Traducido del inglés por TechUpscale con ayuda de IA y verificado con el original. Leer el original en inglés
La Base de Datos Nacional de Vulnerabilidades (NVD) publicó 9 CVE calificadas como Críticas bajo CVSS v3 en las 26 horas previas a este informe. Las descripciones a continuación se citan directamente de la NVD. Las puntuaciones son las puntuaciones base de la NVD o CNA; confirme siempre con el aviso del proveedor antes de priorizar.
CVE críticas (NVD)
| CVE | CVSS | Descripción (NVD) |
|---|---|---|
| CVE-2026-120198 | 10 | Se ha encontrado una vulnerabilidad en WAVLINK WL-WN530BE1-A V251117. El elemento afectado es la función con_check_read_finish del archivo /protocol.csp. Dicha manipulación del argumento group_name/IP-FROM conduce a la inyección de comandos. Es posible lanzar el ataque de forma remota. El exploit ha sido divulgado públicamente y puede ser utilizado. Se contactó al proveedor con anticipación sobre esta divulgación. |
| CVE-2026-120195 | 10 | Se ha detectado una vulnerabilidad de seguridad en WAVLINK WL-WN579A3-A 2026-03-10-94f93d4. El elemento afectado es la función set_wzdgwMesh del archivo /cgi-bin/adm.cgi del componente Asistente de configuración inicial. La manipulación del argumento wlan_ssid conduce a la inyección de comandos del sistema operativo. Es posible llevar a cabo el ataque de forma remota. El exploit ha sido divulgado públicamente y puede ser utilizado. Se contactó al proveedor con anticipación… |
| CVE-2026-120189 | 10 | Se identificó una vulnerabilidad en D-Link DIR-505 1.10B02. El elemento afectado es la función save_upload_file/mp_upload_file del archivo /usr/bin/tftpd del componente Manejador de nombres de archivo de carga TFTP. La manipulación conduce a un desbordamiento de búfer basado en pila. Es posible llevar a cabo el ataque de forma remota. El exploit está disponible públicamente y podría ser utilizado. |
| CVE-2026-120224 | 9.9 | Se ha descubierto un fallo de seguridad en Oray Pugongying X5 Pro hasta la versión 7.6.1. El elemento afectado es la función run_apis_by_json/run_async_task del componente Autorización de API. La manipulación da como resultado una autorización inadecuada. El ataque se puede lanzar de forma remota. El exploit se ha publicado para el público y puede utilizarse para ataques. Se contactó al proveedor con anticipación sobre esta divulgación, pero no respondió de ninguna manera. |
| CVE-2026-120197 | 9.9 | Se ha encontrado un fallo en WAVLINK WL-WN530HG4B M_V260724. Esto afecta a la función port_forward del archivo /cgi-bin/wapi.cgi. Esta manipulación del argumento Name provoca una inyección de comandos del sistema operativo. Es posible iniciar el ataque de forma remota. El exploit ha sido publicado y puede ser utilizado. Se contactó al proveedor con anticipación sobre esta divulgación. |
| CVE-2026-120196 | 9.9 | Se detectó una vulnerabilidad en WAVLINK WN579X3-D V250402. Esto afecta a la función port_forward del archivo /cgi-bin/wapi.cgi. La manipulación del argumento Name da como resultado una inyección de comandos del sistema operativo. El ataque puede realizarse de forma remota. El exploit es ahora público y puede ser utilizado. Se contactó al proveedor con anticipación sobre esta divulgación. |
| CVE-2026-120209 | 9.8 | AJ-Report hasta la versión 1.7.1 firma tokens de uso compartido con un secreto JWT codificado de forma rígida, lo que permite a los atacantes falsificar tokens de uso compartido válidos sin conexión. Los atacantes pueden acuñar un token con el código de informe 'dataSet' para acceder al punto de conexión testTransform, que pasa scripts a GroovyClassLoader para la ejecución remota de código sin autenticación. |
| CVE-2026-120201 | 9.8 | Jpom desde la versión 2.10.0 hasta la 2.11.12 contiene una vulnerabilidad de omisión de autenticación que permite a los atacantes no autenticados obtener acceso de superadministrador al inyectar condiciones de consulta en la cabecera JPOM-USER-TOKEN. Los atacantes pueden enviar un valor como 'is not null', que el analizador de condiciones de Hutool trata como un operador, y luego ejecutar comandos a través de las funciones de script de Jpom. |
| CVE-2026-120225 | 9.1 | Se ha identificado una debilidad en Oray Pugongying X5 Pro hasta la versión 7.6.1. La afectada por esta vulnerabilidad es la función config_restore_ex del archivo /etc/openwrt_release. Esta manipulación del argumento filename causa un recorrido de rutas relativo. El ataque puede iniciarse de forma remota. El exploit se ha puesto a disposición del público y podría utilizarse para ataques. Se contactó al proveedor con anticipación sobre esta divulgación, pero… |
Nuevos avisos de CERTs y proveedores
Microsoft MSRC
- Chromium: CVE-2026-118340 Corrupción de memoria en Skia
- Chromium: CVE-2026-118336 Validación de entrada inadecuada en Headless
- Chromium: CVE-2026-118338 Uso después de liberación (Use after free) en Animation
- Chromium: CVE-2026-118354 Validación de entrada inadecuada en Skia
- Chromium: CVE-2026-118358 Corrupción de memoria en WebAudio
- Chromium: CVE-2026-118346 Uso después de liberación (Use after free) en Compositing
- Chromium: CVE-2026-118350 Uso después de liberación (Use after free) en Turbolev
- Chromium: CVE-2026-118316 Validación de entrada inadecuada en V8
- Chromium: CVE-2026-118318 Control de acceso inadecuado en V8
- Chromium: CVE-2026-118315 Validación de entrada inadecuada en SVG
- Chromium: CVE-2026-118312 Corrupción de memoria en Paint
- Chromium: CVE-2026-118317 Corrupción de memoria en HTML
- Chromium: CVE-2026-118311 Corrupción de memoria en Media
- Chromium: CVE-2026-118313 Uso después de liberación (Use after free) en Video
- Chromium: CVE-2026-118304 Validación de entrada inadecuada en SVG
- Chromium: CVE-2026-118308 Uso después de liberación (Use after free) en SVG
- Chromium: CVE-2026-118344 Uso después de liberación (Use after free) en Layout
- Chromium: CVE-2026-118310 Validación de entrada inadecuada en Views
- Chromium: CVE-2026-118348 Validación de entrada inadecuada en Skia
- Chromium: CVE-2026-118305 Corrupción de memoria en Turbolev
- Chromium: CVE-2026-118352 Corrupción de memoria en Cache
- Chromium: CVE-2026-118307 Uso después de liberación (Use after free) en Paint
- Chromium: CVE-2026-118356 Uso después de liberación (Use after free) en WTF
- Chromium: CVE-2026-118306 Corrupción de memoria en FileSystem
- Chromium CVE-2026-91732: Falta de autorización
Además de otros 25 de Microsoft MSRC; consulte el enlace de origen a continuación.
Debian
- DSA-6599-1 nss – actualización de seguridad