Top Vulnerabilidades Críticas 04-04-2026

cve-2026-5463 describe una vulnerabilidad crítica en pymetasploit3 que permite la ejecución arbitraria de comandos debido a la inyección de caracteres especiales. Esto afecta directamente a la integridad de las sesiones Metasploit y su operación segura. cve-2026-31818 afecta a Budibase por una vulnerabilidad crítica que permite realización de solicitudes falsificadas desde el servidor debido a un fallo en la protección por lista negra de IPs. Esta vulnerabilidad ha sido explotada activamente y su mitigación pasa por actualizar a la versión parcheada. cve-2026-35216 describe una ejecución remota de código crítica en Budibase, una plataforma de bajo código. Permite a un atacante no autenticado controlar el servidor con privilegios elevados mediante un webhook público. cve-2026-28373 detalla una vulnerabilidad crítica de ejecución remota en Stackfield Desktop App que permite la escritura arbitraria de archivos mediante un recorrido de ruta. Esta falla afecta versiones anteriores a 1.10.2 en macOS y Windows y está confirmada como explotada activamente. cve-2026-0545 describe una vulnerabilidad crítica en la autenticación de Mlflow que permite la ejecución remota de código sin necesidad de credenciales. Esta falla expone la plataforma a accesos no autorizados, manipulación de trabajos y potenciales ataques de denegación de servicio. cve-2026-28798 permite acceso no autorizado a servicios internos sensibles en ZimaOS a través de un proxy expuesto. La vulnerabilidad permite la ejecución remota de solicitudes a localhost desde dominios externos accesibles vía Cloudflare Tunnel. cve-2017-20237 expone una vulnerabilidad crítica en Hirschmann Industrial HiVision, permitiendo la ejecución remota de código sin autenticación previa. Esta falla facilita el acceso total y privilegiado al sistema operativo desde ubicaciones remotas, representando un riesgo severo para las infraestructuras industriales que utilizan este software. cve-2026-25197 es una vulnerabilidad crítica en Cisco IOS XE que permite la escalada de privilegios al alterar identificadores en la API. Esta falla facilita el acceso no autorizado a perfiles de usuario, comprometiendo la seguridad del sistema de red. cve-2026-28766 expone la información completa de usuarios en la plataforma Gardyn sin autenticación, poniendo en riesgo la privacidad y seguridad de las cuentas. cve-2026-35560 afecta al controlador Amazon Athena ODBC y permite ataques de intermediario que interceptan credenciales por fallos en la validación de certificados. La vulnerabilidad es crítica y requiere actualización inmediata para evitar riesgos de seguridad en conexiones con proveedores de identidad externos. cve-2026-35561 afecta al controlador Amazon Athena ODBC. Permite interceptar o secuestrar sesiones de autenticación por fallos en la protección de flujos basados en navegador. La actualización a la versión corregida elimina el riesgo. cve-2018-25237 afecta a dispositivos Hirschmann HiSecOS con una vulnerabilidad crítica de desbordamiento de buffer en la autenticación RADIUS que puede permitir la ejecución de código remoto o un fallo del sistema. cve-2017-20234 describe una vulnerabilidad crítica de omisión de autenticación en switches gestionados GarrettCom Magnum 6K y 10K que permite acceso administrativo sin credenciales. Esta falla compromete la seguridad del dispositivo y puede afectar la integridad de las redes gestionadas. cve-2017-20235 afecta a gateways celulares ProSoft Technology ICX35-HWC, permitiendo el acceso administrativo sin autenticación válida debido a una omisión en la interfaz web. Esta vulnerabilidad crítica expone completamente la configuración del dispositivo a atacantes no autorizados. cve-2017-20236 describe una falla crítica en dispositivos ProSoft Technology ICX35-HWC que permite la ejecución remota de comandos con privilegios elevados. Esta vulnerabilidad facilita el control total del dispositivo mediante la interfaz web. Su explotación activa representa un riesgo grave para la seguridad de redes celulares. cve-2018-25236 permite a atacantes remotos sin credenciales obtener acceso administrativo debido a una omisión en el proceso de autenticación en Hirschmann HiOS y HiSecOS. Esta vulnerabilidad crítica facilita el control total del dispositivo afectado. cve-2021-4477 afecta a productos Hirschmann que permiten evadir reglas de firewall en conexiones IPv6 IPsec. Esta vulnerabilidad crítica permite a atacantes saltarse políticas de seguridad mediante VPNs IPv6 activas combinadas con tráfico IPv6 normal. cve-2026-34612 permite ejecución remota de código por una inyección SQL en la plataforma de orquestación Kestra. Esta vulnerabilidad se activa al usar un enlace malicioso tras autenticación del usuario. cve-2026-34934 afecta a PraisonAI con una inyección SQL crítica que permite ejecución remota y control total de la base de datos. La vulnerabilidad ha sido explotada activamente y requiere actualización inmediata. cve-2026-34935 afecta a PraisonAI permitiendo la ejecución remota de comandos sin validación, lo que compromete el control completo del sistema. cve-2026-34938 afecta a un sistema multi-agente y permite la ejecución remota de comandos mediante eludir el sandbox. Esta vulnerabilidad crítica requiere atención inmediata debido a su impacto en la seguridad del sistema. cve-2026-34952 describe una vulnerabilidad crítica en PraisonAI Gateway que permite acceso remoto sin autenticación. Esta falla permite enumerar agentes y enviar comandos arbitrarios, poniendo en riesgo la integridad del sistema. cve-2026-34953 afecta a PraisonAI y permite acceso completo no autorizado mediante tokens OAuth tokens incorrectamente validados. Esta falla crítica permite a atacantes autenticarse con cualquier token y controlar todas las herramientas registradas. cve-2026-35616 describe una vulnerabilidad crítica en Fortinet FortiClient EMS que permite la ejecución remota de código sin autenticación. Esta grave falla afecta directamente a la seguridad del sistema y su explotación activa es confirmada.