Top Vulnerabilidades Críticas 05-08-2026

cve-2026-53576 describe una vulnerabilidad crítica de inyección de código en Kestra Kestra que permite la ejecución remota. Esta vulnerabilidad es explotada activamente y presenta un riesgo severo para sistemas afectados. cve-2026-40217 describe una vulnerabilidad crítica en litellm que afecta la seguridad de canales de comunicación. Esta falla facilita la explotación activa y pérdida de confidencialidad en el producto. cve-2026-38992 afecta al panel de control agentejo cockpit permitiendo la ejecución remota de código debido a una inyección de código. La explotación activa de esta vulnerabilidad representa un riesgo crítico para los sistemas afectados. cve-2026-54066 describe una vulnerabilidad crítica en b3log siyuan que permite el acceso no autorizado a archivos sensibles mediante salto de directorio. La explotación activa de esta falla representa un riesgo elevado para la seguridad de la información en sistemas afectados. cve-2026-15958 afecta a Easy Integration for Dropbox WordPress plugin. Permite a atacantes no autenticados controlar archivos y obtener datos sensibles mediante acciones AJAX sin autorización. La vulnerabilidad es crítica y de explotación activa. cve-2026-16618 permite a atacantes subir archivos maliciosos y ejecutar código remoto en servidores con el plugin Improve SEO WordPress. La falla radica en la validación insuficiente de archivos subidos, afectando la seguridad de la plataforma. cve-2026-18753 describe una vulnerabilidad crítica en el firmware de Geovision que permite la exposición de claves privadas RSA estáticas en Lighttpd. Esto compromete la seguridad de las comunicaciones HTTPS, facilitando la interceptación y manipulación del tráfico entre el cliente y el servidor. cve-2026-18754 afecta a un firmware con servidor web Lighttpd que utiliza una clave privada RSA estática, exponiéndolo a ataques de interceptación y suplantación HTTPS. La vulnerabilidad permite a atacantes descifrar comunicaciones seguras y falsificar servidores. cve-2026-14175 permite la carga sin restricciones de archivos maliciosos en HUMANIST Digital Human Resources. Esta vulnerabilidad crítica facilita la ejecución remota de código en servidores comprometidos. cve-2026-14804 presenta una vulnerabilidad crítica en el software HUMANIST Digital Human Resources de Bilin Software que permite la lectura de claves criptográficas fijas y pone en riesgo la seguridad de los datos sensibles. cve-2026-15721 afecta a HUMANIST Digital Human Resources con una vulnerabilidad crítica de inyección SQL. La falla permite la ejecución remota de código y la exposición de datos sensibles. La explotación activa confirma el riesgo elevado de esta vulnerabilidad. cve-2026-60007 afecta a Eclipse Milo y permite que un atacante recupere contraseñas y se autentique sin autorización mediante un oráculo de relleno en los tokens cifrados. Esto representa un riesgo crítico en la seguridad de la autenticación de la biblioteca OPC UA. cve-2026-61514 permite a atacantes no autenticados acceder y controlar remotamente cámaras IP de Puwell. Se trata de una omisión de autenticación crítica que compromete la privacidad y el control del dispositivo. cve-2026-61515 expone una grave vulnerabilidad en Puwell IP Camera, permitiendo la ejecución remota de código con privilegios elevados. Esta falla proviene de un fallo crítico en la autenticación y la validación de comandos en la interfaz DebugShell. cve-2026-69251 afecta a Flowise permitiendo ejecución remota de código mediante carga de archivos JavaScript. Esta vulnerabilidad es crítica y permite a usuarios autenticados controlar el servidor. Requiere actualización inmediata para mitigar el riesgo. cve-2026-18801 es una vulnerabilidad crítica de inyección SQL en OpenMeter que permite ejecución remota de código en la base de datos mediante valores maliciosos almacenados. Esta falla afecta la integridad y la seguridad del sistema de monitorización de uso. cve-2026-25289 afecta a Qualcomm por corrupción de memoria que permite ejecución remota de código. Esta vulnerabilidad es crítica y tiene explotación activa confirmada. cve-2026-69098 describe una vulnerabilidad crítica de ejecución remota de código en kotaemon debido a deserialización insegura. Esta falla permite a atacantes no autenticados ejecutar código arbitrario en el contexto de la aplicación afectada. cve-2026-69110 describe una vulnerabilidad crítica en OpenCode Studio de Microck que permite a atacantes sin autenticar acceder y borrar archivos sensibles. Esta falla representa un riesgo grave de exposición y manipulación remota de datos en el entorno de edición de audio y vídeo. cve-2026-69253 es una vulnerabilidad crítica en Flowise que permite la inyección y ejecución de código arbitrario en el servidor. Afecta a componentes que procesan URLs de forma insegura en el sandbox vm2. La explotación requiere una sesión autenticada y representa un riesgo grave para la integridad del sistema. cve-2026-69254 describe una vulnerabilidad crítica en Flowise que permite la ejecución remota de código con privilegios elevados. Esta vulnerabilidad debe ser corregida actualizando el software afectado a la versión segura. El riesgo principal es la ejecución arbitraria de comandos en el servidor. cve-2025-29296 afecta múltiples dispositivos de red H3C con vulnerabilidades críticas de inyección de comandos que permiten control total remoto. La ejecución insegura de expresiones shell en la interfaz API es la causa principal del fallo. Esta vulnerabilidad presenta un alto riesgo por la gravedad de su impacto y la confirmación de explotación activa. cve-2026-58072 impacta en un sistema de gestión para proveedores de servicios en la nube con vulnerabilidad crítica de ejecución remota de código. Esta falla permite el control total del servidor afectado. cve-2026-58073 describe una vulnerabilidad crítica en Veeam