Feed de amenazas
Vulnerabilidades explotadas activamente (CISA KEV), las más recientes primero — cada una con su probabilidad de explotación (EPSS) y gravedad (CVSS) para que puedas decidir desde la defensa «¿debo corregir esto ahora?».
Una vulnerabilidad de desbordamiento de búfer en el montón (heap) en Fortinet FortiOS 7.6.0 hasta 7.6.3, FortiOS 7.4.0 hasta 7.4.8, FortiOS 7.2.0 hasta 7.2.11, FortiOS 7.0.0 hasta 7.0.17, FortiOS 6.4 en todas las versiones, FortiSwitchManager 7.2.0 hasta 7.2.6 y FortiSwitchManager 7.0.0 hasta 7.0.5 permite a un atacante ejecutar código o comandos no autorizados mediante paquetes especialmente diseñados.
Añadida a KEV: 2026-09-09Oficial (NVD) →Una escritura fuera de límites en V8 en Google Chrome anterior a la versión 153.0.8010.36 permitía que un atacante remoto ejecutara código arbitrario dentro del sandbox mediante una página HTML especialmente diseñada. (Severidad de seguridad de Chromium: Media)
Añadida a KEV: 2026-09-09Oficial (NVD) →Adobe Commerce está afectado por una vulnerabilidad de neutralización incorrecta de elementos especiales usados en un motor de plantillas que podría resultar en la ejecución de código arbitrario en el contexto del usuario actual. Un atacante podría explotar esta vulnerabilidad para ejecutar código arbitrario. La explotación de este problema no requiere interacción del usuario. El alcance ha cambiado.
Añadida a KEV: 2026-09-08Oficial (NVD) →N-central es vulnerable a una ejecución remota de código sin autenticación previa. Este problema afecta a N-central: versiones anteriores a 2026.3.1.14.
Añadida a KEV: 2026-09-08Oficial (NVD) →Resolución incorrecta de enlaces antes del acceso a archivos ("seguimiento de enlaces") en la pila de Windows Update permite a un atacante autorizado elevar privilegios de forma local.
Añadida a KEV: 2026-09-08Oficial (NVD) →Desbordamiento de búfer en el montón (heap) en ALPC de Windows que permite a un atacante con permisos autorizados elevar privilegios de forma local.
Añadida a KEV: 2026-09-08Oficial (NVD) →Confusión de tipos en V8 en Google Chrome anterior a la versión 152.0.7977.82 permitió a un atacante remoto ejecutar código arbitrario dentro del sandbox a través de una página HTML especialmente diseñada. (Severidad de seguridad de Chromium: Alta)
Añadida a KEV: 2026-09-04Oficial (NVD) →Starlette es un framework/kit ligero ASGI. Antes de la versión 1.0.1, la cabecera HTTP Host de la petición no se validaba antes de usarse para reconstruir request.url. Como el algoritmo de enrutamiento se basa en la ruta HTTP cruda mientras que request.url se reconstruye a partir de la cabecera Host, una cabecera malformada podía provocar que request.url.path difiriera de la ruta que se solicitó realmente. Por tanto, middleware y endpoints que aplican restricciones de seguridad basadas en request.url (en lugar de la ruta cruda en scope) podían eludirse. Se recomienda actualizar a la versión 1.0.1 o superior, que valida la cabecera Host contra la gramática de RFC 9112 §3.2 / RFC 3986 §3.2.2 al construir request.url y recurre a scope["server"] cuando los valores están malformados.
Añadida a KEV: 2026-09-02Oficial (NVD) →Existe una vulnerabilidad SSRF preautenticación en la interfaz Work Place del appliance SMA1000 debido a una ruta de acceso alterna no intencionada. Un atacante remoto no autenticado podría explotar esta vulnerabilidad para obtener acceso no autorizado a funcionalidades sensibles y ejecutar operaciones sin autorización.
Añadida a KEV: 2026-09-02Oficial (NVD) →Existe una vulnerabilidad de inyección SQL sin autenticación en Sangoma Switchvox SMB Edition 8.3 (104997). El endpoint /pa procesa contenido XML que comienza con <PolycomIPPhone> y concatena directamente el valor PhoneIP controlado por el usuario en consultas PostgreSQL sin saneamiento ni parametrización. Un atacante remoto no autenticado puede ejecutar sentencias SQL arbitrarias contra la base de datos PostgreSQL backend mediante una única petición especialmente elaborada, incluyendo operaciones sobre la base de datos y ejecución remota de código.
