VENCERT // SISTEMA NACIONAL DE GESTIÓN DE INCIDENTES TELEMÁTICOS
incidentes.vencert@suscerte.gob.ve
ALERTAS Y VULNERABILIDADES

Alertas y Vulnerabilidades

Últimas vulnerabilidades y amenazas identificadas por VENCERT

Inicio / VENCERT / Alertas y Vulnerabilidades
Filtrar: Todas Crítica Alta Media Baja
🔴 Crítica VENCERT-2026-119 CVE-2026-103409 Activa
Oct. 28, 2026

Vulnerabilidad de Inyección de Comandos y Desbordamiento por Validación Deficiente de Parámetros en Servidores Web (CVE-2026-103409)

Se ha identificado una vulnerabilidad crítica de Inyección SQL Ciega (Blind SQL Injection, clasificada como CWE-89) en el software de gestión y el módulo de autenticación de usuarios (User Authentication Module) de Futurum Software. La deficiencia se origina por la falta de una validación y desinfección adecuada de las entradas proporcionadas por el usuario, permitiendo que atacantes externos manipulen las consultas ejecutadas en la base de datos.

Sistemas afectados: Componentes de Software / Servidor y Subsistemas Asociados: todas las versiones del núcleo del producto anteriores a las actualizaciones acumulativas de seguridad publicadas por el fabricante y modulos de extensión de manejo de solicitudes integrados en ramas anteriores a las versiones estables corregidas.

🔴 Crítica VENCERT-2026-110 CVE-2026-105420 Activa
Oct. 28, 2026

Salto de Directorio (Path Traversal) y Ejecución Remota de Código en Wing FTP Server (CVE-2026-105420)

Se ha identificado una vulnerabilidad crítica de salto de directorio (Path Traversal, clasificada como CWE-22) en Wing FTP Server. El servidor no verifica correctamente la carpeta base del usuario, lo que permite que un atacante con privilegios administrativos agregue directorios de usuario mediante scripts y logre escapar del directorio raíz restringido.

Sistemas afectados: Wing FTP Server (Wing Soft Technology): Todas las versiones anteriores a la 8.2.6.

🟠 Alta VENCERT-2026-114 CVE-2026-118260 Activa
Oct. 28, 2026

Consumo Descontrolado de Recursos en el Middleware BodyDump del Framework Echo (CVE-2026-118260)

Se ha identificado una vulnerabilidad de consumo descontrolado de recursos y asignación de memoria sin límites (Uncontrolled Resource Consumption / Allocation of Resources Without Limits, clasificadas como CWE-400 y CWE-770) en el marco de trabajo web Echo para Go. La falla se localiza en el middleware optativo BodyDump, el cual lee por completo los cuerpos de las solicitudes en memoria antes de que se ejecuten los controladores y retiene de forma indefinida los cuerpos completos de las respuest

Sistemas afectados: Framework Go Echo (Labstack Echo): Versiones de la rama v4 comprendidas desde la 4.0.0 hasta la 4.16.0 (el middleware BodyDump no viene habilitado por defecto, pero afecta a cualquier aplicación que lo haya activado explícitamente).

🔴 Crítica VENCERT-2026-105 CVE-2026-118375 Activa
Oct. 28, 2026

Desbordamiento de Búfer Basado en Pila en llama.cpp (CVE-2026-118375)

Se ha descubierto una vulnerabilidad crítica de escritura fuera de límites (out-of-bounds write, clasificada como CWE-787) en la función rdma_recv() del transporte RDMA de ggml-rpc dentro de llama.cpp (versiones desde la b8841 hasta antes de la b11865). Esta falla permite que un par no autenticado sobrescriba la pila (stack) del servidor RPC.

Sistemas afectados: llama.cpp: Versiones comprendidas desde la compilación b8841 hasta la anterior a la b11865 que utilicen el transporte RDMA de ggml-rpc.

🔴 Crítica VENCERT-2026-118 CVE-2026-14571 Activa
Oct. 28, 2026

Vulnerabilidad de Inyección de Comandos / Procesamiento Inseguro en Sistemas Afectados (CVE-2026-14571)

Se ha identificado una vulnerabilidad bajo el identificador CVE-2026-14571 que afecta a los mecanismos de control y validación de entradas. Esta deficiencia permite que un atacante con o sin autenticación previa manipule parámetros específicos para comprometer la integridad y confidencialidad del servicio subyacente.

Sistemas afectados: Asterisk Open Source: rama 20.x: Versiones anteriores a la 20.20.1, rama 21.x: Versiones anteriores a la 21.12.3, ama 22.x: Versiones anteriores a la 22.10.1, rama 23.x: Versiones anteriores a la 23.4.1 Certified Asterisk: versiones de la rama 20 anteriores a 20.7-cert11, versiones de la rama 22 anteriores a 22.8-cert3

🔴 Crítica VENCERT-2026-117 CVE-2026-63190 Activa
Oct. 28, 2026

Bypass de Autenticación y Ejecución de Scripts de Depuración sin Autorización en FearlessCMS (CVE-2026-63190)

Se ha descubierto una vulnerabilidad crítica compuesta por múltiples fallas de seguridad en FearlessCMS (versiones anteriores a la 0.1.4). Cinco scripts de depuración y prueba ubicados en el directorio admin/ realizan operaciones privilegiadas sin verificar la autenticación del usuario mediante isLoggedIn(), omitiendo además controles contra falsificación de solicitudes (CSRF) y permitiendo saltos de directorio (path traversal, CWE-22, CWE-288, CWE-306). Esto permite que un atacante utilice URIs

Sistemas afectados: FearlessCMS: Todas las versiones anteriores a la 0.1.4.

🟠 Alta VENCERT-2026-112 CVE-2026-115644 Activa
Oct. 28, 2026

Bypass de Autenticación en la API REST de Administración de Apache Kafka Connect (CVE-2026-115644)

Se ha identificado una vulnerabilidad de omisión de autenticación (Authentication Bypass, clasificada por omisión de extensiones REST aplicadas) en la API REST de administración de Apache Kafka Connect. Esta falla ocurre específicamente cuando la propiedad admin.listeners se configura de manera explícita utilizando un puerto o listener separado del principal (listeners). Como resultado, el punto final de registros (logger endpoint) de administración acepta solicitudes de lectura y escritura sin

Sistemas afectados: Apache Kafka (Apache Kafka Connect): Versiones de la plataforma que admiten la configuración de oyentes administrativos separados y que se encuentran en ramas anteriores a las versiones corregidas por la Fundación Apache (versiones anteriores a 4.0.0 u otras ramas designadas en los advisories oficiales).