Cinco nuevos avisos de seguridad
Índice
- Omisión de autenticación en múltiples productos de Frappe Technologies
- Inyección SQL en la plataforma de demostración de NetBoard CRM
- Múltiples vulnerabilidades en productos de Splunk
- Path Traversal en FortiMail de Fortinet
- Múltiples vulnerabilidades en productos de Cisco
Omisión de autenticación en múltiples productos de Frappe Technologies
- Frappe Cloud;
- ERPNext registration service.
INCIBE ha coordinado la publicación de una vulnerabilidad de severidad media que afecta a varios productos de Frappe Technologies, software de planificación de recursos empresariales y una plataforma cloud para gestionar y controlar múltiples implementaciones de Frappe. La vulnerabilidad ha sido descubierta por Miguel Jiménez Cámara.
A esta vulnerabilidad se le ha asignado el siguiente código, puntuación base CVSS v4.0, vector del CVSS y el tipo de vulnerabilidad CWE:
- CVE-2026-4894: CVSS v4.0: 6.9 | CVSS AV:N/AC:L/AT:N/PR:N/UI:N/VC:L/VI:L/VA:N/SC:N/SI:N/SA:N | CWE-290
La vulnerabilidad ha sido solucionada por el equipo de Frappe Technologies.
CVE-2026-4894: vulnerabilidad relacionada con una validación insuficiente en el proceso de autenticación de Frappe Cloud y ERPNext, que permite aceptar varias direcciones de correo electrónico mediante la manipulación del campo email en el punto final /api/method/press.api.account.signup. La vulnerabilidad se produce cuando un atacante remoto no autenticado añade más de una dirección de correo electrónico.
El servicio procesa el valor completo como una lista válida de destinatarios y envía el código OTP a todas las direcciones sin validar adecuadamente todos los correos electrónicos añadidos (basta con que uno de ellos sea válido). Aprovechar esta vulnerabilidad permitiría a un atacante:
- Obtener el OTP de autenticación;
- Suplantar la identidad de otra persona en el proceso de registro;
- Registrar cuentas utilizando direcciones de correo electrónico de otras personas sin tener acceso al buzón;
- Confirmar indirectamente la existencia de direcciones de correo electrónico ya registradas.
Inyección SQL en la plataforma de demostración de NetBoard CRM
NetBoard CRM Demo Platform. Última versión de demostración (noviembre de 2025).
INCIBE ha coordinado la publicación de una vulnerabilidad de severidad crítica, que afecta a la plataforma de demostración de NetBoard CRM, entorno de prueba interactivo de software empresarial. La vulnerabilidad ha sido descubierta por Gonzalo Aguilar García (6h4ack).
A esta vulnerabilidad se le ha asignado el siguiente código, puntuación base CVSS v4.0, vector del CVSS y el tipo de vulnerabilidad CWE:
- CVE-2026-12260: CVSS v4.0: 10 | CVSS AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:L/SC:H/SI:H/SA:L | CWE-89
No hay solución reportada por el momento.
CVE-2026-12260: inyección SQL en la plataforma de demostración de NetBoard CRM; concretamente, el componente vulnerable es el parámetro POST user-name en el endpoint /module/auth/recovery.php. El parámetro es vulnerable a ataques ciegos basados en booleanos, en errores, en el tiempo y en UNION. La explotación permite a los atacantes extraer información confidencial (como la versión y el tipo de backend utilizado), alterar datos o agravar aún más el compromiso del entorno CRM.
Múltiples vulnerabilidades en productos de Splunk
Las siguientes versiones de Splunk Enterprise:
- 10.4.0 a 10.4.2;
- 10.2.0 a 10.2.6;
- 10.0.0 a 10.0.9;
- 9.4.0 a 9.4.14.
También están afectadas las versiones de Splunk Secure Gateway anteriores a 3.10.11, 3.9.25 y 3.8.72 por determinadas vulnerabilidades.
Splunk ha publicado 22 vulnerabilidades: 3 de severidad crítica, 3 de severidad alta y 16 de severidad media que, en caso de ser explotadas, podrían permitir la ejecución remota de código, la escalada de privilegios, el acceso no autorizado a información, la inyección SQL, Server-Side Request Forgery (SSRF) o provocar una denegación de servicio (DoS).
Actualizar Splunk Enterprise a una de las siguientes versiones, según la rama utilizada:
- 10.4.3 o posterior;
- 10.2.7 o posterior;
- 10.0.10 o posterior;
- 9.4.15 o posterior.
Actualizar Splunk Secure Gateway a las versiones 3.10.11, 3.9.25 o 3.8.72, según corresponda.
Splunk indica que las vulnerabilidades CVE-2026-76264, CVE-2026-76265, CVE-2026-76272 y CVE-2026-76280 requieren medidas adicionales, descritas en el boletín del fabricante.