Añadida a KEV: 2026-09-02Oficial (NVD) →JFrog Artifactory contiene una debilidad de autenticación que, bajo la configuración predeterminada, puede permitir a un atacante no autenticado con acceso a la red obtener privilegios administrativos.
Añadida a KEV: 2026-09-02Oficial (NVD) →Se ha identificado una vulnerabilidad de neutralización inadecuada de elementos especiales utilizados en un comando del sistema operativo ('inyección de comandos OS') posterior a la autenticación en la Consola de Gestión del Appliance SMA1000 (AMC) que, en condiciones específicas, podría permitir a un atacante remoto autenticado como administrador ejecutar comandos arbitrarios del sistema operativo, resultando en ejecución remota de código.
Añadida a KEV: 2026-09-02Oficial (NVD) →Kestra es una plataforma de orquestación basada en eventos y de código abierto. En versiones anteriores a la 1.0.45 y 1.3.21, AuthenticationFilter en Kestra OSS utiliza request.getPath().endsWith("/configs") para permitir explícitamente el endpoint público de configuración sin autenticación Basic. Debido a que la comprobación es una coincidencia por sufijo y no una coincidencia de ruta exacta, cualquier ruta de la API cuyo último segmento sea configs elude por completo la autenticación. Un atacante remoto no autenticado puede explotar esto para crear y ejecutar flujos de trabajo arbitrarios sin credenciales. Dado que Kestra se distribuye con plugins de ejecución de scripts activados por defecto (plugin-script-shell, plugin-script-python, etc.), esto puede derivar directamente en ejecución remota de código no autenticada como root dentro del contenedor del worker de Kestra. Esta vulnerabilidad se corrige en las versiones 1.0.45 y 1.3.21.
Añadida a KEV: 2026-09-02Oficial (NVD) →LiteLLM es un servidor proxy (AI Gateway) para llamar a APIs de LLM en formato OpenAI (o nativo). En versiones anteriores a la 1.84.0, el endpoint MCP Streamable HTTP de LiteLLM permitía que un atacante no autenticado utilizara una cabecera Authorization falsificada para activar una ruta de retroceso (fallback) de passthrough OAuth2 que reemplazaba la validación fallida de la clave de LiteLLM por un objeto vacío UserAPIKeyAuth(), permitiendo que peticiones llegaran a las herramientas MCP sin una clave válida de LiteLLM. Este problema se corrige en la versión 1.84.0.
Añadida a KEV: 2026-09-02Oficial (NVD) →Existe una vulnerabilidad de control de acceso inapropiado en la interfaz de gestión web de PaperCut MF y PaperCut NG. Bajo condiciones específicas, solicitudes remotas no autenticadas dirigidas a funciones administrativas pueden desencadenar acciones en el backend antes de completarse las comprobaciones de validación de acceso. Esto permite a un atacante remoto no autenticado modificar determinadas configuraciones del sistema.
Añadida a KEV: 2026-08-31Oficial (NVD) →Existe una vulnerabilidad de carga dinámica de clases insegura en las utilidades de conexión a la base de datos de PaperCut MF y PaperCut NG. La aplicación instancia clases de drivers de base de datos basándose en nombres de controladores configurables sin validar frente a una lista blanca de drivers aprobados. Si un atacante puede manipular parámetros de configuración del sistema, esto permite la ejecución de bytecode Java arbitrario presente en el classpath de la aplicación bajo el contexto de seguridad del proceso del servidor PaperCut.
Añadida a KEV: 2026-08-31Oficial (NVD) →Se descubrió un problema en ownCloud owncloud/core anterior a la versión 10.13.1. Un atacante puede acceder, modificar o eliminar cualquier archivo sin autenticación si conoce el nombre de usuario de la víctima y la víctima no tiene configurada una clave de firma. Esto ocurre porque se aceptan URLs pre-firmadas aun cuando no existe una clave de firma configurada para el propietario de los archivos. La versión más antigua afectada es la 10.6.0.
