Traducido del inglés por TechUpscale con ayuda de IA y verificado con el original. Leer el original en inglés
La Base de Datos Nacional de Vulnerabilidades (NVD, por sus siglas en inglés) publicó 10 CVE calificados como Críticos bajo CVSS v3 en las 26 horas previas a este informe. Las descripciones a continuación se citan directamente de la NVD. Las puntuaciones son puntuaciones base de la NVD o CNA; confirme siempre con el aviso del proveedor antes de establecer prioridades.
CVE críticos (NVD)
| CVE | CVSS | Descripción (NVD) |
|---|---|---|
| CVE-2026-120534 | 9.8 | El complemento Advanced Custom Fields: Extended PRO para WordPress es vulnerable a la inyección de código limitada en todas las versiones hasta la 0.9.2.6 incluida a través de la función render_field. Esto se debe a una validación insuficiente de los parámetros de configuración del formulario antes de fusionarlos en la configuración de los campos y pasarlos a call_user_func_array en el método render_field. Esto hace posible que atacantes no autenticados llamen a arbitrar… |
| CVE-2026-86596 | 9.8 | El complemento s2Member para WordPress es vulnerable a la ejecución remota de código en todas las versiones hasta la <= 260927 incluida a través del parámetro ‘item_name’. Esto se debe a una desinfección insuficiente en strip_php_tags_deep(), que solo elimina las secuencias literales ‘<?’, combinada con una limpieza de marcadores de posición posterior a la interpolación que vuelve a ensamblar un abridor ‘<?php’ válido después de que el valor controlado por el atacante ya haya sido… |
| CVE-2026-102435 | 9.8 | El complemento Ultra Addons for Contact Form 7 para WordPress es vulnerable a la eliminación arbitraria de archivos debido a una validación insuficiente de la ruta de archivos en la función _getObjAttr en todas las versiones hasta la 3.5.54 incluida. Esto hace posible que atacantes no autenticados eliminen archivos arbitrarios en el servidor, lo que puede provocar fácilmente la ejecución remota de código cuando se elimina el archivo correcto (como wp-config.php). Esto requiere… |
| CVE-2026-77876 | 9.8 | Control Web Panel (CWP) anterior a webpanel_version 1.16 contiene una vulnerabilidad de inyección de comandos del sistema operativo en el módulo del panel de usuario protected_directory que permite a los atacantes ejecutar comandos arbitrarios mediante el envío de entradas sin escapar a través del parámetro POST file en la acción acc=deletedp. Los atacantes pueden explotar esta falla, que pasa la entrada controlada por el atacante directamente a una llamada shell_exec, para lograr la ejecución de código… |
| CVE-2026-73695 | 9.8 | Control Web Panel (CWP) anterior a webpanel_version 1.16 contiene una vulnerabilidad de salto de directorio en services/users/index.php, donde un nombre de módulo proporcionado por el atacante se concatena directamente en una ruta de inclusión sin lista blanca, basename() ni desinfección de salto. Un atacante puede proporcionar secuencias de salto de directorio en el nombre del módulo para incluir archivos .php locales arbitrarios, lo que resulta en la inclusión de archivos PHP locales. |
| CVE-2026-73696 | 9.8 | Control Web Panel (CWP) anterior a webpanel_version 1.12 contiene una vulnerabilidad de ejecución después de redirección en el flujo de autenticación del panel de usuario, donde unauthenticatedFlow() de CWPUserIndex llama a toLoginWithIntendedUri(), el cual emite un encabezado de redirección sin exit(), permitiendo que la ejecución de PHP continúe y que la inclusión del despachador de módulos se ejecute sin autenticación. Los atacantes con nada más que un nombre de usuario de alojamiento válido… |
