VENCERT // SISTEMA NACIONAL DE GESTIÓN DE INCIDENTES TELEMÁTICOS
incidentes.vencert@suscerte.gob.ve
ALERTAS Y VULNERABILIDADES

Alertas y Vulnerabilidades

Últimas vulnerabilidades y amenazas identificadas por VENCERT

Inicio / VENCERT / Alertas y Vulnerabilidades
Filtrar: Todas Crítica Alta Media Baja
🟠 Alta VENCERT-2026-128 CVE-2026-62374 Activa
Oct. 29, 2026

Omisión Silenciosa de Divulgaciones Manipuladas en SD JWT JS (CVE-2026-62374)

Se ha identificado una vulnerabilidad de manejo incorrecto de codificación Unicode y de condiciones inusuales (clasificada como CWE-176 y CWE-754) en SD JWT JS, una implementación en JavaScript de la especificación Selective Disclosure JWT (SD-JWT) de la OpenWallet Foundation. En las versiones afectadas, los paquetes @sd-jwt/decode (utilizado también por @sd-jwt/core) descartan silenciosamente en lugar de rechazar una divulgación (Disclosure) manipulada cuyo resumen (digest) ya no coincide con l

Sistemas afectados: OpenWallet Foundation @sd-jwt/core: versiones 0.19.0 y anteriores (corregido en la versión 0.20.0). OpenWallet Foundation @sd-jwt/decode: versiones 0.19.0 y anteriores (paquete independiente sin versión parcheada identificada de forma aislada).

🟠 Alta VENCERT-2026-106 CVE-2026-57197 Activa
Oct. 28, 2026

Explotación de Subida de Archivos Peligrosos sin Autenticación en PuMuKIT (CVE-2026-4337)

Se ha identificado una vulnerabilidad de desbordamiento de búfer basado en montículo (heap-based buffer overflow, clasificada como CWE-122 y CWE-787) en el módulo format_ogg_speex de Asterisk. Esta falla se origina por una operación memcpy sin acotar (unbounded memcpy) al procesar paquetes de datos de audio OGG/Speex, lo que provoca la corrupción de la memoria y el bloqueo repentino (crash) del servicio al leer archivos maliciosos o corruptos.

Sistemas afectados: El conjunto de versiones vulnerables de Asterisk (toolkit de telefonía de código abierto y PBX) incluye: versiones de la rama 20.x anteriores a la 20.20.1, versiones de la rama 21.x anteriores a la 21.12.3, versiones de la rama 22.x anteriores a la 22.10.1, versiones de la rama 23.x anteriores a la 23.4.1 y certified Asterisk: versiones anteriores a 20.7-cert11 y 22.8-cert3.

🟠 Alta VENCERT-2026-109 CVE-2026-87103 Activa
Oct. 28, 2026

Validación Incorrecta de Firma Criptográfica y Tokens en Acronis Cyber Protect 17 (CVE-2026-87103)

Se ha identificado una vulnerabilidad de verificación incorrecta de firma criptográfica y validación de tokens (Improper Verification of Cryptographic Signature, clasificada como CWE-347) en Acronis Cyber Protect 17. Esta deficiencia en la validación de tokens permite que un atacante manipule información sensible o consiga la divulgación de datos protegidos.

Sistemas afectados: Acronis Cyber Protect 17: Versiones para plataformas Linux y Windows anteriores al build 42587 (Acronis Cyber Protect 17 Update 1).

🟠 Alta VENCERT-2026-115 CVE-2026-118665 Activa
Oct. 28, 2026

Persistencia Errónea de Parámetros de Conexión en el Ejecutor WebSocket Legado de GraphQL Tools (CVE-2026-118665)

Se ha identificado una vulnerabilidad de persistencia de sesión y manejo incorrecto de información sensible (clasificada bajo el error de control de sesión CWE-613) en el paquete ejecutor de WebSocket legado de GraphQL Tools (@graphql-tools/executor-legacy-ws). Específicamente, la función buildWSLegacyExecutor retiene los parámetros de conexión (request.extensions.connectionParams) dentro del objeto de ámbito del cierre (closure-scoped) del ejecutor una vez que se cierra la conexión mediante cle

Sistemas afectados: GraphQL Tools Legacy WebSocket Executor Package (@graphql-tools/executor-legacy-ws): versiones anteriores a la 1.1.36. GraphQL Tools (Paquete principal / otras dependencias asociadas): versiones anteriores a la 9.0.36. (Nota: Las aplicaciones que generan un nuevo ejecutor por cada solicitud individual no se ven afectadas).

🟠 Alta VENCERT-2026-111 CVE-2026-76418 Activa
Oct. 28, 2026

Vulnerabilidad de Denegación de Servicio en el Servicio SSL VPN de Cisco ASA y FTD (CVE-2026-76418)

Se ha identificado una vulnerabilidad crítica de desreferencia de puntero nulo debido a un valor de retorno no comprobado (Unchecked Return Value to NULL Pointer Dereference, clasificada como CWE-690) en el servicio Remote Access SSL VPN de Cisco Secure Firewall ASA y FTD. Esta falla se origina por errores lógicos cuando se configura autenticación secundaria en un grupo de túneles (tunnel group), permitiendo que un atacante provoque el reinicio repentino del dispositivo.

Sistemas afectados: Cisco Secure Firewall Adaptive Security Appliance (ASA) Software: Múltiples versiones anteriores a las corregidas por el fabricante (incluyendo ramas 9.16 y posteriores según advisories específicos de Cisco). Cisco Secure Firewall Threat Defense (FTD) Software: Versiones de software anteriores a las actualizaciones oficiales provistas por Cisco para mitigar la falla.

🟠 Alta VENCERT-2026-113 CVE-2026-61546 Activa
Oct. 28, 2026

Vulnerabilidad de Reencuadernación de DNS en el Complemento AnkiMCP (CVE-2026-61546)

Se ha identificado una vulnerabilidad relacionada con ataques de reencuadernación de DNS (DNS Rebinding, clasificada bajo las debilidades CWE-346 de error de validación de origen y CWE-350 de dependencia de resolución inversa de DNS) en AnkiMCP, un complemento de Anki que implementa un servidor MCP (Model Context Protocol) para permitir que asistentes de inteligencia artificial interactúen con la aplicación de tarjetas de estudio (flashcards). Esta deficiencia permite que atacantes externos alca

Sistemas afectados: AnkiMCP Addon: Todas las versiones del complemento anteriores a la 0.21.0.

🟠 Alta VENCERT-2026-114 CVE-2026-118260 Activa
Oct. 28, 2026

Consumo Descontrolado de Recursos en el Middleware BodyDump del Framework Echo (CVE-2026-118260)

Se ha identificado una vulnerabilidad de consumo descontrolado de recursos y asignación de memoria sin límites (Uncontrolled Resource Consumption / Allocation of Resources Without Limits, clasificadas como CWE-400 y CWE-770) en el marco de trabajo web Echo para Go. La falla se localiza en el middleware optativo BodyDump, el cual lee por completo los cuerpos de las solicitudes en memoria antes de que se ejecuten los controladores y retiene de forma indefinida los cuerpos completos de las respuest

Sistemas afectados: Framework Go Echo (Labstack Echo): Versiones de la rama v4 comprendidas desde la 4.0.0 hasta la 4.16.0 (el middleware BodyDump no viene habilitado por defecto, pero afecta a cualquier aplicación que lo haya activado explícitamente).