Añadida a KEV: 2026-08-27Oficial (NVD) →En el kernel de Linux se ha corregido la siguiente vulnerabilidad: ipv6: tener en cuenta fraggap en la ruta de asignación paginada En __ip6_append_data(), cuando se toma la rama de asignación paginada (MSG_MORE / NETIF_F_SG / fraglen grande), alloclen y pagedlen se computaban como alloclen = fragheaderlen + transhdrlen; pagedlen = datalen - transhdrlen; datalen ya incluye fraggap (datalen = length + fraggap). Cuando fraggap no es cero, éste no es el primer skb y transhdrlen es cero. Los bytes de fraggap arrastrados desde el skb anterior se copian justo después de los encabezados de fragmento en el área lineal del nuevo skb. Por tanto, el área lineal queda subdimensionada por fraggap bytes mientras que pagedlen queda sobreestimado por la misma cantidad, y la copia escribe más allá de skb->end hacia la estructura skb_shared_info siguiente. Un usuario sin privilegios puede provocar esto mediante un socket UDPv6 usando MSG_MORE junto con MSG_SPLICE_PAGES. La contabilidad errónea fue introducida por el commit 773ba4fe9104 ("ipv6: avoid partial copy for zc"). Antes del commit ce650a166335 ("udp6: Fix __ip6_append_data()'s handling of MSG_SPLICE_PAGES"), el valor de copia negativo provocaba que se devolviera -EINVAL. Ese commit posterior permitió que MSG_SPLICE_PAGES continuara en este caso, haciendo posible desencadenar la corrupción. La rama no paginada fija alloclen a fraglen, que ya tiene en cuenta fraggap porque datalen lo incluye. Alinear la rama paginada añadiendo fraggap a alloclen y restándolo de pagedlen. Tras este ajuste, copy ya no colapsa a -fraggap en la ruta paginada, por lo que se elimina el comentario obsoleto que describía esa aritmética antigua. Dado que ya no se espera una copia negativa para un caso válido MSG_SPLICE_PAGES, se elimina la excepción de MSG_SPLICE_PAGES de la comprobación de copia negativa.
Añadida a KEV: 2026-08-27Oficial (NVD) →Un usuario autenticado puede escribir datos fuera de la ruta de caché de Docker prevista bajo condiciones específicas de repositorio remoto.
Añadida a KEV: 2026-08-27Oficial (NVD) →Todas las versiones del paquete ajaxpro.2 son vulnerables a la deserialización de datos no confiables debido a la posibilidad de deserializar clases arbitrarias de .NET, lo que puede ser aprovechado para lograr la ejecución remota de código.
Añadida a KEV: 2026-08-26Oficial (NVD) →Existe una vulnerabilidad de ejecución remota de código en Microsoft SQL Server cuando maneja incorrectamente el procesamiento de funciones internas, también conocida como "Vulnerabilidad de ejecución remota de código en Microsoft SQL Server".
Añadida a KEV: 2026-08-26Oficial (NVD) →Vulnerabilidad de desbordamiento de memoria en NetScaler ADC y NetScaler Gateway que puede provocar un comportamiento impredecible o erróneo y Denegación de Servicio si el equipo está configurado como Gateway (SSL VPN, ICA Proxy, CVPN, RDP Proxy) o como servidor virtual AAA.
Añadida a KEV: 2026-08-26Oficial (NVD) →Se encontró una vulnerabilidad de escritura fuera de límites (OOB) en el subsistema de notificación de eventos watch_queue del kernel de Linux. Esta falla puede sobrescribir partes del estado del kernel, permitiendo potencialmente que un usuario local obtenga acceso con privilegios elevados o provoque una denegación de servicio en el sistema.
Añadida a KEV: 2026-08-26Oficial (NVD) →libuser en versiones anteriores a 0.56.13-8 y 0.60 anteriores a 0.60-7, tal como se utiliza en el programa userhelper del paquete usermode, modifica directamente /etc/passwd, lo que permite a usuarios locales provocar una denegación de servicio (estado inconsistente del archivo) al provocar un error durante la modificación. NOTA: este problema puede combinarse con CVE-2015-3245 para obtener privilegios.
