Top Vulnerabilidades Críticas 04-09-2026

cve-2026-69857 afecta a Microsoft Azure Cosmos DB con una vulnerabilidad crítica de suplantación de identidad. Permite a atacantes eludir controles de seguridad mediante la manipulación de tokens de acceso, con explotación activa confirmada. cve-2026-70178 afecta Microsoft Fabric y permite una elevación de privilegios que otorga control total no autorizado. Esta vulnerabilidad presenta una grave amenaza por su explotación activa y debe ser atendida de inmediato. cve-2026-70352 describe una elevación de privilegios crítica en Microsoft Azure AI Language. Esta falla permite a un atacante escalar privilegios dentro del servicio de IA en la nube. La explotación activa confirma el alto riesgo de esta vulnerabilidad. cve-2026-80098 afecta a Microsoft Copilot Studio con una elevación de privilegios que permite ejecutar acciones con permisos elevados y está siendo explotada activamente. cve-2026-83711 afecta a Microsoft Azure Active Directory B2 C permitiendo elevación de privilegios mediante explotación activa. Esta vulnerabilidad representa un riesgo alto para el control de acceso en la gestión de identidades. cve-2026-19490 describe una brecha crítica en Google Cloud Console que permite la omisión de autenticación y acceso no autorizado mediante rutas alternas. Esta vulnerabilidad representa un riesgo grave para la seguridad de la plataforma en la nube. cve-2024-4956 afecta a Sonatype Nexus Repository Manager con una vulnerabilidad de salto de directorio que permite acceso no autorizado a directorios protegidos. La explotación activa de esta falla representa un riesgo crítico para la seguridad de los entornos afectados. cve-2026-76174 expone una vulnerabilidad crítica en Ocsreports Ocs Inventory NG que permite la ejecución de código remoto mediante la carga de archivos maliciosos con extensión PHP. Esta falla es resultado de una validación inadecuada del tipo de archivo durante la subida en el endpoint admin_info. cve-2026-76178 describe una vulnerabilidad crítica de Cross-Site Scripting almacenado en OCS Inventory NG que permite la ejecución remota de código en sesiones administrativas. La explotación afecta a la gestión de plantillas de notificación y compromete la seguridad de usuarios con privilegios elevados. cve-2026-78069 describe una vulnerabilidad crítica de ejecución remota en J2Store de J2Commerce debido a fallos en validación de controladores y ejecución de archivos. La falta de verificación de autorización permite atacar sistemas con permisos elevados comprometiendo la seguridad de la plataforma. cve-2026-78080 afecta una extensión crítica de Joomla permitiendo inyección SQL sin autenticación. Esta vulnerabilidad permite ejecutar código remoto y acceder a datos sensibles sin permiso. cve-2026-85154 afecta a WWBN AVideo permitiendo acceso completo a la cuenta del propietario mediante un token de autenticación que no expira ni se revoca. Esta vulnerabilidad crítica facilita la suplantación permanente del usuario con todos los privilegios, representando un riesgo grave para la seguridad del sistema. cve-2026-82180 permite a un atacante suplantar la identidad del operador del sistema en Eclipse Arrowhead IoT Framework a través del protocolo MQTT. La vulnerabilidad se debe a la ausencia de validación de la firma y cadena de certificados en el proceso de autenticación. Esto concede acceso total de gestión sobre MQTT sin necesidad de credenciales legítimas. cve-2026-85181 expone una vulnerabilidad crítica en Dianping CAT que permite la suplantación de sesiones administrativas. La falta de un mecanismo seguro en la verificación de cookies y la posibilidad de manipular cabeceras para evadir controles agravan el riesgo. cve-2026-85183 describe una vulnerabilidad crítica en Avaiga Taipy que permite la modificación remota y no autorizada del estado de aplicaciones mediante WebSocket. La falta de control seguro en CORS y protección CSRF facilita este ataque. cve-2026-85216 permite la suplantación de usuarios en MISP mediante bypass de autenticación por validación incorrecta de credenciales. La vulnerabilidad afecta tanto a la autenticación LDAP como LinOTP, permitiendo acceso sin contraseña válida y comprometiendo datos y privilegios. Se recomienda aplicar la actualización que corrige estos fallos de validación. cve-2026-84238 permite a usuarios no autenticados ejecutar acciones restringidas en el plugin YITH Request a Quote for WooCommerce Premium. Esta falla de control de acceso pone en riesgo la integridad y confidencialidad de las solicitudes de presupuesto. cve-2026-84753 afecta a un plugin de WordPress y permite ejecución remota de código mediante inyección de objetos PHP sin autenticación. Esta falla crítica pone en riesgo la integridad y control del servidor donde está instalado. cve-2026-84768 muestra una vulnerabilidad crítica de inyección SQL sin autenticación en el plugin VikAppointments Services Booking Calendar para WordPress, afectando la seguridad de datos. Permite control total sobre consultas de base de datos con acceso remoto. cve-2026-84813 afecta a GeoDirectory por una inyección SQL no autenticada que permite ejecución remota y acceso a datos. Es una vulnerabilidad crítica que requiere atención inmediata. cve-2026-84814 afecta a un plugin de WordPress y permite la escalada de privilegios mediante fallos en permisos. Esta vulnerabilidad es crítica y está siendo explotada activamente. cve-2026-84834 afecta al plugin WordPress JobSearch permitiendo ejecución remota de código a través de una inyección de objetos PHP no autenticada. Esta vulnerabilidad es crítica y su explotación activa ha sido confirmada. Se recomienda actualizar a la última versión del plugin para mitigar el riesgo. cve-2026-58400 expone una vulnerabilidad crítica en GeoNetwork que permite la ejecución remota de código mediante formatos XSLT maliciosos. Esta falla compromete la seguridad del sistema y facilita