Traducido del inglés por TechUpscale con ayuda de IA y verificado con el original. Leer el original en inglés
La Base de Datos Nacional de Vulnerabilidades (NVD) publicó 12 CVE calificados como Críticos según CVSS v3 en las 26 horas previas a este informe. Las descripciones a continuación se citan directamente de la NVD. Las puntuaciones son las puntuaciones base de la NVD o de la CNA; confirme siempre con el aviso del proveedor antes de priorizar.
CVE críticos (NVD)
| CVE | CVSS | Descripción (NVD) |
|---|---|---|
| CVE-2026-118235 | 9.8 | El complemento SimpleForm – Form Maker to Chat Apps with Quiz, Poll and Multi Lead Notifications para WordPress es vulnerable a la carga de archivos arbitrarios en todas las versiones hasta la 3.10.2 incluida a través de la función handle_upload. Esto se debe a la falta de una lista blanca de claves de archivos del lado del servidor y a una derivación de extensiones previa a la desinfección que permite que un nombre de archivo con un punto final evite toda validación de extensiones y MIME en handle_upload. El… |
| CVE-2026-119096 | 9.8 | El complemento Uncanny Toolkit for LearnDash para WordPress es vulnerable a la omisión de autenticación en las versiones hasta la 3.8.2 incluida a través del parámetro 'email' de la función 'uo_login_action()'. Esto se debe a un fallo diferencial de análisis en el que la puerta de verificación de cuentas del complemento resuelve el valor 'email' enviado utilizando la cadena sin procesar y desinfectada pasada a 'get_user_by()', mientras que el posterior 'wp_signon()'… |
| CVE-2026-116512 | 9.8 | El complemento Project Manager – AI Powered Project Management, Task Management, Kanban Board & Time Tracker para WordPress es vulnerable a la ejecución remota de código en todas las versiones hasta la 4.1.1 incluida a través del parámetro 'id'. Esto se debe a que el valor del parámetro 'id' sin desinfectar se concatena directamente en la cadena de reglas de validación delimitada por barras verticales, que luego se divide y cada token se invoca como una función PHP dinámica… |
| CVE-2026-109220 | 9.8 | El complemento PDF Invoice for WooCommerce + Drag and Drop Template Builder para WordPress es vulnerable a la inyección de objetos PHP en todas las versiones hasta la 7.1.1 incluida a través del parámetro 'customer_note'. Esto se debe a una desinfección insuficiente del campo de pago customer_note, que se incluye textualmente en el HTML de la factura, se decodifica en entidades de nuevo en una etiqueta activa por simplehtmldom, se vuelve a ensamblar en bytes sin procesar por… |
| CVE-2026-119706 | 9.8 | InternLM LMDeploy desde la versión 0.9.0 hasta la 0.18.0 contiene una vulnerabilidad de ejecución remota de código sin autenticación que permite a atacantes remotos ejecutar comandos del sistema operativo enviando datos serializados al punto de conexión /update_weights. Los atacantes pueden enviar un objeto serializado manipulado y codificado en base64 en serialized_named_tensors, el cual ForkingPickler.loads deserializa sin validación, ejecutando comandos como el proceso api_server. |
| CVE-2026-119660 | 9.8 | MuseBot anterior a la versión 2.0.0 contiene una vulnerabilidad de omisión de autenticación que permite a atacantes no autenticados falsificar sesiones de administrador utilizando la clave de sesión predeterminada codificada de forma rígida 'muse_bot_session_key'. Los atacantes pueden firmar una cookie MuseBot-session que transporte un user_id para obtener acceso administrativo completo, leer hashes de contraseñas, registros de chat y la configuración del bot, y detener bots. |
| CVE-2026-119597 | 9.8 | OpenDeepWiki hasta la versión 2.0.6 contiene una vulnerabilidad de clave de firma JWT codificada de forma rígida que permite a atacantes no autenticados falsificar tokens de administrador utilizando la clave Jwt:SecretKey públicamente conocida en appsettings.json. Los atacantes pueden emitir tokens portadores HS256 con una reclamación de rol de administrador para acceder a los puntos de conexión /api/admin y controlar usuarios, roles, repositorios, configuraciones y claves de API. |
