
Actualizar los productos afectados a las siguientes versiones o posteriores:
- NetScaler ADC y NetScaler Gateway 14.1: 14.1-73.41;
- NetScaler ADC y NetScaler Gateway 13.1: 13.1-64.28;
- NetScaler ADC 14.1-FIPS: 14.1-73.41 FIPS;
- NetScaler ADC 13.1-FIPS y 13.1-NDcPP: 13.1-37.282.
Los servicios en la nube administrados por Citrix ya han sido actualizados y no requieren ninguna actuación por parte de sus clientes.
Para la vulnerabilidad de severidad alta se ha asignado el identificador CVE-2026-88779.
Acceso arbitrario a archivos en productos de Atlassian
Todas las versiones anteriores a las versiones corregidas indicadas en el apartado Solución de:
- Bitbucket Data Center;
- Confluence Data Center;
- Jira Service Management Data Center;
- Jira Software Data Center;
- Bamboo Data Center;
- Crowd Data Center;
- Crucible;
- Fisheye.
Los productos Atlassian Cloud afectados ya han sido actualizados por el fabricante.
Atlassian ha publicado una vulnerabilidad de severidad crítica que, en caso de ser explotada, podría permitir a un atacante remoto no autenticado acceder a determinados archivos ubicados en el directorio raíz de la aplicación web.
Actualizar los productos afectados a alguna de las siguientes versiones corregidas o posteriores:
- Bitbucket Data Center: 9.4.26, 10.2.8 o 10.5.1;
- Confluence Data Center: 9.2.26 o 10.2.19;
- Jira Service Management Data Center: 5.12.40, 10.3.26 o 11.3.12;
- Jira Software Data Center: 9.12.40, 10.3.26 o 11.3.12;
- Bamboo Data Center: 10.2.24 o 12.1.12;
- Crowd Data Center: 6.3.7, 7.0.3, 7.1.7 o 7.2.4;
- Crucible: 4.9.15;
- Fisheye: 4.9.15.
Si no es posible actualizar inmediatamente, Atlassian recomienda retirar las instancias afectadas de Internet o aplicar las reglas de filtrado y mitigaciones específicas publicadas en su aviso.
CVE-2026-21589: vulnerabilidad de acceso arbitrario a archivos. Un atacante remoto no autenticado que conozca el nombre y la ruta exactos de un archivo podría acceder a él si se encuentra dentro del directorio raíz de la aplicación web. La vulnerabilidad no permite enumerar ni listar el contenido de los directorios.
Múltiples vulnerabilidades en productos de MediaTek
Determinados dispositivos que incorporan los conjuntos de chips MediaTek indicados en el boletín de seguridad de octubre de 2026.
Las vulnerabilidades críticas afectan a los siguientes conjuntos de chips:
MT2716, MT2735, MT2737, MT6813, MT6815, MT6833, MT6835, MT6853, MT6855, MT6858, MT6873, MT6875, MT6877, MT6878, MT6879, MT6880, MT6881, MT6883, MT6885, MT6886, MT6889, MT6890, MT6891, MT6893, MT6895, MT6896, MT6897, MT6899, MT6980, MT6982, MT6983, MT6985, MT6986, MT6988, MT6989, MT6990, MT6991, MT6993, MT8668, MT8676, MT8678, MT8695, MT8696, MT8755, MT8771, MT8775, MT8791, MT8791T, MT8792, MT8793, MT8796, MT8797, MT8798, MT8863, MT8873, MT8883 y MT8893.
El fabricante advierte de que la relación completa de conjuntos de chips afectados puede variar según cada vulnerabilidad y podría no ser exhaustiva.
MediaTek ha publicado 31 vulnerabilidades: 2 de severidad crítica, 9 de severidad alta y 20 de severidad media que, en caso de ser explotadas, podrían permitir la corrupción de memoria, la escalada de privilegios, la divulgación de información o provocar el fallo de aplicaciones y del sistema.
MediaTek ha proporcionado a los fabricantes de dispositivos las correcciones correspondientes al menos dos meses antes de la publicación del boletín.
Se recomienda instalar las actualizaciones de seguridad distribuidas por el fabricante del dispositivo o el operador y contactar con ellos para conocer su disponibilidad.
- CVE-2026-20519: vulnerabilidad de escritura fuera de límites en el componente del módem debido a la ausencia de una comprobación adecuada de los límites de memoria.
- CVE-2026-20520: vulnerabilidad de escritura fuera de límites en el componente del módem debido a la ausencia de una comprobación adecuada de los límites de memoria.
Para las vulnerabilidades de severidad alta se han asignado los identificadores CVE-2026-20586, CVE-2026-20589, CVE-2026-20521, CVE-2026-20522, CVE-2026-20523, CVE-2026-20524, CVE-2026-20525, CVE-2026-20526 y CVE-2026-20527.
Uso de generador pseudoaleatorio criptográficamente débil en HFS de Rejetto
Rejetto HTTP File Server —HFS—, versiones desde la 3.0.0 hasta la 3.2.0, ambas incluidas.