| CVE-2026-73697 | 9.8 | Control Web Panel (CWP) anterior a webpanel_version 1.16 contiene una vulnerabilidad de escritura de archivos arbitrarios e inyección de comandos del sistema operativo en el módulo del panel de usuario phpini_editor. La acción acc=update escribe contenido controlado por el atacante en una ruta proporcionada por el atacante a través de file_put_contents sin confinamiento de ruta, y la acción acc=addlabelphpiniadv pasa entradas no desinfectadas del atacante a shell_exec sin escapar. Un atacante con… |
| CVE-2026-120442 | 9.8 | ape-volo-admin anterior a 3.6.1 contiene una vulnerabilidad de omisión de autenticación que permite a atacantes no autenticados falsificar tokens de administrador utilizando una clave de firma JWT incrustada en appsettings.json. Los atacantes pueden firmar tokens sin conexión con la reclamación jti configurada con el ID de administrador sembrado para obtener el control total de la API sobre usuarios, roles, permisos y datos. |
| CVE-2026-120446 | 9.4 | madong-admin-saas hasta 5.1.4 contiene una vulnerabilidad de falta de autenticación en la API de gestión de inquilinos de la plataforma porque la clave de middleware ‘platformapi’ nunca coincide con la aplicación ‘platform’. Los atacantes remotos no autenticados pueden llamar a los puntos finales /platformapi/tenant/account, bind-plan y sync-data para enumerar, crear, modificar, deshabilitar o eliminar inquilinos y vincular planes de suscripción. |
| CVE-2026-120518 | 9.1 | El complemento BuddyPress XProfile Image Field para WordPress es vulnerable a la eliminación arbitraria de archivos en todas las versiones hasta la 3.1.0 incluida. Esto se debe a que bpxp_image_field_update_on_user_activation() llama a unlink() en una ruta construida a partir de metadatos de registro proporcionados por el visitante sin resolución realpath(), sin verificación de contención contra el directorio profile-image y sin lista blanca de extensiones. Enviar un archivo de cero bytes… |
Nuevos avisos de CERT y proveedores
Canonical (Ubuntu)
- USN-8961-1: Vulnerabilidades del núcleo de Linux
- USN-8963-1: Vulnerabilidades del núcleo de Linux (NVIDIA Tegra)
- USN-8959-1: Vulnerabilidades del núcleo de Linux
- USN-8968-1: Vulnerabilidades del núcleo de Linux
- USN-8967-1: Vulnerabilidad del núcleo de Linux (AWS)
- USN-8960-1: Vulnerabilidades del núcleo de Linux (OEM)
- USN-8966-1: Vulnerabilidades del núcleo de Linux
- USN-8965-1: Vulnerabilidades del núcleo de Linux (BlueField)
- USN-8962-1: Vulnerabilidades del núcleo de Linux (Azure CVM)
- USN-8964-1: Vulnerabilidades del núcleo de Linux
Centro Canadiense de Ciberseguridad
- Aviso de seguridad de SUSE Linux (AV26-1113)
- Aviso de seguridad de Barracuda Networks (AV26-1112)
- Aviso de seguridad de Red Hat (AV26-1111)
- Aviso de seguridad de Dell (AV26-1110)
- Aviso de seguridad de Google (AV26-1109)
Debian
- DSA-6602-1 linux – actualización de seguridad
- DSA-6605-1 chromium – actualización de seguridad
- DSA-6603-1 git-annex – actualización de seguridad
- DSA-6604-1 incus – actualización de seguridad
CERT-FR
- Múltiples vulnerabilidades en Tenable Identity Exposure (02 de noviembre de 2026)
- Múltiples vulnerabilidades en Redmine (02 de noviembre de 2026)
- Múltiples vulnerabilidades en los productos Synology (02 de noviembre de 2026)
- Múltiples vulnerabilidades en Ivanti Connect Secure (02 de noviembre de 2026)
- Múltiples vulnerabilidades en Microsoft Edge (02 de noviembre de 2026)
- Múltiples vulnerabilidades en Qnap QNE (02 de noviembre de 2026)
- Múltiples vulnerabilidades en macmon y NRSW (02 de noviembre de 2026)
- Vulnerabilidad en Microsoft Visual Studio (02 de noviembre de 2026)
- Boletín de actualidad CERTFR-2026-ACT-046 (02 de noviembre de 2026)
- Vulnerabilidad en Traefik (02 de noviembre de 2026)