Cinco nuevos avisos de seguridad y 2 actualizaciones

Ivanti ha facilitado el siguiente detalle de las vulnerabilidades críticas:

• CVE-2026-106042: vulnerabilidad de control externo del nombre o la ruta de archivos en Ivanti Xtraction. Un atacante remoto autenticado podría redirigir las solicitudes generadas por la aplicación hacia un servidor bajo su control y obtener las credenciales del conector de Endpoint Manager Mobile transmitidas por Xtraction.
• CVE-2026-109412: vulnerabilidad causada por la exposición de una función peligrosa en Ivanti Neurons Patch for Intune. Un atacante remoto autenticado podría aprovecharla para obtener información confidencial de autenticación.
• CVE-2026-104935: vulnerabilidad de omisión de autenticación mediante suplantación en Ivanti Connect Secure. Un atacante remoto sin credenciales podría eludir el inicio de sesión y ejecutar comandos arbitrarios en el dispositivo afectado. Ivanti ha confirmado que la vulnerabilidad está siendo explotada.

CVE-2026-111497: escritura fuera de límites en el decodificador Brotli. Al procesar datos comprimidos manipulados, el decodificador puede escribir fuera de un búfer interno y corromper la memoria adyacente. Un atacante remoto sin autenticación que consiga que se procesen esos datos podría acceder a información sensible de la memoria, provocar la interrupción del servicio o, potencialmente, ejecutar código arbitrario. 

• CVE-2026-108046: vulnerabilidad de referencia directa a objetos inseguros (IDOR) en Alosuite debido a comprobaciones de autorización insuficientes al procesar identificadores de objetos. Al modificar el identificador proporcionado al endpoint ‘/Companies/Edit/{id}’, un atacante puede acceder a información asociada a otras empresas o usuarios sin la autorización correspondiente. La vulnerabilidad permite a atacantes remotos no autenticados enumerar identificadores de objetos válidos y recuperar información que debería estar restringida a usuarios autorizados, lo que provoca la divulgación no autorizada de datos de la aplicación.
• CVE-2026-108047: vulnerabilidad de autorización inadecuada en la funcionalidad de invitación de usuarios de Alosuite. El endpoint ‘/Requests/userInvitation’ no valida adecuadamente la asignación de privilegios en el servidor, lo que permite a un atacante manipular los parámetros de invitación durante el proceso de solicitud. Al interceptar y modificar una solicitud de invitación legítima, un atacante no autenticado puede asignar privilegios administrativos a un nuevo usuario invitado sin las comprobaciones de autorización correspondientes. Una explotación satisfactoria provoca una escalada de privilegios no autorizada que permite el acceso administrativo completo a la aplicación afectada.
• CVE-2026-108048: vulnerabilidad por ausencia de limitación de solicitudes en la funcionalidad de recuperación de contraseña de Alosuite. El endpoint ‘/Account/resetPwd’ no aplica restricciones adecuadas sobre el número o la frecuencia de las solicitudes de restablecimiento de contraseña enviadas para una misma cuenta. Como resultado, un atacante remoto puede invocar repetidamente el endpoint para generar un número ilimitado de correos de restablecimiento de contraseña dirigidos a un usuario, provocando una inundación de correos y permitiendo el abuso del mecanismo de recuperación de contraseña. La ausencia de limitación de solicitudes u otros controles contra la automatización puede perjudicar a los usuarios legítimos, consumir recursos de la aplicación y de la infraestructura de correo y facilitar ataques automatizados contra el servicio de recuperación de contraseña.
• CVE-2026-108049: vulnerabilidad de clickjacking en la aplicación web Alosuite. La interfaz de inicio de sesión afectada puede incrustarse en una página web controlada por un atacante porque no implementa mecanismos de protección adecuados para la interfaz de usuario, como la cabecera X-Frame-Options o una directiva Content-Security-Policy (frame-ancestors) apropiada. Al engañar a una víctima para que interactúe con una página web maliciosa, un atacante puede inducir acciones no deseadas dentro de la aplicación Alosuite incrustada en el marco, lo que podría comprometer la integridad de las interacciones del usuario y facilitar otros ataques contra usuarios autenticados
• CVE-2026-108050 a CVE-2026-108060: vulnerabilidad de Cross-Site Scripting (XSS) almacenado en Alosuite que afecta a la funcionalidad de albaranes. la neutralización y codificación insuficientes de los campos indicados permiten almacenar JavaScript que se ejecuta en el navegador de otros usuarios al visualizar los registros afectados. La explotación requiere acceso autenticado a la funcionalidad afectada. El código puede alterar el contenido mostrado y realizar acciones en el contexto de la sesión de la víctima. La relación de funcionalidades, parámetros y endpoints es la siguiente:
  • CVE-2026-108050: ReferenceOtherParty en ‘/Documents/DeliveryNotes/Edit/{id}’;
  • CVE-2026-108051: Nombre en ‘/Articulos/Create’;
  • CVE-2026-108052: Codigo en ‘/CategoriasFicheros/Edit/{id}’;
  • CVE-2026-108053: Nombre en ‘/CuentasCorrientes/Create’;
  • CVE-2026-108054: Nombre en ‘/Familias/Edit/{id}’;
  • CVE-2026-108055: Nombre en ‘/Inmuebles/Create’;
  • CVE-2026-108056: NombrePF en ‘/Empresas/Create’;
  • CVE-2026-108057: Nombre en ‘/PlantillasPdf/Edit/1273129’;
  • CVE-2026-108058: Nombre en ‘/PlantillasMail/Edit’;
  • CVE-2026-108059: Observaciones en ‘/Terceros/Create’;
  • CVE-2026-108060: Nombre en ‘/Trabajadores/Create’.

