Traducido del inglés por TechUpscale con ayuda de IA y verificado con el original. Leer el original en inglés
La Base de Datos Nacional de Vulnerabilidades (NVD) publicó 8 CVE calificados como Críticos bajo CVSS v3 en las 26 horas previas a este informe. Las descripciones a continuación se citan directamente de la NVD. Las puntuaciones son las puntuaciones base de la NVD o CNA; confirme siempre con el aviso del proveedor antes de priorizar.
CVE críticos (NVD)
| CVE | CVSS | Descripción (NVD) |
|---|---|---|
| CVE-2026-119145 | 9.9 | Frappe anterior a 15.121.0 y 16.x anterior a 16.34.0 contiene una vulnerabilidad de salto de directorio porque cierto manejo de carga de archivos no valida la ruta de destino antes de escribir en el disco. Los atacantes autenticados pueden cargar archivos manipulados en ubicaciones fuera del directorio de almacenamiento previsto para lograr la ejecución remota de código en el servidor. |
| CVE-2026-107327 | 9.9 | IBM Langflow OSS 1.0.0 hasta 1.12.4 podría permitir que un atacante remoto autenticado ejecute código arbitrario debido a una autorización faltante. |
| CVE-2026-107328 | 9.9 | IBM Langflow OSS 1.0.0 hasta 1.12.4 podría permitir que un atacante remoto autenticado ejecute código arbitrario debido a la neutralización inadecuada de código en eval/exec. |
| CVE-2026-107329 | 9.9 | IBM Langflow OSS 1.0.0 hasta 1.12.4 podría permitir que un atacante remoto autenticado ejecute código arbitrario debido a un control inadecuado de la generación de código. |
| CVE-2026-103039 | 9.8 | El complemento Gravity Forms para WordPress es vulnerable a la inyección de objetos PHP en todas las versiones hasta la 3.1.2 incluida a través de un campo personalizado de entrada (Post Custom Field) cuyo tipo de entrada es List. Esto se debe a que GFFormsModel::create_post() pasa el valor enviado al comando global sin restricciones maybe_unserialize() de WordPress en lugar de usar el propio GFCommon::maybe_unserialize() endurecido del complemento, que se agregó en 3.1.1 y pasa allowed_classes =>… |
| CVE-2026-93680 | 9.8 | IBM Langflow OSS 1.0.0 hasta 1.12.8 podría permitir que un atacante remoto eluda las restricciones de seguridad debido a una autenticación inadecuada. |
| CVE-2026-110186 | 9.8 | IBM Langflow OSS 1.0.0 hasta 1.12.8 podría permitir que un atacante remoto ejecute código arbitrario debido a un control inadecuado de la generación de código. |
| CVE-2026-104339 | 9.8 | IBM Langflow OSS 1.0.0 hasta 1.12.3 podría permitir que un atacante remoto ejecute código arbitrario debido a una neutralización inadecuada de elementos especiales utilizados en un comando del SO. |
Nuevos avisos de CERT y proveedores
Canonical (Ubuntu)
Canadian Centre for Cyber Security
CERT-FR
- Vulnérabilité dans les produits NetApp (29 octobre 2026)
- Multiples vulnérabilités dans Elastic Cloud Enterprise (29 octobre 2026)
- Multiples vulnérabilités dans Veeam Backup for Microsoft 365 (29 octobre 2026)
- Multiples vulnérabilités dans PostgreSQL Anonymizer (29 octobre 2026)
- Vulnérabilité dans les produits Kaspersky (29 octobre 2026)
- Vulnérabilité dans Mattermost Server (29 octobre 2026)
- Multiples vulnérabilités dans les produits Juniper Networks (29 octobre 2026)
- Multiples vulnérabilités dans WordPress (29 octobre 2026)
- Multiples vulnérabilités dans Apache Kafka (29 octobre 2026)
- Vulnérabilité dans les produits ESET (29 octobre 2026)
- Vulnérabilité dans les produits Cisco (29 octobre 2026)
- Multiples vulnérabilités dans Foxit Online Services (29 octobre 2026)