Top Vulnerabilidades Críticas 05-10-2026

cve-2026-105134 afecta a Ahsay AhsayCBS y permite la ejecución remota de comandos mediante inyección en un argumento manipulable. La vulnerabilidad es crítica y de explotación activa confirmada, comprometiendo la seguridad del sistema afectado. cve-2026-105135 afecta a InternLM MindSearch permitiendo la ejecución remota de código mediante manipulación de argumentos. Esta vulnerabilidad crítica ya cuenta con explotación activa. Es esencial prestar atención a esta amenaza para proteger sistemas con este software. cve-2026-103355 es una vulnerabilidad crítica de inyección SQL ciega en Unlimited Elements For Elementor que permite manipulación no autorizada de datos con explotación activa confirmada. cve-2026-105207 expone una vulnerabilidad crítica en ZITADEL que permite la vinculación no autorizada de identidades externas a cuentas de usuario. Un atacante no autenticado puede acceder a cuentas de otros usuarios sin necesidad de factores de autenticación adicionales. cve-2026-105209 describe una vulnerabilidad crítica en la plataforma ZITADEL que permite a un atacante con permisos limitados tomar el control de cuentas en otras organizaciones. Este fallo se debe a una autorización inadecuada al emitir códigos de inscripción para autenticación sin contraseña. cve-2026-105211 describe una crítica omisión de autenticación en ZITADEL Login V2. Permite a atacantes obtener códigos OTP y tomar control de cuentas con MFA. Esta vulnerabilidad afecta la seguridad de acceso y privilegios administrativos. cve-2026-105215 describe una omisión de autenticación en la plataforma de gestión de identidades ZITADEL. Esta falla permite a atacantes no autorizados pre-crear cuentas falsas vinculadas a identidades externas, comprometiendo la seguridad del acceso. cve-2026-105086 reporta una vulnerabilidad de cross-site scripting en WWBN AVideo que permite la ejecución remota de código a través de títulos de vídeo manipulados. Esta falla afecta varias páginas críticas de la plataforma y presenta un alto riesgo de explotación activa. cve-2026-105089 es una vulnerabilidad crítica en WWBN AVideo que permite la ejecución de código JavaScript en el navegador del usuario. Esta vulnerabilidad de cross-site scripting almacenado afecta la seguridad y la integridad del sistema de reproducción de vídeo. cve-2026-105216 afecta a go-micro y permite ataques man-in-the-middle mediante una validación incorrecta de certificados en comunicaciones TLS. Esta falla crítica facilita la suplantación de servicios y el robo de credenciales en múltiples protocolos y sistemas registrales. cve-2026-105218 afecta a GoPay permitiendo ataques de intermediario mediante la desactivación de la verificación TLS, comprometiendo credenciales y datos de transacciones. Esta vulnerabilidad crítica facilita la interceptación y modificación de comunicaciones sensibles. cve-2026-105221 afecta a la librería RubyGem gist, permitiendo ataques de intermediario mediante la validación incorrecta de certificados. Esta vulnerabilidad expone credenciales y tokens OAuth, comprometiendo la seguridad en las comunicaciones con la API de GitHub. cve-2026-105222 afecta a un paquete Laravel que desactiva la verificación TLS, permitiendo ataques de interceptación y robo de claves API en servicios de Google Maps. cve-2026-105223 afecta a maclof kubernetes-client y permite a atacantes capturar credenciales y manipular tráfico por suplantación del servidor API. La vulnerabilidad se basa en la desactivación inapropiada de la verificación TLS en configuraciones específicas. Esto expone a las aplicaciones a riesgos críticos en la comunicación segura con Kubernetes. cve-2026-105293 se trata de una vulnerabilidad crítica de recorrido de directorios en Legcord que permite ejecución remota de código y manipulación de archivos fuera de zonas autorizadas. Esta vulnerabilidad tiene explotación activa confirmada y representa un riesgo importante para la seguridad del sistema. cve-2026-105294 afecta a Legcord, permitiendo la inyección de configuraciones maliciosas que redirigen el tráfico y evaden certificados. Esta vulnerabilidad crítica facilita ataques de interceptación persistentes.