Zach Hanley, de Horizon3.ai, ha informado sobre una vulnerabilidad de severidad crítica que, en caso de ser explotada, podría permitir a un atacante remoto no autenticado falsificar una sesión de administrador y ejecutar código de forma remota en el servidor.
Se han detectado intentos de explotación activa de CVE-2026-61500.
Actualizar Rejetto HFS a la versión 3.2.1 o posterior.
Debido a la explotación activa de la vulnerabilidad, se recomienda revisar los registros y los sistemas vulnerables expuestos a Internet para detectar posibles indicios de acceso no autorizado.
CVE-2026-61500: vulnerabilidad causada por el uso de un generador pseudoaleatorio no criptográfico para crear la clave que firma las cookies de sesión. Además, el proceso de inicio de sesión revela resultados generados por el mismo mecanismo. Un atacante remoto podría utilizar esta información para reconstruir la clave, falsificar una cookie de administrador y obtener acceso completo al servidor. Posteriormente, podría aprovechar las funciones de administración de HFS para ejecutar código de forma remota.
Deserialización insegura en el plugin Magento 2 de TrueLayer
TrueLayer Magento 2 Plugin, versiones 2.4.0 a 2.4.2.
INCIBE ha coordinado la publicación de una vulnerabilidad de severidad alta que afecta a Magento 2 Plugin de TrueLayer, un plugin de integración de pagos para Magento 2. La vulnerabilidad, de tipo deserialización insegura, podría permitir la ejecución remota de código mediante la inyección de objetos PHP especialmente manipulados en el backend de caché utilizado por la aplicación, siempre que el atacante disponga previamente de capacidad para escribir en dicha infraestructura. La vulnerabilidad ha sido descubierta por Gemma López Jiménez y Víctor Flores Sánchez
A esta vulnerabilidad se le ha asignado el siguiente código, puntuación base CVSS v4.0, vector del CVSS y el tipo de vulnerabilidad CWE:
- CVE-2026-103831: CVSS v4.0: 7.5 | CVSS AV:N/AC:L/AT:N/PR:L/UI:A/VC:N/VI:L/VA:N/SC:N/SI:N/SA:N | CWE-79
La vulnerabilidad ha sido solucionada por el equipo de TrueLayer en la versión 2.4.3 de TrueLayer Magento 2 Plugin, disponible públicamente desde el 3 de agosto de 2026.
La corrección elimina el uso de la función unserialize() en el componente Psr16CacheAdapter y adopta un mecanismo de serialización basado en JSON, siguiendo las prácticas de seguridad implementadas en el núcleo de Magento 2.
Se recomienda actualizar el complemento a la versión 2.4.3 o posterior. Asimismo, se recomienda garantizar que la infraestructura de caché utilizada por Magento no permita accesos de escritura no autorizados.
CVE-2026-103831: vulnerabilidad de deserialización insegura en el componente Psr16CacheAdapter de TrueLayer Magento 2 Plugin, debido al uso de la función nativa unserialize() de PHP sin restricciones sobre las clases permitidas al recuperar datos almacenados en la caché. Un atacante que disponga previamente de capacidad para escribir datos manipulados en el backend de caché utilizado por Magento, como Redis o Memcached, podría introducir objetos PHP especialmente construidos y provocar su deserialización, pudiendo alcanzar la ejecución arbitraria de código mediante cadenas de gadgets disponibles en el entorno de la aplicación. La explotación requiere, por tanto, una condición previa que permita escribir en la infraestructura de caché, ya sea mediante acceso al sistema de archivos local o a una infraestructura de caché accesible desde el entorno de Magento.
Autenticación incorrecta en Integrated Lights-Out 7 de HPE
HPE Integrated Lights-Out —iLO— 7, versiones de firmware anteriores a la 1.25.00.
HPE ha publicado una vulnerabilidad de severidad crítica que, en caso de ser explotada, podría permitir a un atacante remoto eludir la validación de usuarios en HPE Integrated Lights-Out 7 mediante COM.
Actualizar el firmware de HPE Integrated Lights-Out 7 a la versión 1.25.00 o posterior.
CVE-2026-79820: vulnerabilidad de autenticación incorrecta provocada por un fallo en la validación remota de usuarios mediante COM en HPE Integrated Lights-Out 7.
Múltiples vulnerabilidades en productos de VMware
- VMware Workstation, versiones 25H2 y 26H1;
- VMware Fusion, versiones 25H2 y 26H1.
h4urek, Y², Stan S, Yeonghyeon Choi y Tianchu Chen han informado sobre 2 vulnerabilidades: una de severidad crítica y otra de severidad alta que, en caso de ser explotadas, podrían permitir a un atacante con privilegios de administrador en una máquina virtual ejecutar código en el sistema anfitrión.
Actualizar VMware Workstation y VMware Fusion a la versión 26H1u1.
Broadcom indica que no existen soluciones alternativas que corrijan estas vulnerabilidades.
- CVE-2026-59346: vulnerabilidad de desbordamiento de enteros en el adaptador de red virtual VMXNET3. Un atacante con privilegios de administrador local en una máquina virtual que utilice este adaptador podría explotarla para ejecutar código en el sistema anfitrión.
Para la vulnerabilidad de severidad alta se ha asignado el identificador CVE-2026-59347.