Alertas y Vulnerabilidades

Filtrar: Todas Crítica Alta Media Baja

🟡 Media VENCERT-2026-152 CVE-2026-90631 Activa

Nov. 4, 2026

Carga de Documentos Remotos sin Aviso en Apache OpenOffice (CVE-2026-90631)

Apache OpenOffice contiene una vulnerabilidad que permite que un documento remoto sea cargado de forma automática sin mostrar ningún tipo de advertencia o aviso previo al usuario. Esta condición de carga desatendida puede ser aprovechada para provocar la posible fuga de variables de entorno del sistema local hacia servidores externos controlados por un atacante.

Sistemas afectados: • Apache OpenOffice en versiones hasta la 4.1.16

Ver detalles

🟠 Alta VENCERT-2026-149 CVE-2026-121578 Activa

Nov. 3, 2026

Vulnerabilidad de Cross-Site Scripting Almacenado en Amidaware Tactical RMM ( CVE-2026-121578)

Amidaware Tactical RMM en sus versiones anteriores o iguales a la 1.6.2 contiene una vulnerabilidad de Cross-Site Scripting Almacenado (Stored XSS o CWE-79), provocada por una validación de entrada o una codificación de salida deficiente en diversos campos del sistema. Esto permite que código HTML o JavaScript malicioso sea almacenado directamente en la base de datos de la plataforma.

Sistemas afectados: Amidaware Tactical RMM (Versiones < 1.6.2)

Ver detalles

🟢 Baja VENCERT-2026-151 CVE-2026-82154 Activa

Nov. 3, 2026

Uso de Clave Criptográfica Hardcodeada en Dell OS Recovery Tool (CVE-2026-82154)

Dell OS Recovery Tool en sus versiones anteriores a la 2.4.4 contiene una vulnerabilidad de uso de clave criptográfica embebida o fija (Use of Hard-coded Cryptographic Key o CWE-321), lo que implica que el software utiliza una clave estática que no puede ser modificada por el usuario para funciones criptográficas esenciales.

Sistemas afectados: • Dell OS Recovery Tool (Versiones anteriores a 2.4.4)

Ver detalles

🟠 Alta VENCERT-2026-150 CVE-2026-105978 Activa

Nov. 3, 2026

Inyección de Comandos en las Funciones de Control de Gestión de Routers Welotec TK (CVE-2026-105978)

Los routers industriales y de telemática de Welotec (series TK) contienen una vulnerabilidad de tipo Inyección de Comandos en el Sistema Operativo (Improper Neutralization of Special Elements used in an OS Command o CWE-78), originada por una validación de entrada insuficiente en las funciones web de control de gestión.

Sistemas afectados: • Welotec TK100 (Versiones anteriores a 3.5.116). • Welotec TK500-v2 (Versiones anteriores a 1.0.124). • Welotec TK500-v3 (Versiones anteriores a 1.0.123).

Ver detalles

🟡 Media VENCERT-2026-147 CVE-2026-120066 Activa

Nov. 2, 2026

Vulnerabilidad de Fuga de Información y Simulación de Enlaces en el controlador PostgreSQL psqlODBC (CVE-2026-120066)

En sistemas operativos tipo Unix, cuando la opción de registro (logging) se encuentra habilitada, el controlador ODBC de PostgreSQL (psqlODBC) genera sus archivos de log por defecto dentro del directorio temporal /tmp. Estos ficheros se nombran combinando el nombre del programa, el nombre de usuario y el ID de proceso, utilizando permisos predeterminados (típicamente de lectura pública) y siguiendo de forma insegura los enlaces simbólicos al abrir dichos archivos (vulnerabilidad de tipo Link Fol

Sistemas afectados: Controladores PostgreSQL psqlODBC en sistemas tipo Unix anteriores a la versión 18.00.0006

Ver detalles

🟠 Alta VENCERT-2026-141 CVE-2026-81938 Activa

Nov. 2, 2026

Lector de archivos arbitrarios vía configuración de Alertmanager en Grafana Mimir (CVE-2026-81938)

El Alertmanager de Grafana Mimir cuenta con mecanismos de validación diseñados para rechazar configuraciones de receptores provistas por los inquilinos (tenants) que hacen referencia a archivos locales. Sin embargo, esta validación omitió dos configuraciones clave del cliente HTTP: http_headers.<name>.file y basic_auth.username_file. Esto permite que un usuario con privilegios para modificar su configuración apunte dichos campos a cualquier archivo del sistema operativo que sea legible por el pr

Sistemas afectados: Grafana Mimir a las versiones 3.1.7 o 3.2.2 (o superiores). Grafana Enterprise Metrics (GEM) a la versión 2.17.20 o superior.

Ver detalles

🔴 Crítica VENCERT-2026-146 CVE-2026-16305 Activa

Nov. 2, 2026

Ejecución Remota de Código en INFINITT Healthcare System Manager (CVE-2026-16305)

NFINITT Healthcare System Manager (componente clave dentro de INFINITT PACS) contiene una vulnerabilidad crítica derivada de la gestión inadecuada de la generación de código y el uso de entradas controladas por fuentes externas sin la debida sanitización, lo que permite la ejecución remota de código en el sistema afectado.

Sistemas afectados: INFINITT Healthcare System Manager (INFINITT PACS) Versiones 3.0.11.3 a 3.0.11.5 inclusive

Ver detalles

🔴 Crítica VENCERT-2026-143 CVE-2026-16306 Activa

Nov. 2, 2026

Ejecución Remota de Código en el manejador de URI IModular.exe de INFINITT Healthcare System Manager (CVE-2026-16306)

El gestor de sistema de INFINITT Healthcare (INFINITT PACS) contiene una vulnerabilidad de inyección basada en el uso de entradas controladas externamente para seleccionar clases o código (Reflexión Inyectada, CWE-470) y control inadecuado de generación de código (CWE-94). Esto ocurre específicamente a través del manejador de URI personalizado (imodular://) procesado por IModular.exe.

Sistemas afectados: • INFINITT Healthcare System Manager (INFINITT PACS) Versiones 3.0.11.3 a 3.0.11.5 inclusive

Ver detalles

🟡 Media VENCERT-2026-145 CVE-2026-91911 Activa

Nov. 2, 2026

Vulnerabilidad de Path Traversal en Dell OpenManage Enterprise (CVE-2026-91911)

Dell OpenManage Enterprise en sus versiones anteriores a la 4.8.0 contiene una vulnerabilidad de limitación inadecuada de una ruta a un directorio restringido (Path Traversal o CWE-22), originada por un filtrado deficiente de las rutas de archivos proporcionadas por los usuarios.

Sistemas afectados: • Dell OpenManage Enterprise (Versiones anteriores a 4.8.0)

Ver detalles

🟠 Alta VENCERT-2026-142 CVE-2026-94349 Activa

Nov. 2, 2026

Inyección de Comandos en el Sistema Operativo en Dell OpenManage Enterprise (CVE-2026-943499

Dell OpenManage Enterprise en sus versiones previas a la 4.8.0 contiene una vulnerabilidad de tipo Inyección de Comandos en el Sistema Operativo (Improper Neutralization of Special Elements used in an OS Command o CWE-78), provocada por una sanitización o neutralización deficiente de elementos especiales introducidos por los usuarios.

Sistemas afectados: Dell OpenManage Enterprise (Versiones anteriores a 4.8.0)

Ver detalles