VENCERT // SISTEMA NACIONAL DE GESTIÓN DE INCIDENTES TELEMÁTICOS
incidentes.vencert@suscerte.gob.ve
ALERTAS Y VULNERABILIDADES

Alertas y Vulnerabilidades

Últimas vulnerabilidades y amenazas identificadas por VENCERT

Inicio / VENCERT / Alertas y Vulnerabilidades
Filtrar: Todas Crítica Alta Media Baja
🟠 Alta VENCERT-2026-116 CVE-2026-118245 Activa
Oct. 28, 2026

Vulnerabilidad de Cross-Site Scripting por Búsqueda No Validada en Highcharts Dashboards (CVE-2026-118245)

Se ha identificado una vulnerabilidad de tipo Cross-Site Scripting (XSS, clasificada como CWE-79) en Highcharts Dashboards. La falla se origina debido a que la propiedad chartConstructor realiza una búsqueda no controlada ni validada directamente en el espacio de nombres de Highcharts (unchecked lookup into the Highcharts namespace). Esto permite que un atacante inyecte marcado malicioso y controladores de eventos que se ejecutan automáticamente en el origen de la página web que hospeda el panel

Sistemas afectados: Highcharts (highcharts): versiones anteriores a la 13.1.0. Highcharts Dashboards (@highcharts/dashboards): versiones comprendidas desde la 1.0.0 hasta la 4.2.2.

🟡 Media VENCERT-2026-122 CVE-2026-118510 Activa
Oct. 28, 2026

Falla de Manejo de Tipos en Construcción de Consultas de Relación en MongoDB Integration Library (CVE-2026-118510)

Vulnerabilidad lógica en la biblioteca de integración de MongoDB que genera consultas defectuosas, permitiendo a los usuarios eludir los controles de acceso a los documentos.

Sistemas afectados: Fabricante: MongoDB, Inc. Producto: Biblioteca de integración de MongoDB. Versiones: Versiones vulnerables previas al parche.

🔴 Crítica VENCERT-2026-119 CVE-2026-103409 Activa
Oct. 28, 2026

Vulnerabilidad de Inyección de Comandos y Desbordamiento por Validación Deficiente de Parámetros en Servidores Web (CVE-2026-103409)

Se ha identificado una vulnerabilidad crítica de Inyección SQL Ciega (Blind SQL Injection, clasificada como CWE-89) en el software de gestión y el módulo de autenticación de usuarios (User Authentication Module) de Futurum Software. La deficiencia se origina por la falta de una validación y desinfección adecuada de las entradas proporcionadas por el usuario, permitiendo que atacantes externos manipulen las consultas ejecutadas en la base de datos.

Sistemas afectados: Componentes de Software / Servidor y Subsistemas Asociados: todas las versiones del núcleo del producto anteriores a las actualizaciones acumulativas de seguridad publicadas por el fabricante y modulos de extensión de manejo de solicitudes integrados en ramas anteriores a las versiones estables corregidas.

🟠 Alta VENCERT-2026-115 CVE-2026-118665 Activa
Oct. 28, 2026

Persistencia Errónea de Parámetros de Conexión en el Ejecutor WebSocket Legado de GraphQL Tools (CVE-2026-118665)

Se ha identificado una vulnerabilidad de persistencia de sesión y manejo incorrecto de información sensible (clasificada bajo el error de control de sesión CWE-613) en el paquete ejecutor de WebSocket legado de GraphQL Tools (@graphql-tools/executor-legacy-ws). Específicamente, la función buildWSLegacyExecutor retiene los parámetros de conexión (request.extensions.connectionParams) dentro del objeto de ámbito del cierre (closure-scoped) del ejecutor una vez que se cierra la conexión mediante cle

Sistemas afectados: GraphQL Tools Legacy WebSocket Executor Package (@graphql-tools/executor-legacy-ws): versiones anteriores a la 1.1.36. GraphQL Tools (Paquete principal / otras dependencias asociadas): versiones anteriores a la 9.0.36. (Nota: Las aplicaciones que generan un nuevo ejecutor por cada solicitud individual no se ven afectadas).

🔴 Crítica VENCERT-2026-117 CVE-2026-63190 Activa
Oct. 28, 2026

Bypass de Autenticación y Ejecución de Scripts de Depuración sin Autorización en FearlessCMS (CVE-2026-63190)

Se ha descubierto una vulnerabilidad crítica compuesta por múltiples fallas de seguridad en FearlessCMS (versiones anteriores a la 0.1.4). Cinco scripts de depuración y prueba ubicados en el directorio admin/ realizan operaciones privilegiadas sin verificar la autenticación del usuario mediante isLoggedIn(), omitiendo además controles contra falsificación de solicitudes (CSRF) y permitiendo saltos de directorio (path traversal, CWE-22, CWE-288, CWE-306). Esto permite que un atacante utilice URIs

Sistemas afectados: FearlessCMS: Todas las versiones anteriores a la 0.1.4.

🔴 Crítica VENCERT-2026-102 CVE-2026-93866 Resuelta
Oct. 27, 2026

Vulnerabilidad (Integer Overflow) en WatchGuard Fireware OS Access Portal (CVE-2026-93866)

Se ha descubierto una vulnerabilidad crítica de desbordamiento de enteros (integer overflow, CWE-190) en el manejo de conexiones WebSocket del Access Portal de WatchGuard Fireware OS. Esto permite que un atacante remoto y sin autenticar sobrescriba memoria dinámica (heap buffer overflow, CWE-787) enviando solicitudes manipuladas.

Sistemas afectados: Fireware OS (Rama 2025/2026): Versiones desde la 2025.1 y anteriores a la 2026.4. Fireware OS (Rama 12.x): Versiones desde la 12.0 y anteriores a la 12.12.4. Fireware OS (Modelos específicos T15 / T35): Versiones desde la 12.0 y anteriores a la 12.5.22.

🔴 Crítica VENCERT-2026-107 CVE: CVE-2026-57191 Activa
Oct. 27, 2026

Desbordamiento de Búfer en Pila por Reproducción de Archivos en Asterisk (CVE-2026-57191)

Se ha identificado una vulnerabilidad de desbordamiento de búfer basado en pila (stack-based buffer overflow, clasificada como CWE-121 y CWE-787) en Asterisk. Esta falla ocurre al procesar determinados flujos o archivos multimedia de entrada, permitiendo que un atacante manipule datos para desbordar los límites del búfer reservado en la pila del sistema.

Sistemas afectados: Asterisk Open Source: Versiones anteriores a 20.20.1, 21.12.3, 22.10.1 y 23.4.1. Certified Asterisk: Versiones anteriores a 20.7-cert11 y 22.8-cert3.

🔴 Crítica VENCERT-2026-103 CVE-2026-106076 Activa
Oct. 27, 2026

Inyección SQL y Ejecución Remota de Código Microsoft 365 (CVE-2026-106076)

Se ha identificado una vulnerabilidad crítica de inyección SQL (CWE-89) en Veeam Backup for Microsoft 365. Esta falla permite que un usuario autenticado como organization-transfer peer inyecte comandos SQL maliciosos en la base de datos de configuración del servidor de respaldo de origen.

Sistemas afectados: Veeam Backup for Microsoft 365: Versión 8.5.0.1014 y todas las compilaciones anteriores de la rama v8.