Añadida a KEV: 2026-08-26Oficial (NVD) →El programa de ayuda abrt-hook-ccpp en Automatic Bug Reporting Tool (ABRT) versiones anteriores a 2.7.1 permite a usuarios locales con ciertos permisos obtener privilegios mediante un ataque de enlace simbólico (symlink) sobre un archivo con nombre predecible, como se demuestra con /var/tmp/abrt/abrt-hax-coredump o /var/spool/abrt/abrt-hax-coredump.
Añadida a KEV: 2026-08-26Oficial (NVD) →Gitea contiene una vulnerabilidad de inyección de código que permite a un atacante con acceso de escritura al repositorio enviar un parche malicioso al endpoint diffpatch de la API para plantar un hook de Git ejecutable y ejecutar comandos de shell con la cuenta del servicio de Gitea.
Añadida a KEV: 2026-08-25Oficial (NVD) →Vulnerabilidad en Oracle HTTP Server y en el plug-in proxy de Oracle WebLogic Server (componente: WebLogic Server Proxy Plug-in para Apache HTTP Server y WebLogic Server Proxy Plug-in para IIS) de Oracle Fusion Middleware. Las versiones con soporte afectadas son 12.2.1.4.0, 14.1.1.0.0 y 14.1.2.0.0. Se trata de una vulnerabilidad fácilmente explotable que permite a un atacante no autenticado con acceso a la red vía HTTP comprometer Oracle HTTP Server y el plug-in proxy de Oracle WebLogic Server. Aunque la vulnerabilidad reside en Oracle HTTP Server y en el plug-in proxy de WebLogic Server, los ataques pueden tener un impacto significativo en productos adicionales (cambio de alcance). Un ataque exitoso puede resultar en la creación, eliminación o modificación no autorizadas de datos críticos o de todos los datos accesibles a través de Oracle HTTP Server y del plug-in proxy de WebLogic Server, así como en el acceso no autorizado a datos críticos o en el acceso completo a todos los datos accesibles por Oracle HTTP Server y el plug-in proxy de WebLogic Server. Nota: la versión afectada del WebLogic Server Proxy Plug-in para IIS es únicamente la 12.2.1.4.0. Puntuación base CVSS 3.1: 10.0 (impactos en confidencialidad e integridad). Vector CVSS: (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:N).
Añadida a KEV: 2026-08-24Oficial (NVD) →Existe una vulnerabilidad de ejecución remota de código en Zimbra Collaboration (ZCS) en versiones anteriores a la 10.1.20 cuando está instalado el paquete opcional zimbra-snmp y están habilitadas las notificaciones SNMP. Debido a una insuficiente saneación de entradas no confiables durante el procesamiento de notificaciones SNMP, un atacante no autenticado puede enviar solicitudes SMTP especialmente manipuladas que podrían resultar en la ejecución de comandos arbitrarios del sistema operativo con los privilegios del usuario Zimbra.
Añadida a KEV: 2026-08-21Oficial (NVD) →Un atacante remoto no autorizado con acceso de red al puerto 4307/TCP del servidor TrueConf en las versiones 5.3.X hasta 5.3.9, 5.4.X hasta 5.4.9, 5.5.X hasta 5.5.5 y anteriores podría utilizar un script especialmente diseñado para escapar del entorno aislado y ejecutar código arbitrario en el sistema anfitrión.
Añadida a KEV: 2026-08-20Oficial (NVD) →Un atacante remoto no autorizado con acceso de red al puerto 4307/TCP en servidores TrueConf en las versiones 5.3.X hasta 5.3.9, 5.4.X hasta 5.4.9, 5.5.X hasta 5.5.5 y versiones anteriores podría ejecutar un script arbitrario al invocar una función no documentada.
Añadida a KEV: 2026-08-20Oficial (NVD) →MLflow es una plataforma de ingeniería de IA de código abierto para agentes, modelos de lenguaje y modelos de aprendizaje automático. En versiones anteriores a la 3.15.0, el endpoint POST no autenticado /api/2.0/mlflow/webhooks/{id}/test llama a _validate_webhook_url() en mlflow/utils/validation.py únicamente para la URL original, mientras que mlflow/webhooks/delivery.py sigue redirecciones y vuelve a resolver el nombre de host sin fijar (pin) la dirección validada. Esto permite a un atacante alcanzar servicios internos o metadatos en la nube y obtener response_status y response_body. Este problema se corrige en la versión 3.15.0.
