Cinco nuevos avisos de seguridad
Índice
- Server-Side Request Forgery en la exportación a PDF de Wegow
- Inyección SQL en Profleet de TSG
- Omisión de autenticación mediante suplantación en Remote Support de BeyondTrust
- Múltiples vulnerabilidades en Next.js de Vercel
- Gestión incorrecta de mayúsculas y minúsculas en Wazuh Manager
Server-Side Request Forgery en la exportación a PDF de Wegow
Funcionalidad de exportación a PDF de gráficos de ventas de entradas del portal backoffice.wegow.com.
INCIBE ha coordinado la publicación de una vulnerabilidad de tipo Server-Side Request Forgery (SSRF) reportada en la funcionalidad de exportación a PDF de Wegow de Wegow Technologies. La vulnerabilidad ha sido descubierta por Cosme Vázquez Tomé.
A esta vulnerabilidad se le ha asignado el siguiente identificador CVE. La puntuación base y el vector CVSS v4.0 están pendientes de validación:
- CVE-2026-101300: CVSS V4: 0 7.1 | CVSS:4.0 AV:N/AC:L/AT:N/PR:L/UI:N/VC:N/VI:H/VA:N/SC:L/SI:L/SA:N | CWE-918
No hay solución reportada por el momento.
CVE-2026-101300: Server-Side Request Forgery (SSRF) reportada en la funcionalidad de exportación a PDF de gráficos de ventas de entradas de Wegow. Según el informe, un usuario autenticado con una cuenta de promotor puede manipular el parámetro <svg> de la solicitud POST generada al seleccionar Descargar PDF. El contenido se procesa en el servicio export.highcharts.com, que realiza peticiones HTTP a recursos externos controlados por el atacante e incorpora sus respuestas al PDF generado. El comportamiento descrito permite utilizar el servicio de exportación como intermediario para dichas peticiones.
Inyección SQL en Profleet de TSG
TSG Profleet versión 12.004.01.
INCIBE ha coordinado la publicación de una vulnerabilidad de severidad crítica, que afecta a Profleet de TSG, proveedor de soluciones para el abastecimiento de combustible de flotas comerciales e industriales. La vulnerabilidad ha sido descubierta por Rubén Barrios.
A esta vulnerabilidad se le ha asignado el siguiente código, puntuación base CVSS v4.0, vector del CVSS y el tipo de vulnerabilidad CWE:
- CVE-2026-111472: CVSS v4.0: 9.3 | CVSS AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N. | CWE-89
No hay solución reportada por el momento.
CVE-2026-111472: ha sido encontrada una vulnerabilidad de Inyección SQL en TSG Profleet. La vulnerabilidad podría permitir a un atacante recuperar, crear, actualizar y borrar la base de datos enviando una petición GET usando el parámetro ‘Identificación’ del enpoint ‘/cgi-bin/index.php’.
Omisión de autenticación mediante suplantación en Remote Support de BeyondTrust
BeyondTrust Remote Support, todas las versiones hasta la 26.2.3, inclusive.
BeyondTrust ha publicado una vulnerabilidad de severidad crítica que, en caso de ser explotada, podría permitir a un atacante remoto realizar operaciones sobre los archivos de un dispositivo afectado.
BeyondTrust aplicó el parche a todos los clientes de Remote Support SaaS el 9 de octubre de 2026.
Los clientes con instalaciones propias deben aplicar manualmente el parche BT26-05-RS si no tienen habilitadas las actualizaciones automáticas.
Las instalaciones anteriores a la versión 24.3.1 deben actualizarse primero a una versión compatible comprendida entre la 24.3.1 y la 26.2.3 para poder instalar el parche.
CVE-2026-102764: vulnerabilidad de validación incorrecta del origen en un componente interno de mensajería de Remote Support. El componente no comprueba adecuadamente la procedencia de los mensajes recibidos, lo que podría permitir a un atacante remoto realizar operaciones no autorizadas sobre los archivos del dispositivo.
Múltiples vulnerabilidades en Next.js de Vercel
Las siguientes versiones y configuraciones de Next.js:
- versiones desde la 16.0.0 hasta la 16.4.0, cuando se utiliza App Router con Cache Components y una función use cache devuelve varios vectores tipados;
- versiones desde la 10.0.0 hasta la 15.5.27 y versiones posteriores a la 16.0.0 hasta la 16.4.0, cuando la API Image Optimization procesa imágenes SVG en sistemas Linux basados en glibc;
- versiones desde la 13.0.0 hasta la 15.5.27 y desde la 16.0.0 hasta la 16.4.0, cuando se utiliza App Router con al menos una Server Action.
Vercel ha publicado 3 vulnerabilidades en Next.js: 2 de severidad crítica y una de severidad alta que, en caso de ser explotadas, podrían permitir a un atacante remoto no autenticado ejecutar código o provocar una denegación de servicio (DoS).
Actualizar Next.js a una de las siguientes versiones:
- Next.js 15.x: versión 15.5.28;
- Next.js 16.x: versión 16.4.1.
Como medida temporal para la vulnerabilidad de Image Optimization, se puede utilizar sharp 0.35.5 o posterior. La actualización de Next.js instala automáticamente una versión corregida de esta dependencia.
- GHSA-673q-mjm6-r5xr: vulnerabilidad en aplicaciones que utilizan App Router con Cache Components. Cuando una función use cache devuelve varios vectores tipados, un atacante remoto no autenticado podría ejecutar código en el servidor. Actualmente no tiene asignado un identificador CVE.
- CVE-2026-96889: vulnerabilidad de memoria en una librería utilizada por la API Image Optimization. El procesamiento de imágenes SVG especialmente manipuladas en sistemas Linux basados en glibc podría permitir la ejecución remota de código.
Gestión incorrecta de mayúsculas y minúsculas en Wazuh Manager
Wazuh Manager, versiones desde la 4.14.3, inclusive, pero anteriores a la 4.14.8.
namd0ng y vikman90 han informado sobre una vulnerabilidad de severidad crítica que, en caso de ser explotada, podría permitir a un usuario autenticado ejecutar comandos con privilegios de root en el servidor Wazuh Manager.
Actualizar Wazuh Manager a la versión 4.14.8 o posterior.
CVE-2026-74041: vulnerabilidad provocada por diferencias en el tratamiento de mayúsculas y minúsculas entre el validador de ossec.conf y el componente wazuh-logcollector. Un usuario autenticado con el permiso manager:update_config podría introducir una directiva LOG_FORMAT escrita en mayúsculas para eludir la validación de comandos remotos. El comando sería ejecutado con privilegios de root cuando se recargase el servicio.