Alertas y Vulnerabilidades

Filtrar: Todas Crítica Alta Media Baja

🔴 Crítica VENCERT-2026-074 CVE-2026-77009 Activa

Sept. 3, 2026

Ejecución Remota de Código (RCE) para Usuarios Autenticados en WatchMan-Site7

Falla en la consola de depuración del plugin que permite a usuarios con bajo nivel de privilegios (Subscriber+) ejecutar comandos del sistema en el servidor.

Sistemas afectados: Plugin WatchMan-Site7 para WordPress (versiones 3.1.1 a 4.2.0)

Ver detalles

🔴 Crítica VENCERT-2026-073 CVE-2026-4357 Activa

Sept. 3, 2026

Subida Arbitraria de Archivos y RCE No Autenticado en Embed HTML5 Game

Vulnerabilidad que permite a cualquier usuario anónimo subir y ejecutar archivos PHP maliciosos (webshells) directamente en el servidor.

Sistemas afectados: Plugin Embed HTML5 Game para WordPress (versiones iguales o inferiores a 1.3)

Ver detalles

🔴 Crítica VENCERT-2026-076 CVE-2026-25153 Activa

Sept. 3, 2026

Ejecución Arbitraria de Código en TechDocs Build Server de Backstage mediante Inyección en mkdocs.yml

Vulnerabilidad de inyección de código (CWE-94) de severidad alta (CVSSv3.1: 7.7) en el paquete @backstage/plugin-techdocs-node del framework Backstage. Cuando TechDocs está configurado en modo de ejecución local (runIn: local), un actor malicioso autenticado con permisos para enviar o modificar el archivo mkdocs.yml de un repositorio puede ejecutar código Python arbitrario en el servidor de compilación de TechDocs a través de directivas maliciosas en la configuración de hooks de MkDocs.

Sistemas afectados: Paquete @backstage/plugin-techdocs-node en versiones anteriores a la 1.13.11 y rama 1.14.x anteriores a la 1.14.1, así como instalaciones de @techdocs/cli dependientes.

Ver detalles

🔴 Crítica VENCERT-2026-075 CVE-2026-18963 Activa

Sept. 2, 2026

Evasión del Mecanismo de Recuperación de Contraseña y Secuestro de Cuentas en Red Hat Build of Keycloak

Vulnerabilidad de severidad crítica (CVSSv3.1: 9.1) catalogada como un mecanismo débil de recuperación de contraseñas olvidadas (CWE-640) en el componente keycloak-services de Red Hat Build of Keycloak. Esta falla permite a un atacante remoto no autenticado forzar el restablecimiento de credenciales de cualquier usuario objetivo sin necesidad de acceder ni interactuar con el enlace de verificación enviado por correo electrónico. Al eludir este control, el atacante puede asignar nuevas credencial

Sistemas afectados: Implementaciones de Red Hat Build of Keycloak que utilicen versiones vulnerables del componente keycloak-services.

Ver detalles

🔴 Crítica VENCERT-2026-069 CVE-2026-19598 Activa

Sept. 1, 2026

Escalada de Privilegios Sin Autenticación en Pods

Vulnerabilidad que permite elevar privilegios a Administrador o sobrescribir credenciales de cualquier usuario.

Sistemas afectados: Plugin Pods – Custom Content Types and Fields para WordPress (versiones 3.3.9 e inferiores)

Ver detalles

🔴 Crítica VENCERT-2026-070 CVE-2026-65643 Activa

Sept. 1, 2026

Escalada Local de Privilegios a Root en Dominios Aparcados de cPanel & WHM

Falla en la gestión de dominios aparcados que permite el control total del servidor (root access).

Sistemas afectados: cPanel & WHM (versiones anteriores a 11.110.0.141, 11.134.0.53, 11.136.0.37, 11.138.0.2 y WP2 11.138.1.7)

Ver detalles

🔴 Crítica VENCERT-2026-066 CVE-2026-82222 Activa

Aug. 31, 2026

RCE por Inyección de Objetos PHP en GiveWP

Vulnerabilidad crítica que permite a un atacante no autenticado lograr ejecución remota de código (RCE) en el servidor web.

Sistemas afectados: Plugin GiveWP para WordPress (versiones 4.16.7.1 e inferiores)

Ver detalles

🔴 Crítica VENCERT-2026-067 CVE-2026-76581 Activa

Aug. 31, 2026

Omisión de Autenticación y Toma de Sitio en WPMU DEV Dashboard

Fallo de omisión de autenticación que permite tomar el control total de sitios WordPress conectados.

Sistemas afectados: Plugin WPMU DEV Dashboard para WordPress (versiones 5.0.1 e inferiores)

Ver detalles

🔴 Crítica VENCERT-2026-068 CVE-2026-19632 Activa

Aug. 31, 2026

Exposición de Credenciales y Secuestro de Cuenta en TranslatePress

Fuga de datos sensibles que expone el enlace completo para restablecer la clave del administrador.

Sistemas afectados: Plugin TranslatePress – Translate Multilingual sites con AI Translation (versiones 3.3.1 e inferiores)

Ver detalles

🔴 Crítica VENCERT-2026-063 CVE-2026-75604 En seguimiento

Aug. 28, 2026

Path Traversal RCE en Next.js

Vulnerabilidad de escape de directorio (Path Traversal) en la caché del servidor que puede derivar en ejecución remota de código (RCE).

Sistemas afectados: Servidores Next.js en Windows que utilizan Pages Router y App Router de manera simultánea. Versiones afectadas: 13.4.0 a 16.0.0.

Ver detalles