Añadida a KEV: 2026-08-19Oficial (NVD) →Doble liberación (double free) en la extensión IKE de Windows permite a un atacante no autorizado ejecutar código de forma remota a través de la red.
Añadida a KEV: 2026-08-18Oficial (NVD) →Autenticación débil en Microsoft Office SharePoint permite a un atacante no autorizado eludir una funcionalidad de seguridad a través de la red.
Añadida a KEV: 2026-08-18Oficial (NVD) →VMware vCenter contiene una vulnerabilidad de salto de directorio (directory traversal) en el servidor Syslog. Un actor malintencionado con acceso de red a vCenter podría explotar este problema para ejecutar código arbitrario.
Añadida a KEV: 2026-08-18Oficial (NVD) →Se solucionó un problema de autenticación mediante una mejora en la gestión de estado. Esta vulnerabilidad se corrige en macOS Sequoia 15.7.9, macOS Sonoma 14.8.9 y macOS Tahoe 26.6.1. Un atacante en la red podría autenticarse en Compartir Pantalla sin credenciales válidas.
Añadida a KEV: 2026-08-18Oficial (NVD) →Ray es un motor de cómputo para IA. Antes de la versión 2.52.0, desarrolladores que usan Ray como herramienta de desarrollo podían ser explotados mediante una vulnerabilidad crítica de ejecución remota de código (RCE) aprovechable desde Firefox y Safari. Esta vulnerabilidad se debe a una protección insuficiente frente a ataques provenientes del navegador, ya que la defensa actual dependía de que el encabezado User-Agent comenzara con la cadena "Mozilla". Esta defensa es insuficiente porque la especificación fetch permite modificar el encabezado User-Agent. Combinado con un ataque de rebinding DNS contra el navegador, esta vulnerabilidad puede explotarse contra un desarrollador que ejecute Ray y que visite inadvertidamente un sitio web malicioso o que sea servido por un anuncio malicioso (malvertising). Este problema fue corregido en la versión 2.52.0.
Añadida a KEV: 2026-08-17Oficial (NVD) →Metabase permite que un atacante remoto no autenticado inyecte SQL arbitrario a través del endpoint de base de datos '/reset_password' y obtenga acceso de administrador a la instancia de Metabase conectada.
Añadida a KEV: 2026-08-11Oficial (NVD) →Una vulnerabilidad en el servicio Remote Access SSL VPN de Cisco Secure Firewall Adaptive Security Appliance (ASA) Software y Cisco Secure Firewall Threat Defense (FTD) Software podría permitir que un atacante remoto no autenticado provoque que el dispositivo se reinicie inesperadamente, resultando en una condición de denegación de servicio (DoS). Esta vulnerabilidad se debe a una comprobación insuficiente de errores al procesar solicitudes HTTP. Un atacante podría explotar esta vulnerabilidad enviando una solicitud HTTP especialmente diseñada al servicio Remote Access SSL VPN en un dispositivo afectado. Un exploit exitoso podría provocar que el dispositivo afectado se reinicie, causando una condición de DoS.
Añadida a KEV: 2026-08-11Oficial (NVD) →Uso tras liberación (use-after-free) en el controlador auxiliar de funciones de Windows para WinSock permite a un atacante autorizado elevar privilegios de forma local.
Añadida a KEV: 2026-08-11Oficial (NVD) →Vulnerabilidad de inyección de comandos del sistema operativo (Ejecución remota de código) en la API de productos Progress ADC permite a un atacante no autenticado ejecutar comandos arbitrarios en el appliance LoadMaster al explotar entradas no saneadas en múltiples endpoints de comandos.
Añadida a KEV: 2026-08-07Oficial (NVD) →
Prioridad = KEV (explotada activamente) + EPSS (probabilidad de explotación en 30 días) + CVSS (gravedad). Es un feed defensivo, sin código de exploits ni PoC. Cada CVE enlaza a la fuente oficial (NVD).