Top Vulnerabilidades Críticas 06-09-2026

cve-2026-13447 expone una grave vulnerabilidad en el plugin Mstore Api para WordPress, permitiendo a atacantes evadir la autenticación mediante JWT falsificados. La falta de comprobación de la firma hace posible el acceso no autorizado a cuentas y la creación arbitraria de usuarios. cve-2026-83627 afecta a un plugin de caché en WordPress permitiendo ejecución remota de código sin autenticación previa bajo ciertas configuraciones. La vulnerabilidad aprovecha un fallo en el manejo del archivo de registro donde se inyecta código PHP malicioso a través de cookies no sanitizadas. Estas condiciones precisas para la explotación limitan su alcance pero no reducen su gravedad crítica. cve-2024-11080 afecta a ComboBlocks The Post Grid and Gutenberg Blocks en WordPress, permitiendo ejecución remota de código por inyección de hooks sin autenticación y con explotación activa confirmada. cve-2026-86117 describe una vulnerabilidad crítica en Coolify que permite la omisión de autenticación mediante manipulación del proceso OAuth. Este fallo puede ser explotado para acceder a cuentas sin credenciales ni factores adicionales de seguridad. cve-2026-86119 expone un fallo crítico en Webstudio que permite ataques remotos para acceder a metadatos y servicios internos. Esta vulnerabilidad destaca por su severidad y explotación activa conocida. Se debe priorizar su mitigación inmediata para evitar compromisos en la infraestructura. cve-2026-86121 permite a atacantes ejecutar comandos y acceder sin autenticación a archivos y shells en CUA computer-server. Esta vulnerabilidad es crítica por su impacto en la seguridad del sistema y la ejecución remota de código. Representa un riesgo grave en entornos donde se emplea este servidor de contenedores. cve-2026-86123 afecta a SQL Chat permitiendo ejecución remota de código sin autenticación mediante puntos API vulnerables. Esta falla crítica posibilita control total sobre las bases de datos y el servidor comprometido. cve-2026-86124 afecta a HKUDS AutoAgent y permite ejecución remota de código sin autenticación con privilegios de root. La vulnerabilidad compromete el sistema y permite acceso a directorios del anfitrión. Se confirma explotación activa de esta falla crítica. cve-2026-10196 afecta al plugin Mail Mint para WordPress, permitiendo la ejecución remota de código mediante inyección de objetos PHP. La vulnerabilidad es crítica y facilita ataques sin necesidad de autenticación. cve-2026-86184 presenta un bypass de autenticación crítico en Lara Dashboard que permite a atacantes no autorizados acceder y controlar sistemas. Esta vulnerabilidad permite la ejecución remota de código y el acceso completo a la gestión de usuarios y datos. La confirmación de explotación activa resalta la gravedad del fallo. cve-2026-86189 afecta a AVideo permitiendo la escritura de archivos arbitrarios con explotación activa confirmada. Esta vulnerabilidad crítica permite la ejecución remota de código y compromete la seguridad de la aplicación. cve-2026-86190 expone controles de acceso permitiendo a atacantes no autenticados obtener información confidencial y secuestrar sesiones en WWBN AVideo. Esta vulnerabilidad crítica afecta la privacidad y seguridad de usuarios y administradores del sistema. cve-2026-67276 describe una vulnerabilidad crítica en Mikrotik RouterOS que permite acceso remoto sin autenticación correcta. La falla reside en la comprobación incompleta de claves RSA en SSH, facilitando la suplantación y control del dispositivo. cve-2026-86060 describe una vulnerabilidad crítica en Mikrotik RouterOS que permite la elevación de privilegios a través del acceso SSH sin autenticación. Este fallo en el manejo de nombres de usuario puede alterar la política de confianza del sistema, facilitando el control del dispositivo. cve-2026-86148 es una vulnerabilidad crítica en routers Tenda que permite ejecución remota de código mediante inyección de comandos. Esta falla puede comprometer completamente la integridad y el control del dispositivo afectado. cve-2026-86149 afecta a dispositivos Tenda CP3 con inyección remota de comandos. Esta vulnerabilidad crítica permite la ejecución de código arbitrario. Su explotación puede comprometer completamente el dispositivo víctima. cve-2026-86151 afecta a routers Tenda CP3 permitiendo la ejecución remota de comandos. Esta vulnerabilidad crítica permite a atacantes tomar control del dispositivo a través de la gestión de red maliciosa. cve-2026-86152 describe una ejecución remota de comandos en routers Tenda CP3 mediante una función vulnerable en la gestión WiFi automática. Esta vulnerabilidad permite a un atacante tomar control del dispositivo a nivel del sistema operativo. cve-2026-86153 permite la explotación remota en routers Tenda CP3 debido a una gestión incorrecta de privilegios. La vulnerabilidad es crítica y puede comprometer por completo la seguridad del dispositivo. cve-2026-16310 permite a atacantes no autenticados tomar control de cuentas administrativas en WordPress mediante un fallo en la validación de parámetros en el plugin MemberDash. cve-2026-75816 afecta a un plugin de WordPress facilitando el control de cuentas por bypass de autenticación. Esta vulnerabilidad crítica permite a atacantes no autenticados secuestrar cuentas de administrador modificando correos y usando el flujo de recuperación. cve-2026-86218 permite ejecución remota de código sin autenticación en N-central de N-Able. Esta vulnerabilidad crítica permite control total del sistema por parte de atacantes remotos.