Top Vulnerabilidades Críticas 06-10-2026

cve-2024-23625 afecta a dispositivos D-Link DAP1650 con un fallo crítico de inyección de comandos que permite la ejecución remota. Esta vulnerabilidad ya está siendo explotada activamente, aumentando su gravedad y urgencia. cve-2026-95675 afecta a routers D-Link DAP-1360 permitiendo la ejecución remota de comandos arbitrarios. Esta vulnerabilidad es crítica y está siendo explotada activamente, representando un riesgo grave para la seguridad de los dispositivos afectados. cve-2026-100102 permite la ejecución remota de código a través de una interfaz de depuración Java expuesta sin autenticación en Perforce P4 Search. Esta falla crítica facilita la toma completa del servidor asociado. cve-2026-100103 describe una grave vulnerabilidad en Perforce P4 Search que permite saltarse la autenticación mediante un token por defecto, exponiendo el sistema a la ejecución remota de código con privilegios máximos. cve-2026-103510 permite a atacantes no autenticados saltarse la autenticación en Perforce P4 Search, logrando acceso completo y comprometiendo el sistema. Esta vulnerabilidad crítica destaca por la facilidad de explotación y el impacto en la seguridad de servidores P4. cve-2026-105284 afecta a routers Totolink permitiendo accesos no autorizados remotos mediante manipulación en la autenticación. Esta vulnerabilidad es crítica y cuenta con código de explotación público, aumentando su riesgo de ataque. cve-2026-105285 afecta a un router inalámbrico Totolink A3002MU con desbordamiento de búfer en la pila que permite ejecución remota de código. La vulnerabilidad es crítica y explotable de forma remota. cve-2026-79820 reporta una falla crítica en el firmware HPE Integrated Lights-Out 7 que permite el acceso remoto sin autenticación válida. Esta vulnerabilidad pone en riesgo el control total del sistema, facilitando la ejecución de comandos con permisos elevados y exponiendo la infraestructura a ataques remotos. cve-2026-102428 describe una inyección SQL crítica y explotada activamente en una extensión para Joomla desarrollada por OrdaSoft. Este fallo permite la ejecución remota de comandos en la base de datos, comprometiendo la integridad del sistema. cve-2026-88395 afecta a GouGuOA al permitir inyección SQL en el parámetro keywords. La vulnerabilidad puede comprometer la integridad y confidencialidad de los datos, con explotación activa confirmada. cve-2026-103352 afecta a un plugin de WordPress permitiendo inyección SQL ciega que compromete la base de datos. Esta vulnerabilidad tiene una severidad crítica y explotación activa confirmada. cve-2026-105636 es una vulnerabilidad crítica en Plane que permite a atacantes acceder a datos internos mediante redirecciones en webhooks. Este fallo afecta a la validación de URL en la gestión de proyectos, con impacto en la confidencialidad y seguridad interna. cve-2026-105637 describe una vulnerabilidad crítica en Plane que permite a usuarios invitados acceder a archivos y recursos de otros proyectos dentro del mismo espacio de trabajo mediante una mala validación de identificadores. Esta explotación puede conducir a la divulgación no autorizada de información sensible y control indebido sobre recursos protegidos. cve-2026-105638 afecta a la autenticación de Plane, permitiendo ataques de fuerza bruta debido a la falta de limitación en intentos fallidos del código OTP. La vulnerabilidad es crítica por permitir accesos no autorizados. cve-2026-105639 afecta a Plane con una vulnerabilidad crítica que permite a un atacante registrar cuentas con correos de otros usuarios y acceder a sus invitaciones, logrando así suplantación y acceso no autorizado a espacios de trabajo. La solución es actualizar a la versión segura de Plane. cve-2026-105640 es una vulnerabilidad crítica en Plane que permite el acceso no autorizado a cuentas mediante la explotación de integraciones OAuth con verificación insuficiente del correo electrónico. Este fallo pone en riesgo la seguridad de las cuentas de usuarios en entornos afectados. cve-2026-105641 expone claves secretas fijas en Plane que permiten la falsificación y eludir autenticación. Este fallo crítico compromete la seguridad del sistema y las cuentas de usuario. cve-2026-97283 afecta a Advanced Post Manager y permite inyección de objetos por deserialización insegura. Esta vulnerabilidad permite ejecución remota de código en sistemas afectados. Es crítica y requiere atención inmediata para mitigar riesgos. cve-2026-105691 describe una ejecución remota de comandos en Penpot debido a la inyección de metacaracteres en la exportación SVG. Esta vulnerabilidad crítica permite a un atacante ejecutar comandos con privilegios elevados mediante archivos o enlaces manipulados. cve-2026-105697 afecta a Langflow y permite ejecución remota de código debido a falta de control en comandos del servidor MCP. Esta vulnerabilidad crítica permite atacar sistemas sin necesidad de autenticación en configuraciones por defecto. La mitigación principal es actualizar a versiones corregidas que restringen estos comandos. cve-2026-105740 expone una falla crítica en Langflow que permite la ejecución remota de código sin restricciones. Este problema afecta directamente la seguridad del servidor al procesar comandos maliciosos sin filtro alguno. cve-2026-77226 afecta a un motor de flujo de trabajo con una grave falla de autorización que permite la creación de cuentas administrativas sin control. Esta vulnerabilidad tiene un impacto crítico en la seguridad y compromete el control del sistema. cve-2026-21589 permite a un atacante no autenticado acceder a archivos específicos en varios productos de Atlassian, afectando la confidencialidad. La vulnerabilidad es crítica y tiene un alto impacto en sistemas de gestión y colaboración en software. cve-2026-91107 describe una vulnerabilidad crítica en openSIS Classic que permite a usuarios con rol de profesor cambiar contraseñas sin autorización. Esta falla facilita el acceso no autorizado y el control de cuentas administrativas. cve-2026-105763 afecta a la plataforma Twenty, exponiendo contraseñas en texto plano mediante consultas GraphQL sin restricción. Esta vulnerabilidad permite a usuarios con permisos limitados obtener credenciales ajenas y comprometer servicios externos. cve-2026-105484 afecta a routers TOTOLINK X6000R permitiendo ejecución remota de comandos por manipulación del firmware. La vulnerabilidad es crítica y permite a atacantes controlar totalmente el dispositivo.