Top Vulnerabilidades Críticas 01-09-2026

cve-2026-82970 describe una vulnerabilidad crítica de carga de archivos peligrosos que permite la ejecución remota de código y acceso no autorizado en sistemas afectados. cve-2026-18366 expone una falla crítica en pixelite events_manager que permite la escalada de privilegios y acceso no autorizado debido a una mala gestión de permisos. La explotación activa de esta vulnerabilidad la convierte en una amenaza inmediata para la seguridad de los sistemas afectados. cve-2026-58574 describe una vulnerabilidad crítica en Dell PowerStore que permite a un atacante sin autenticación acceder a información sensible y obtener control total. Esta falla afecta la seguridad del almacenamiento de datos a través de la interfaz de gestión. cve-2026-82628 describe una vulnerabilidad crítica de escalada de privilegios en Colorful iGameCenter. La mala gestión de argumentos en el controlador del sistema permite a un atacante local elevar sus privilegios. cve-2026-19410 afecta a Google Cloud Build con una vulnerabilidad crítica de autorización incorrecta que permite ejecución remota de código sin revisión. La falla se explota vía supresión de webhook en entornos de construcción en la nube. cve-2026-82854 afecta a nodemailer permitiendo inyección de comandos SMTP para añadir destinatarios no autorizados. Esta vulnerabilidad es crítica y ha sido explotada activamente. cve-2026-82855 afecta a Hulumi Policies y permite evadir controles de seguridad mediante la presentación de evidencias falsas o irrelevantes. Esta vulnerabilidad tiene una severidad crítica y se ha confirmado explotación activa que compromete la integridad de las políticas de seguridad en infraestructuras como código. cve-2026-82856 afecta a Hulumi Policies permitiendo ocultar condiciones críticas en políticas de seguridad. Esta falla puede ser explotada para evadir controles de seguridad en entornos de nube con GitHub Actions. cve-2026-82858 afecta al framework Hulumi Drift permitiendo la ejecución de planes maliciosos sin validación adecuada. Esta falla crítica permite operaciones no autorizadas y ha sido explotada activamente, demostrando un riesgo significativo para la seguridad. cve-2026-82859 afecta a Hulumi y permite saltarse las restricciones de seguridad en la gestión de infraestructura como código. Esto puede provocar acceso no autorizado a recursos protegidos. La vulnerabilidad tiene una severidad crítica y explotación confirmada. cve-2026-82860 expone una vulnerabilidad crítica en hulumi policies por fallo en la evaluación de políticas administrativas. Permite la evasión de controles y ejecución de acciones no autorizadas. La explotación activa confirma el alto riesgo que presenta este fallo. cve-2026-49003 afecta una interfaz web crítica de ZTE permitiendo ejecución remota de código con privilegios elevados, robo de contraseñas y paralización total del sistema de monitoreo. cve-2026-82876 afecta al controlador de firmware Phison PS3111-S11. Permite a un atacante firmar firmware modificado con claves arbitrarias y que sea aceptado como legítimo, amenazando la integridad y seguridad del dispositivo. La gravedad es crítica y la explotación ha sido confirmada. cve-2026-82693 expone una falla crítica en routers Tenda AC1206 que permite la omisión de autenticación por acceso remoto. Esta debilidad pone en riesgo el control total del equipo. cve-2026-82694 permite acceso sin autenticación a routers Tenda AC1206 a través de su interfaz web. Esta falla grave facilita el control total del dispositivo de forma remota y sin restricciones. cve-2026-82695 afecta a routers Tenda AC18 permitiendo acceso remoto sin autenticación mediante fallo en el servicio Telnet. La explotación activa facilita ataques remotos en dispositivos vulnerables. cve-2026-51679 describe una vulnerabilidad crítica que permite acceso no autorizado y control total de routers domésticos de la marca TOTOLINK. La falla afecta la función de configuración de contraseña y puede ser explotada mediante peticiones maliciosas sin necesidad de autenticación, implicando un riesgo grave para la seguridad de la red doméstica. cve-2026-51680 afecta a dispositivos TOTOLINK y permite modificar configuraciones sin autenticación. Esta vulnerabilidad es crítica y tiene explotación activa confirmada, representando un riesgo elevado para la integridad del dispositivo. cve-2026-51681 expone la administración del router TOTOLINK T6 al permitir acceso remoto sin autenticación. Esta falla permite control total vía red externa, aumentando riesgos críticos de seguridad. cve-2026-59111 