Las siguientes vulnerabilidades afectan al módem y provocan escrituras fuera de límites. Estas podrían permitir una elevación remota de privilegios cuando el dispositivo se conecte a una estación base maliciosa controlada por el atacante, sin privilegios adicionales ni interacción del usuario:

• CVE-2026-20499, CVE-2026-20545 y CVE-2026-20547: ausencia de comprobaciones de límites.
• CVE-2026-20546: comprobación incorrecta de límites.
• CVE-2026-20548: desbordamiento de enteros.
• CVE-2026-20549: validación incorrecta de los datos de entrada.

Ejecución remota de código

• CVE-2026-58868: un desbordamiento de búfer en el montículo de FrameDecoder.cpp permite escribir fuera de límites.
• CVE-2026-58876 y CVE-2026-58936: uso de memoria después de liberarla en componentes del sistema y en png_set_tRNS, respectivamente.

Los 3 fallos podrían permitir ejecutar código remoto sin privilegios adicionales ni interacción del usuario.

Elevación de privilegios

• CVE-2026-55275 y CVE-2026-55283: uso de memoria después de liberarla que podría permitir elevar privilegios remotamente.
• CVE-2026-58984: corrupción de memoria que podría permitir elevar privilegios localmente.
• CVE-2026-53256 y CVE-2026-89774: fallos en Bluetooth del núcleo Linux asociados al uso de conexiones sin conservar adecuadamente las referencias a sus sockets.
• CVE-2026-59044 y CVE-2026-59045: fallos de memoria y concurrencia en pKVM que podrían permitir elevar privilegios localmente.
• CVE-2026-80604: validación insuficiente del tamaño de informes HID, clasificada por Android como elevación de privilegios.
• CVE-2026-20499, CVE-2026-20519, CVE-2026-20520, CVE-2026-20545, CVE-2026-20546, CVE-2026-20547, CVE-2026-20548 y CVE-2026-20549: escrituras fuera de límites en módems MediaTek que podrían permitir elevar privilegios si el equipo se conecta a una estación base controlada por el atacante.

Denegación de servicio y divulgación de información

• CVE-2026-58814 y CVE-2026-58882: desbordamientos de enteros en el tratamiento de mensajes que podrían provocar denegación de servicio remota.
• CVE-2026-59048: lectura fuera de límites en pKVM que podría divulgar información local.

CVE-2026-25285 afecta a un componente de código cerrado de Qualcomm y se clasifica como crítica. El boletín de Android no publica su descripción técnica; no se atribuyen capacidades adicionales no verificadas.

CVE-2026-119314: una inyección de comandos en Active Directory Events Listener permite que un atacante autenticado con pocos privilegios ejecute comandos arbitrarios como SYSTEM en el controlador de dominio que desempeña el rol PDCe. Su explotación podría comprometer ese controlador y la infraestructura de identidades.

CVE-2026-98432: una condición de carrera permite que las opciones de un socket TCP se liberen mientras otro procesador todavía las utiliza, por ejemplo al retransmitir una solicitud o migrar una conexión. Ese uso de memoria liberada podría permitir ejecutar código remoto mediante solicitudes con una sincronización precisa. No requiere autenticación ni interacción del usuario.