Top Vulnerabilidades Críticas 03-09-2026

cve-2026-35029 es una vulnerabilidad crítica que afecta a LiteLLM, permitiendo acceso no autorizado debido a fallos en la autorización. Esta vulnerabilidad se encuentra en explotación activa y representa un riesgo severo para la integridad y seguridad del sistema. cve-2026-9055 describe una vulnerabilidad crítica de gestión de privilegios que ya está siendo explotada activamente. Esta falla permite a atacantes elevar privilegios y comprometer sistemas de forma significativa. cve-2024-0250 afecta a una herramienta de análisis de redes con una vulnerabilidad de redireccionamiento abierto. Esta falla permite que usuarios sean redirigidos a sitios maliciosos sin control. La explotación activa está confirmada, representando un riesgo significativo para la seguridad de los usuarios. cve-2025-60702 afecta a firmware de router doméstico con inyección de comandos que permite control remoto total y ya está siendo explotada activamente. cve-2026-5153 describe una vulnerabilidad de inyección crítica en el firmware de Tenda que permite la ejecución remota de código y está siendo explotada activamente. cve-2023-39470 afecta a PaperCut papercut_ng con ejecución remota de código debido a un método peligroso expuesto. Esta falla permite atacar sistemas explotando activamente la vulnerabilidad. cve-2026-78141 afecta al firmware Tenda CH22 permitiendo inyección de código y control remoto del dispositivo, con explotación activa confirmada. cve-2026-1547 describe una vulnerabilidad crítica en el firmware de TOTOLINK a7000r que permite la ejecución remota de código mediante inyección. Esta vulnerabilidad se encuentra en la gestión incorrecta de elementos especiales en la salida de datos hacia componentes internos. La explotación activa confirma su gravedad y la necesidad de atención inmediata. cve-2026-78657 afecta a plugin de WordPress SigmaForms Pro permitiendo eliminación arbitraria de archivos y posible ejecución remota de código. La falta de validación adecuada en rutas de archivo facilita esta vulnerabilidad crítica con explotación confirmada. cve-2026-81286 expone una inyección SQL crítica en el plugin WC Multivendor Marketplace de WordPress que afecta la integridad de datos y permite ataques remotos. cve-2026-81294 afecta a Authorizer y permite una grave escalada de privilegios sin autenticación previa. La vulnerabilidad expone el sistema a ataques que comprometen la integridad y seguridad del entorno de WordPress. cve-2026-84795 afecta a Craft CMS y permite a atacantes obtener privilegios administrativos mediante registro de usuarios con cuentas desactivadas. La vulnerabilidad permite el control completo del sistema en configuraciones específicas. cve-2026-73475 es una vulnerabilidad crítica que permite la fuerza de navegación en Drupal Commerce PayPal. Afecta a versiones específicas del módulo de Drupal para pagos con PayPal, comprometiendo la autorización y el acceso a funciones restringidas. cve-2025-9314 afecta al plugin Developer Tools de WordPress, permitiendo la subida arbitraria de archivos sin autenticación. Esto resulta en riesgo de ejecución remota de código, siendo una vulnerabilidad crítica y explotada activamente. cve-2026-4357 afecta al plugin Embed HTML5 Game de WordPress con una vulnerabilidad crítica que permite la carga de archivos arbitrarios sin autenticación, facilitando la ejecución remota de código. La falla radica en controles insuficientes sobre quién puede subir archivos y qué tipos se permiten. cve-2026-77009 afecta al plugin WatchMan-Site7 de WordPress, permitiendo la ejecución remota de código por falta de restricciones en la consola de depuración. Esta vulnerabilidad tiene una severidad crítica y facilita que usuarios autenticados ejecuten código arbitrario en el servidor. cve-2026-82955 afecta al API Gateway de Eclipse aeriOS permitiendo la manipulación de claves de validación de tokens debido a la desactivación de la verificación TLS. Esto pone en riesgo la seguridad en la autenticación por tokens bearer. cve-2026-53611 expone una vulnerabilidad crítica de inyección de comandos en la plataforma Looking Glass. Este fallo permite ejecución remota que puede comprometer sistemas de red. La actualización a la versión 1.3.5 soluciona el problema. cve-2026-78689 afecta a NGINX permitiendo denegación de servicio y corrupción de memoria mediante análisis malicioso de XML. Esta vulnerabilidad crítica permite reinicios del servidor y crecimiento de memoria sin control, impactando la disponibilidad. La explotación remota está confirmada y no requiere autenticación. cve-2026-20212 describe una ejecución remota de código crítica en los switches Cisco Nexus 9000. Esta vulnerabilidad permite a atacantes no autenticados controlar dispositivos y puede causar reinicios inesperados. cve-2026-20274 describe una vulnerabilidad crítica en Cisco IOS XR Software que permite explotaciones por control incorrecto de recursos. Esta falla afecta la estabilidad y seguridad de redes con routers de alta gama. La actualización es clave para evitar ataques de denegación de servicio o ejecución no autorizada. cve-2026-20279 incluye una vulnerabilidad crítica de control de acceso en Cisco IOS XR Software que puede permitir el acceso no autorizado a funciones sensibles. Es necesaria la aplicación de las actualizaciones para proteger los sistemas afectados. cve-2026-53649 afecta a BishopFox Joro y permite la ejecución remota de código sin autenticación debido a una configuración insegura en su API local. La vulnerabilidad se explota mediante un bypass del control CORS y el uso de plugins nativos maliciosos. cve-2026-53670 describe una vulnerabilidad crítica en Prevail eBPF Verifier que permite la corrupción de memoria debido a una verificación incorrecta de límites. Esta falla facilita la ejecución de código malicioso con posibles daños en el sistema. cve-2026-53671 afecta a Prevail, un verificador de eBPF, y permite ejecución remota mediante sobrescritura de contexto. La falla es crítica con un puntaje alto de severidad y ya cuenta con parche para mitigación. cve-2026-66786 describe una vulnerabilidad crítica en Red Hat Submariner que permite ejecución remota de código con privilegios elevados mediante la inyección de parámetros maliciosos en la configuración de conexión. La vulnerabilidad afecta a la seguridad de la interconexión de clústeres Kubernetes y tiene confirmación de explotación activa. cve-2026-19117 afecta a Delinea y permite la suplantación de usuarios mediante credenciales FIDO2 maliciosas en entornos on-premises. Este fallo tiene un impacto crítico en la autenticación y acceso.