Siete nuevos avisos de seguridad

CVE-2026-14851: vulnerabilidad relacionada con la exposición de información confidencial en la aplicación web de facturación a clientes, que expone información de identificación personal (PII) y datos financieros, incluidos nombres de clientes, direcciones, números de factura, información de pago y datos fiscales, a personas no autorizadas. El problema se debe a la falta de comprobaciones de autorización en el punto final encargado de servir los archivos PDF de las facturas. Además, algunas URL de documentos de facturación parecen ser accesibles públicamente a través de los motores de búsqueda, lo que deja al descubierto rutas de archivos confidenciales. La explotación exitosa de esta vulnerabilidad podría permitir a un atacante acceder a datos a los que no debería tener acceso, así como predecir identificadores para acceder a información aún más confidencial.

Microsoft ha facilitado el siguiente detalle de las vulnerabilidades críticas:

• 65 vulnerabilidades podrían permitir la ejecución remota de código. Afectan, entre otros componentes, a Excel, Outlook, Word, PowerPoint, Visio, Exchange Server, Hyper-V, DHCP, Servicios de Escritorio remoto, Windows Message Queuing, Windows Media Foundation, Windows PDF, HEVC Video Extensions, QUIC, Active Directory Domain Services y diferentes componentes gráficos y controladores de Windows.
• 11 vulnerabilidades podrían permitir elevar privilegios. Afectan al kernel de Windows, Windows ALPC, Windows Graphics Kernel, Windows Hyper-V, Microsoft SharePoint, Linux Kernel y los enclaves de seguridad basada en virtualización de Windows.
• Las vulnerabilidades CVE-2026-96222 y CVE-2026-108131 afectan a Active Directory Federation Services y podrían permitir la suplantación de identidad.

Ivanti ha facilitado el siguiente detalle de las vulnerabilidades críticas:

• CVE-2026-106042: vulnerabilidad de control externo del nombre o la ruta de archivos en Ivanti Xtraction. Un atacante remoto autenticado podría redirigir las solicitudes generadas por la aplicación hacia un servidor bajo su control y obtener las credenciales del conector de Endpoint Manager Mobile transmitidas por Xtraction.
• CVE-2026-109412: vulnerabilidad causada por la exposición de una función peligrosa en Ivanti Neurons Patch for Intune. Un atacante remoto autenticado podría aprovecharla para obtener información confidencial de autenticación.
• CVE-2026-104935: vulnerabilidad de omisión de autenticación mediante suplantación en Ivanti Connect Secure. Un atacante remoto sin credenciales podría eludir el inicio de sesión y ejecutar comandos arbitrarios en el dispositivo afectado. Ivanti ha confirmado que la vulnerabilidad está siendo explotada.

• CVE-2026-108070: vulnerabilidad de control de acceso incorrecto en el servidor web de TSplus Remote Access que permite a un atacante remoto no autenticado acceder a recursos internos protegidos mediante rutas manipuladas a través del endpoint /socket.io/JWN/, eludiendo las restricciones de acceso previstas para determinados recursos internos.
• CVE-2026-108071: vulnerabilidad de autenticación incorrecta en el mecanismo de autenticación multifactor (MFA) de TSplus Remote Access. Un atacante remoto autenticado con credenciales válidas del primer factor podría eludir la verificación del segundo factor debido a que el flujo de autenticación no aplica correctamente el resultado de la validación MFA, lo que permitiría completar el inicio de sesión sin disponer de un token válido del segundo factor y acceder a aplicaciones y recursos protegidos.
• CVE-2026-108072: vulnerabilidad de permisos incorrectos en los scripts compartidos de inicio de sesión de TSplus Remote Access. Los archivos autostart1.tscr, ubicados en el directorio compartido de temas, permiten la escritura por parte de usuarios sin privilegios suficientes. Un atacante local con una sesión válida en el servidor de terminales o de escritorio remoto podría modificar estos archivos para que se ejecuten comandos arbitrarios en el contexto de seguridad de otro usuario cuando este inicie una sesión con el mismo tema o modo de funcionamiento. Dependiendo de los privilegios del usuario afectado, la explotación podría permitir el movimiento lateral entre usuarios o una escalada de privilegios. 

• CVE-2026-106173: vulnerabilidad de path traversal en el componente gRPC phQueryMaster de FortiSIEM. Un atacante remoto no autenticado podría enviar paquetes especialmente manipulados para escribir archivos fuera del directorio permitido y ejecutar código o comandos no autorizados.
• CVE-2026-107656: vulnerabilidad de omisión de autenticación mediante una ruta o canal alternativo en la interfaz gráfica de FortiSandbox. Un atacante remoto no autenticado podría enviar solicitudes HTTP especialmente manipuladas para eludir el proceso de autenticación.

• CVE-2026-89111: vulnerabilidad Server-Side Request Forgery (SSRF) en el mecanismo OAuth2 de SAP Cloud SDK for Python. Un atacante que controle el parámetro tenant_subdomain podría redirigir las solicitudes de obtención de tokens a un servidor bajo su control y obtener las credenciales del cliente OAuth2.
• CVE-2026-89110: vulnerabilidad de control de acceso inadecuado en SAP NetWeaver Visual Composer. Un atacante con pocos privilegios podría ejecutar operaciones internas sobre un sistema remoto previamente configurado. Dependiendo de la configuración de la conexión, su explotación podría comprometer completamente dicho sistema.
• CVE-2026-89107: vulnerabilidad de inyección de código en la gestión de reglas de sustitución y validación de SAP S/4HANA. Un usuario autenticado con determinados privilegios podría introducir contenido especialmente manipulado que sería interpretado como código ABAP ejecutable, llegando a comprometer completamente el sistema.
• CVE-2026-89108: vulnerabilidad causada por la ausencia de una comprobación de autorización en el servicio de configuración de SAP Manufacturing Integration and Intelligence. Un usuario autenticado como administrador de SAP XMII y con acceso de red a determinados puntos de conexión podría crear una cuenta administrativa en el servidor de aplicaciones Java subyacente y comprometer el sistema.

CVE-2026-65206: vulnerabilidad de omisión de autenticación en la interfaz IPMI/RMCP+ de HPE Integrated Lights-Out. Un atacante remoto que pueda acceder al servicio e identificar una cuenta habilitada podría establecer una sesión con privilegios de administrador sin conocer su contraseña.