- CVE-2026-76268: vulnerabilidad de ausencia de autenticación en la API REST de Patroni. Un atacante remoto no autenticado con acceso de red a esta interfaz en un miembro de un clúster de búsqueda podría ejecutar comandos del sistema operativo. Afecta a Splunk Enterprise anterior a 10.4.3 y 10.2.7. Las ramas 10.0 y 9.4 no están afectadas.
- CVE-2026-76281: agrupa vulnerabilidades de control de acceso inadecuado detectadas durante las pruebas internas de Splunk. Su explotación podría permitir que un atacante accediera a funciones o recursos para los que no dispone de autorización.
- CVE-2026-76284: agrupa vulnerabilidades relacionadas con una neutralización inadecuada de los datos de entrada. Su explotación podría permitir que información especialmente manipulada alterase el funcionamiento previsto de la aplicación.
Path Traversal en FortiMail de Fortinet
Las siguientes versiones de FortiMail:
- 8.0.0 a 8.0.1;
- 7.6.0 a 7.6.6;
- 7.4.0 a 7.4.8;
- 7.2.0 a 7.2.9.
Fortinet ha publicado una vulnerabilidad de severidad crítica que, en caso de ser explotada, podría permitir a un atacante remoto no autenticado escribir archivos arbitrarios en el sistema y ejecutar código o comandos no autorizados.
Fortinet y CISA han confirmado la explotación activa de CVE-2026-104286.
Actualizar FortiMail a una de las siguientes versiones:
- 8.0.2 o posterior;
- 7.6.7 o posterior;
- 7.4.9 o posterior.
Los sistemas de la rama 7.2 deben migrarse a FortiMail 7.4.9 o posterior.
Cuando no sea posible actualizar inmediatamente, Fortinet recomienda deshabilitar la función Identity-Based Encryption (IBE) o restringir el acceso a las interfaces de administración y webmail desde redes de confianza.
FortiMail Cloud fue corregido por el fabricante el 5 de octubre de 2026 y no requiere ninguna actuación por parte de los clientes.
CVE-2026-104286: vulnerabilidad de path traversal en FortiMail. Un atacante remoto no autenticado podría enviar solicitudes HTTP o HTTPS especialmente manipuladas para escribir archivos fuera del directorio previsto. Esto podría permitir ejecutar código o comandos no autorizados y comprometer el dispositivo.
Múltiples vulnerabilidades en productos de Cisco
Versiones anteriores a las indicadas de los siguientes productos:
- Cisco Meraki Campus Gateways: 32.2.5 y 33.1.4;
- Cisco Meraki MG Cellular Gateways: 26.1.4;
- Cisco Meraki MR Wireless Access Points: 30.7.3, 31.1.8.1, 32.2.5 y 33.1.3;
- Cisco Meraki MS Series Switches: 18.1.9, IOS XE 17.15.6, IOS XE 17.18.4.1 e IOS XE 26.1.2;
- Cisco Meraki MV Smart Cameras: 8.0;
- Cisco Meraki MX Security and SD-WAN Appliances: 18.107.14, 19.2.9, 26.1.7 y 26.2.3.
Cisco ha publicado 7 vulnerabilidades: 1 de severidad crítica y 6 de severidad alta que, en caso de ser explotadas, podrían permitir el acceso no autorizado a recursos, la corrupción de memoria, la inyección de comandos, eludir controles de seguridad o provocar una denegación de servicio (DoS).
Actualizar los productos afectados a las siguientes versiones:
- Cisco Meraki Campus Gateway 32.2: 32.2.5, prevista para finales de octubre de 2026;
- Cisco Meraki Campus Gateway 33.1: 33.1.4, prevista para mediados de noviembre de 2026;
- Cisco Meraki MG 26.1: 26.1.4;
- Cisco Meraki MR: 30.7.3, 31.1.8.1, 32.2.5 o 33.1.3, según la rama;
- Cisco Meraki MS: 18.1.9, IOS XE 17.15.6, 17.18.4.1 o 26.1.2;
- Cisco Meraki MV: 8.0;
- Cisco Meraki MX: 18.107.14, 19.2.9, 26.1.7 o 26.2.3, según la rama.
Cuando una versión corregida todavía no esté disponible, debe instalarse en cuanto sea publicada. No existen soluciones alternativas que corrijan estas vulnerabilidades.
CVE-2026-76464: agrupa vulnerabilidades relacionadas con una limitación inadecuada de las operaciones realizadas sobre búferes de memoria, entre ellas desbordamientos y escrituras fuera de límites. Su explotación podría provocar la corrupción de memoria y afectar a la confidencialidad, integridad y disponibilidad del dispositivo.