VENCERT // SISTEMA NACIONAL DE GESTIÓN DE INCIDENTES TELEMÁTICOS
incidentes.vencert@suscerte.gob.ve
ALERTAS Y VULNERABILIDADES

Alertas y Vulnerabilidades

Últimas vulnerabilidades y amenazas identificadas por VENCERT

Inicio / VENCERT / Alertas y Vulnerabilidades
Filtrar: Todas Crítica Alta Media Baja
🟠 Alta VENCERT-2026-129 CVE-2026-96767 Activa
Oct. 29, 2026

Vulnerabilidad de Stored Cross-Site Scripting en NEX-Forms via Content-Type Header (CVE-2026-96767)

El plugin NEX-Forms – Ultimate Forms Plugin for WordPress (desarrollado por webaways) es vulnerable a Cross-Site Scripting (XSS) Almacenado (Stored XSS) en versiones hasta la 9.3.2 inclusive. La falla se debe a una sanitización de entradas y un escape de salidas insuficientes al procesar la cabecera Content-Type. Esto permite que atacantes remotos no autenticados inyecten scripts web arbitrarios en páginas que se ejecutan cada vez que un usuario accede a la página comprometida.

Sistemas afectados: Plugin de WordPress: NEX-Forms – Ultimate Forms Plugin for WordPress (nex-forms-express-wp-form-builder). Versiones vulnerables: Todas las versiones iguales o inferiores a la 9.3.2 (<= 9.3.2).

🟠 Alta VENCERT-2026-129 CVE-2026-96741 Activa
Oct. 29, 2026

Vulnerabilidad de Stored Cross-Site Scripting en DSGVO All in one for WP (CVE-2026-96741)

El plugin DSGVO All in one for WP para WordPress (desarrollado by mlfactory) es vulnerable a Cross-Site Scripting Almacenado (Stored XSS) a través del contenido de los comentarios (Comment Content) mediante la corrupción del búfer de salida (Output Buffer Regex Corruption) en todas las versiones hasta la 5.0 inclusive. La vulnerabilidad se origina debido a una sanitización de entradas y un escape de salidas insuficientes.

Sistemas afectados: Plugin de WordPress: DSGVO All in one for WP (dsgvo-all-in-one-for-wp). Versiones vulnerables: Todas las versiones iguales o inferiores a la 5.0 (<= 5.0).

🟠 Alta VENCERT-2026-130 CVE-2026-96669 Activa
Oct. 29, 2026

Cross-Site Scripting Almacenado en Plugin "Food Store" para WordPress (CVE-2026-96669)

Se ha identificado una vulnerabilidad de Cross-Site Scripting (XSS) almacenado en el plugin "Food Store – Online Food Delivery & Pickup" para WordPress. La falla se origina por un saneamiento insuficiente de la entrada y una falta de escape en la salida del parámetro de la cookie service_type.

Sistemas afectados: Software Afectado: Plugin WordPress "Food Store – Online Food Delivery & Pickup" en todas sus versiones hasta la 1.5.5 (inclusive).

🟠 Alta VENCERT-2026-128 CVE-2026-62374 Activa
Oct. 29, 2026

Omisión Silenciosa de Divulgaciones Manipuladas en SD JWT JS (CVE-2026-62374)

Se ha identificado una vulnerabilidad de manejo incorrecto de codificación Unicode y de condiciones inusuales (clasificada como CWE-176 y CWE-754) en SD JWT JS, una implementación en JavaScript de la especificación Selective Disclosure JWT (SD-JWT) de la OpenWallet Foundation. En las versiones afectadas, los paquetes @sd-jwt/decode (utilizado también por @sd-jwt/core) descartan silenciosamente en lugar de rechazar una divulgación (Disclosure) manipulada cuyo resumen (digest) ya no coincide con l

Sistemas afectados: OpenWallet Foundation @sd-jwt/core: versiones 0.19.0 y anteriores (corregido en la versión 0.20.0). OpenWallet Foundation @sd-jwt/decode: versiones 0.19.0 y anteriores (paquete independiente sin versión parcheada identificada de forma aislada).

🔴 Crítica VENCERT-2026-131 CVE-2026-96666 Activa
Oct. 29, 2026

Vulnerabilidad Crítica en el Subsistema de Procesamiento (CVE-2026-96666)

El plugin Schema App Structured Data para WordPress (versiones hasta la 2.3.2 incluida) presenta una vulnerabilidad de Cross-Site Scripting (XSS) Almacenado (CWE-79). La falla ocurre por una sanitización de entrada y un escape de salida insuficientes en el filtro de salida de la opción "Remove Microdata". Esto permite a atacantes no autenticados inyectar scripts web arbitrarios a través del contenido de los comentarios. La ejecución requiere que el administrador tenga activada la opción "Remove

Sistemas afectados: Software / Hardware Afectado: Plugin Schema App Structured Data para WordPress en versiones <= 2.3.2.