el control total del servidor afectado. cve-2026-82526 describe una grave vulnerabilidad de inyección SQL en SciPhi-AI R2R que permite la ejecución remota de comandos como superusuario. Esta vulnerabilidad compromete la seguridad completa del sistema mediante manipulación de parámetros sin validación. cve-2026-85391 permite a atacantes sin autenticación acceder a cualquier cuenta en Peppermint mediante tokens falsificados. La vulnerabilidad es crítica y permite acceso completo a la plataforma. cve-2026-85394 afecta a la librería python-jose permitiendo la falsificación de tokens HS256 debido a una validación incorrecta de claves asimétricas. Esta vulnerabilidad es crítica y permite evadir la verificación de seguridad en sistemas que usan esta librería. cve-2026-85042 describe una vulnerabilidad crítica en Google Chrome que permite la ejecución remota de código debido a un error de uso tras liberar memoria en las herramientas de desarrollo. Esta falla puede ser explotada mediante una página HTML maliciosa para comprometer la seguridad del navegador. cve-2026-85047 reporta una vulnerabilidad crítica en Google Chrome para iOS que permite ejecución remota de código fuera del entorno seguro. Impacta gravemente la seguridad del dispositivo al no validar correctamente las entradas en la plataforma de transacciones. cve-2026-85050 afecta a Google Chrome permitiendo ejecución remota de código mediante una vulnerabilidad en WebGL. Esta falla crítica representa un alto riesgo de control total del sistema afectado. cve-2026-85061 presenta una vulnerabilidad crítica en MapLibre GL JS que permite la ejecución remota de código mediante atributos HTML manipulados. Esta falla afecta la sanitización de atributos y podría ser aprovechada al renderizar contenido malicioso en el mapa. cve-2026-62916 permite a atacantes no autorizados elevar privilegios en Microsoft Entra ID mediante un bypass de autenticación. Es una vulnerabilidad crítica que compromete la gestión de identidades en entornos en la nube. cve-2026-85424 expone un sistema de mensajería a conexiones no autenticadas con control total. Se permite ejecución remota de comandos críticos sin verificación. Esta falla afecta al protocolo de core-moos de MOOS. cve-2026-85425 afecta a MOOS-IvP iSay y permite ejecución remota de código mediante comandos no sanitizados. Esta vulnerabilidad es crítica y confirma explotación activa por parte de atacantes. Representa un riesgo grave para sistemas robotizados que utilicen esta plataforma. cve-2026-85426 permite la ejecución remota de comandos en MOOS-IvP uMemWatch, afectando la integridad y control del sistema. Es una vulnerabilidad crítica de alta severidad con explotación activa confirmada. cve-2026-85427 describe una vulnerabilidad crítica en MOOS pAntler que permite la ejecución remota de código sin autenticación, comprometiendo la integridad y seguridad del sistema. Esta falla se debe a la falta de validación en la entrada de archivos de misión maliciosos que son procesados de forma inseguros. cve-2026-85428 describe una vulnerabilidad crítica que permite a atacantes evitar la autenticación y modificar variables en MOOS core-moos. Esta falla compromete la integridad y el control del sistema, con explotación activa confirmada. cve-2026-85433 afecta a MOOS essential-moos pShare con una vulnerabilidad crítica de autorización que permite controlar el tráfico de red. Exploit confirmado permite reconfigurar rutas y duplicar tráfico hacia destinos del atacante. cve-2026-85434 describe una vulnerabilidad crítica en MOOS-IvP uFldShoreBroker que permite la redirección maliciosa de datos por falta de autenticación en mensajes de red. La explotación confirmada de esta falla representa un riesgo severo para la integridad de la comunicación en sistemas autónomos. cve-2026-85435 describe una falla crítica en MOOS IvP uFldNodeBroker que permite a atacantes controlar rutas de comunicación y acceder a datos sensibles del vehículo autónomo. Esta vulnerabilidad tiene un impacto severo en la seguridad de sistemas de vehículo conectados y confirma explotación activa. cve-2026-85437 describe un desbordamiento de búfer crítico en MOOS-IvP que permite ejecución remota de código. La falla se debe a la validación inadecuada de campos de longitud en cadenas codificadas, lo que expone a ataques con archivos o variables maliciosas. cve-2026-85438 afecta a MOOS-IvP y permite corrupción de memoria que puede derivar en ejecución remota de código. La vulnerabilidad se debe a un desbordamiento de búfer causado por entradas mal validadas en la gestión de funciones de comportamiento autónomo. cve-2026-85440 expone una vulnerabilidad crítica en MOOS core-moos que permite la ejecución remota de código mediante un desbordamiento de heap antes de la autenticación. Esta falla es altamente severa y explotable de forma remota, representando un riesgo significativo para los sistemas afectados. cve-2026-67402 afecta a ConfigServer Security Firewall Messenger v3 con ejecución remota de código por mala configuración en el servidor web. Un atacante puede ejecutar comandos arbitrarios sin estar autenticado. cve-2026-75754 expone a ASUS Control Center a un acceso no autorizado completo mediante credenciales fijas y ausencia de autenticación. Permite controlar remotamente sistemas esenciales con privilegios root, riesgo crítico para la integridad y disponibilidad de la infraestructura IT. cve-2026-85146 expone una vulnerabilidad crítica en Lightstar SmartIT Desktop Manager que permite a atacantes remotos obtener credenciales SSH mediante uso de credenciales codificadas. Esta falla compromete la seguridad y el control de acceso de los sistemas afectados. cve-2026-85148 expone una vulnerabilidad crítica en SmartIT Desktop Manager que permite acceso remoto no autorizado mediante contraseñas codificadas. Este fallo representa un riesgo grave para la integridad y seguridad de los sistemas afectados.