| CVE-2026-103882 | 9.1 | El complemento Acadlix LMS – AI Quiz Maker, Online Exam & Course Plugin for WordPress para WordPress es vulnerable a la eliminación arbitraria de archivos debido a una validación insuficiente de la ruta del archivo en la función post_delete_assessment_file_by_id en todas las versiones hasta la 1.1.9 incluida. Esto hace posible que atacantes autenticados, con acceso de nivel de suscriptor y superior, eliminen archivos arbitrarios en el servidor, lo que puede fácilmente… |
| CVE-2026-89270 | 9.1 | El complemento Popup Builder – Create highly converting, mobile friendly marketing popups. para WordPress es vulnerable a la omisión de autorización en todas las versiones hasta la 4.4.5 incluida. Esto se debe a que el complemento no verifica adecuadamente que un usuario esté autorizado para realizar una acción. Esto hace posible que atacantes no autenticados eliminen todas las ventanas emergentes publicadas en el sitio con una sola solicitud GET no autenticada. E… |
| CVE-2026-116557 | 9.1 | El complemento WP Booking System – Booking Calendar para WordPress es vulnerable a la modificación no autorizada de datos debido a una comprobación de capacidad faltante en la función wpbs_action_ajax_calendar_remove_note() en las versiones hasta la 2.1.0.5 incluida. Esto hace posible que atacantes autenticados, con acceso de nivel de suscriptor y superior, eliminen notas de calendario arbitrarias pertenecientes a cualquier calendario. |
| CVE-2026-104317 | 8.1 | IBM Langflow OSS desde la versión 1.0.0 hasta la 1.12.3 podría permitir que un atacante remoto que pueda acceder al intermediario de mensajes ejecute código arbitrario en el sistema debido a la deserialización de datos no confiables. |
| CVE-2026-18894 | 6.5 | IBM Langflow OSS desde la versión 1.0.0 hasta la 1.12.4 podría permitir que un atacante remoto active código de componente de Python almacenado preexistente en un flujo de trabajo público, ejecutándolo bajo el contexto de tiempo de ejecución del propietario del flujo dentro del proceso del servidor. Esto omite el límite de confianza previsto donde las rutas de ejecución pública están restringidas al código de componentes confiables del servidor. |
Nuevos avisos de CERT y proveedores
Debian
- DSA-6597-1 dpdk – actualización de seguridad
- DSA-6598-1 thunderbird – actualización de seguridad
Centro Canadiense de Ciberseguridad
- Aviso de seguridad de Linux (AV26-1108)
- Aviso de seguridad de MongoDB (AV26-1107)
- Aviso de seguridad de HashiCorp (AV26-1106)
Microsoft MSRC
- CVE-2026-69446 Vulnerabilidad de elevación de privilegios en Microsoft Edge (basado en Chromium)
- CVE-2026-118147 Vulnerabilidad de suplantación de identidad en Visual Studio
CERT-FR
- Vulnerabilidad en Stormshield Management Center (30 de octubre de 2026)
- Múltiples vulnerabilidades en los productos de Apple (30 de octubre de 2026)
- Vulnerabilidad en CPython (30 de octubre de 2026)
- Múltiples vulnerabilidades en Google Chrome (30 de octubre de 2026)
- Vulnerabilidad en Tenable Nessus Plugin (30 de octubre de 2026)
- Múltiples vulnerabilidades en el núcleo Linux de SUSE (30 de octubre de 2026)
- Múltiples vulnerabilidades en los productos MongoDB (30 de octubre de 2026)
- Múltiples vulnerabilidades en el núcleo Linux de Red Hat (30 de octubre de 2026)
- Múltiples vulnerabilidades en Suricata (30 de octubre de 2026)
- Múltiples vulnerabilidades en Veeam Management Pack (30 de octubre de 2026)
- Vulnerabilidad en GitLab (30 de octubre de 2026)
- Múltiples vulnerabilidades en los productos IBM (30 de octubre de 2026)
- Vulnerabilidad en Ruby on Rails trilogy (30 de octubre de 2026)