Service Provider Console que permite a atacantes no autenticados obtener credenciales de agentes gestionados mediante suplantación. Esta falla resulta en una exposición grave de seguridad que compromete la integridad y confidencialidad del entorno afectado. cve-2026-63455 describe una vulnerabilidad crítica en el orquestador de red definido por software de H P E que permite a un atacante remoto saltarse la autenticación y manipular información sensible. Esta falla afecta la interfaz de la API REST, facilitando el acceso no autorizado a funciones del sistema clave. cve-2026-63456 expone una vulnerabilidad crítica en el software HPE Networking SD-WAN Orchestrator, permitiendo eludir la autenticación y acceder a funciones y datos sensibles sin autorización. cve-2026-64633 afecta a Veeam Backup & Replication y permite ejecución remota de código sin autenticación. La vulnerabilidad es crítica y su explotación permite control total del sistema, comprometiendo la seguridad. cve-2026-69255 permite la ejecución remota de código en Flowise mediante inyección de código Python. Esta vulnerabilidad es crítica y afecta a versiones anteriores a 3.1.3. La explotación activa facilita el control total del sistema afectado. cve-2026-69256 describe una vulnerabilidad crítica en Flowise que permite ejecución remota de código mediante deserialización insegura en la función de lectura CSV. Un usuario autenticado puede ejecutar comandos arbitrarios modificando flujos de chat con cargas maliciosas. cve-2026-69259 permite ejecución remota de código en Flowise debido a una sobrescritura arbitraria del archivo de base de datos SQLite. Esto facilita la ejecución de comandos con privilegios elevados en el sistema afectado. La vulnerabilidad tiene un alto impacto y se ha confirmado explotación activa. cve-2026-24254 afecta a NVIDIA Dynamo for Linux y permite ejecución remota de código, escalada de privilegios y denegación de servicio. Esta vulnerabilidad crítica se debe a una escritura fuera de límites que compromete la integridad y confidencialidad del sistema. cve-2026-69264 es una vulnerabilidad crítica que permite la ejecución remota de código en Flowise. Un atacante puede explotar esta falla para ejecutar comandos arbitrarios y comprometer completamente el sistema host. La vulnerabilidad afecta a la gestión de datos CSV en los flujos de trabajo de agentes de IA. cve-2026-70470 afecta a Flowise permitiendo ejecución remota de código debido a bypass de validación por identificadores homoglifos Unicode. Esta falla crítica permite controlar comandos del sistema en el host de Flowise. cve-2017-20241 afecta a Keysight IxChariot Endpoint con un desbordamiento de búfer que permite la ejecución remota de código y la caída del servicio. La vulnerabilidad es crítica y se ha confirmado la explotación activa. cve-2017-20242 afecta a Keysight IxChariot Endpoint con un desbordamiento de pila que permite ejecutar código remoto o provocar fallos. Su gravedad es crítica y la explotación ha sido verificada. cve-2026-0163 afecta a dispositivos Google Pixel permitiendo la escalada remota de privilegios a través de un uso después de liberación. Es una vulnerabilidad crítica con alta severidad que no requiere interacción del usuario. cve-2026-49435 afecta a Keysight IxChariot Endpoint con una vulnerabilidad crítica que permite ejecución remota de código con privilegios administrativos mediante desbordamiento de búfer en pila. Esta vulnerabilidad representa un alto riesgo para la seguridad de los sistemas afectados. cve-2026-69703 expone una vulnerabilidad crítica de control de acceso en Atlas Livre que permite eliminar datos sin autenticación. Esta falla se debe a una incorrecta implementación de redirecciones en el código, que no impide la ejecución de acciones administrativas. cve-2026-70477 permite la ejecución remota de código en Flowise debido a la validación insuficiente de comandos en un nodo CSV. El atacante puede ejecutar código arbitrario con privilegios elevados a través de una inyección en un flujo de conversación. cve-2026-70478 expone flujos personalizados de modelos de lenguaje a la manipulación de tokens OAuth mediante un control inadecuado de accesos en un endpoint crítico. Esta vulnerabilidad permite acceso no autorizado a servicios conectados y el agotamiento de recursos de autenticación. cve-2026-70552 describe una vulnerabilidad crítica en MaxSite CMS que permite eludir la autenticación y realizar acciones administrativas sin credenciales. Esta falla afecta a sistemas de gestión de contenidos y puede conducir a manipulaciones graves en operaciones restringidas. cve-2026-70553 describe una vulnerabilidad crítica en MaxSite CMS que permite la ejecución remota de código sin autenticación mediante la inyección en el archivo de configuración. Esta falla afecta a la seguridad del servidor web y puede ser explotada de forma persistente. cve-2026-45538 afecta a OpenSIPS con una vulnerabilidad crítica de desbordamiento de buffer que puede permitir la ejecución remota de código o la caída del servicio. Esta falla se produce al procesar encabezados SIP excesivamente largos sin límites adecuados. cve-2026-70554 describe una vulnerabilidad crítica en MaxSite CMS que permite la ejecución remota de código mediante la inyección de objetos PHP. Esta falla se debe a la deserialización insegura y puede ser explotada sin autenticación. cve-2026-45100 afecta a OpenSIPS y permite un desbordamiento de búfer causado por una verificación incorrecta en la transformación de codificación Base64. Esto puede llevar a corrupción de memoria y ejecución remota de código. La explotación depende de la configuración del enrutamiento en el servidor SIP. cve-2026-45537 afecta a OpenSIPS por un desbordamiento de búfer que permite la manipulación del enrutamiento SIP. Es una vulnerabilidad crítica con explotación confirmada que compromete la integridad del servidor.