afecta a una aplicación de identificación en MacOS permitiendo ejecución remota de comandos por inyección en parámetros URL. La vulnerabilidad es crítica y su explotación ha sido confirmada. cve-2026-66047 es una vulnerabilidad crítica que permite ejecutar código arbitrario sin autenticación en un conocido plugin de WordPress. La explotación se basa en vulnerabilidades en la gestión de tokens de conexión y peticiones AJAX. Esta falla representa un riesgo extremo para la seguridad de los sitios que lo utilizan. cve-2026-73819 afecta a la utilidad de configuración administrativa de Ebyte, permitiendo modificar ajustes esenciales sin autenticación. Esta vulnerabilidad puede bloquear el acceso de administradores legítimos y comprometer la gestión del dispositivo. cve-2026-76133 afecta a Ebyte con un algoritmo de hashing débil que facilita accesos no autorizados. La vulnerabilidad es crítica y compromete la seguridad del mecanismo de autenticación. cve-2026-51720 expone una grave vulnerabilidad en routers TOTOLINK T6 que permite a atacantes eliminar reglas del cortafuegos sin autenticación, comprometiendo la seguridad de la red. El fallo reside en un error crítico de control de acceso en una función específica del dispositivo. cve-2026-51725 afecta a routers TOTOLINK permitiendo a atacantes no autenticados modificar el reloj del dispositivo por un control de acceso incorrecto. Esta vulnerabilidad es crítica y cuenta con explotación activa confirmada, lo que la convierte en un riesgo serio para la seguridad del dispositivo. cve-2026-51730 expone un control de acceso deficiente en routers TOTOLINK T6, permitiendo a atacantes no autenticados eliminar reglas de Wi-Fi. La vulnerabilidad es crítica y facilita la manipulación remota del control de acceso inalámbrico. cve-2026-79748 es una vulnerabilidad crítica en MCPHub que permite la ejecución remota de código con privilegios elevados debido a fallos en la autorización. Esta falla permite a usuarios autenticados ejecutar comandos arbitrarios en el servidor. cve-2026-53552 afecta a Goploy y permite ejecución remota de código mediante la manipulación indebida de proyectos y archivos. Un usuario con permisos limitados puede controlar proyectos externos con consecuencias críticas para la seguridad del sistema. cve-2026-81293 afecta a WP Data Access con una inyección SQL crítica sin necesidad de autenticación. Esta vulnerabilidad permite a atacantes ejecutar comandos en la base de datos de forma remota, comprometiendo datos sensibles. cve-2026-81756 afecta a un plugin de WordPress que gestiona SMS y boletines, permitiendo inyección SQL no autenticada. Esto posibilita la ejecución de consultas maliciosas y comprometido la integridad de datos. Se confirma explotación activa de esta vulnerabilidad crítica. cve-2026-81763 describe una vulnerabilidad crítica de inyección SQL en el plugin de WordPress Throws SPAM Away. Permite a atacantes sin autenticación acceder y modificar datos sensibles. Este fallo requiere atención inmediata debido a su alto riesgo. cve-2026-81779 afecta a un tema de WordPress para periódicos digitales, permitiendo la implantación de software malicioso mediante una validación incorrecta de las cantidades especificadas. Esto puede derivar en el control total del sitio web. La gravedad es crítica, con una puntuación máxima de impacto. cve-2026-81780 afecta a un popular plugin de WordPress permitiendo la subida arbitraria de archivos sin autenticación. Esto puede llevar a la ejecución remota de código. La vulnerabilidad está siendo explotada activamente. cve-2026-82226 afecta a un sistema crítico de venta de entradas para eventos en WordPress, permitiendo la ejecución remota de código mediante inyección de objetos PHP no autenticada. La vulnerabilidad presenta un riesgo extremo y se recomienda actualizar inmediatamente el producto afectado para mitigarla. cve-2026-82971 afecta a QVidium Opera11 con una crítica inyección de comandos que permite ejecución remota. La vulnerabilidad es explotada activamente y sin soporte del fabricante para mitigarla. cve-2026-67394 describe una vulnerabilidad crítica de escalada de privilegios en Plesk para Linux que permite la ejecución de comandos con privilegios root desde acceso shell. Esta amenaza es grave y podría comprometer el control total del servidor de hosting. cve-2026-75865 afecta a un plugin de WordPress permitiendo la carga remota de archivos maliciosos y ejecución de código. La vulnerabilidad combina fallos en validación y autorización, exponiendo sitios a ataques sin autenticación previa.