VENCERT // SISTEMA NACIONAL DE GESTIÓN DE INCIDENTES TELEMÁTICOS
incidentes.vencert@suscerte.gob.ve
ALERTAS Y VULNERABILIDADES

Alertas y Vulnerabilidades

Últimas vulnerabilidades y amenazas identificadas por VENCERT

Inicio / VENCERT / Alertas y Vulnerabilidades
Filtrar: Todas Crítica Alta Media Baja
🟠 Alta VENCERT-2026-150 CVE-2026-105978 Activa
Nov. 3, 2026

Inyección de Comandos en las Funciones de Control de Gestión de Routers Welotec TK (CVE-2026-105978)

Los routers industriales y de telemática de Welotec (series TK) contienen una vulnerabilidad de tipo Inyección de Comandos en el Sistema Operativo (Improper Neutralization of Special Elements used in an OS Command o CWE-78), originada por una validación de entrada insuficiente en las funciones web de control de gestión.

Sistemas afectados: • Welotec TK100 (Versiones anteriores a 3.5.116). • Welotec TK500-v2 (Versiones anteriores a 1.0.124). • Welotec TK500-v3 (Versiones anteriores a 1.0.123).

🟠 Alta VENCERT-2026-149 CVE-2026-121578 Activa
Nov. 3, 2026

Vulnerabilidad de Cross-Site Scripting Almacenado en Amidaware Tactical RMM ( CVE-2026-121578)

Amidaware Tactical RMM en sus versiones anteriores o iguales a la 1.6.2 contiene una vulnerabilidad de Cross-Site Scripting Almacenado (Stored XSS o CWE-79), provocada por una validación de entrada o una codificación de salida deficiente en diversos campos del sistema. Esto permite que código HTML o JavaScript malicioso sea almacenado directamente en la base de datos de la plataforma.

Sistemas afectados: Amidaware Tactical RMM (Versiones < 1.6.2)

🟠 Alta VENCERT-2026-142 CVE-2026-94349 Activa
Nov. 2, 2026

Inyección de Comandos en el Sistema Operativo en Dell OpenManage Enterprise (CVE-2026-943499

Dell OpenManage Enterprise en sus versiones previas a la 4.8.0 contiene una vulnerabilidad de tipo Inyección de Comandos en el Sistema Operativo (Improper Neutralization of Special Elements used in an OS Command o CWE-78), provocada por una sanitización o neutralización deficiente de elementos especiales introducidos por los usuarios.

Sistemas afectados: Dell OpenManage Enterprise (Versiones anteriores a 4.8.0)

🟠 Alta VENCERT-2026-141 CVE-2026-81938 Activa
Nov. 2, 2026

Lector de archivos arbitrarios vía configuración de Alertmanager en Grafana Mimir (CVE-2026-81938)

El Alertmanager de Grafana Mimir cuenta con mecanismos de validación diseñados para rechazar configuraciones de receptores provistas por los inquilinos (tenants) que hacen referencia a archivos locales. Sin embargo, esta validación omitió dos configuraciones clave del cliente HTTP: http_headers.<name>.file y basic_auth.username_file. Esto permite que un usuario con privilegios para modificar su configuración apunte dichos campos a cualquier archivo del sistema operativo que sea legible por el pr

Sistemas afectados: Grafana Mimir a las versiones 3.1.7 o 3.2.2 (o superiores). Grafana Enterprise Metrics (GEM) a la versión 2.17.20 o superior.

🟠 Alta VENCERT-2026-130 CVE-2026-96669 Activa
Oct. 29, 2026

Cross-Site Scripting Almacenado en Plugin "Food Store" para WordPress (CVE-2026-96669)

Se ha identificado una vulnerabilidad de Cross-Site Scripting (XSS) almacenado en el plugin "Food Store – Online Food Delivery & Pickup" para WordPress. La falla se origina por un saneamiento insuficiente de la entrada y una falta de escape en la salida del parámetro de la cookie service_type.

Sistemas afectados: Software Afectado: Plugin WordPress "Food Store – Online Food Delivery & Pickup" en todas sus versiones hasta la 1.5.5 (inclusive).

🟠 Alta VENCERT-2026-129 CVE-2026-96767 Activa
Oct. 29, 2026

Vulnerabilidad de Stored Cross-Site Scripting en NEX-Forms via Content-Type Header (CVE-2026-96767)

El plugin NEX-Forms – Ultimate Forms Plugin for WordPress (desarrollado por webaways) es vulnerable a Cross-Site Scripting (XSS) Almacenado (Stored XSS) en versiones hasta la 9.3.2 inclusive. La falla se debe a una sanitización de entradas y un escape de salidas insuficientes al procesar la cabecera Content-Type. Esto permite que atacantes remotos no autenticados inyecten scripts web arbitrarios en páginas que se ejecutan cada vez que un usuario accede a la página comprometida.

Sistemas afectados: Plugin de WordPress: NEX-Forms – Ultimate Forms Plugin for WordPress (nex-forms-express-wp-form-builder). Versiones vulnerables: Todas las versiones iguales o inferiores a la 9.3.2 (<= 9.3.2).

🟠 Alta VENCERT-2026-128 CVE-2026-62374 Activa
Oct. 29, 2026

Omisión Silenciosa de Divulgaciones Manipuladas en SD JWT JS (CVE-2026-62374)

Se ha identificado una vulnerabilidad de manejo incorrecto de codificación Unicode y de condiciones inusuales (clasificada como CWE-176 y CWE-754) en SD JWT JS, una implementación en JavaScript de la especificación Selective Disclosure JWT (SD-JWT) de la OpenWallet Foundation. En las versiones afectadas, los paquetes @sd-jwt/decode (utilizado también por @sd-jwt/core) descartan silenciosamente en lugar de rechazar una divulgación (Disclosure) manipulada cuyo resumen (digest) ya no coincide con l

Sistemas afectados: OpenWallet Foundation @sd-jwt/core: versiones 0.19.0 y anteriores (corregido en la versión 0.20.0). OpenWallet Foundation @sd-jwt/decode: versiones 0.19.0 y anteriores (paquete independiente sin versión parcheada identificada de forma aislada).