Top Vulnerabilidades Críticas 24-06-2026

cve-2024-6648 afecta a apollotheme ap_pagebuilder y permite un salto de directorio debido a la falta de restricción adecuada en la ruta, causando exposición no autorizada de archivos del sistema. Esta vulnerabilidad tiene explotación activa confirmada, elevando su criticidad y urgencia en la mitigación. cve-2025-12352 es una vulnerabilidad crítica en Google Cloud Console que permite la carga no restringida de archivos peligrosos y puede llevar a la ejecución remota de código. Esta falla está siendo explotada activamente, aumentando el riesgo en entornos afectados. cve-2026-6433 reporta una vulnerabilidad crítica de inyección de código con explotación activa confirmada que permite ejecución remota de comandos en el sistema afectado. Este fallo representa un riesgo severo para la integridad y control del sistema. cve-2020-36847 afecta a SimpleFileList simple_file_list permitiendo la subida ilimitada de archivos maliciosos. Esto puede llevar a la ejecución remota de código con consecuencias graves para la seguridad del sistema. cve-2025-7443 afecta a un plugin popular de WordPress permitiendo la subida de archivos maliciosos sin restricción. Esto puede permitir ejecutar código remotamente y tomar control del servidor. cve-2025-67038 afecta a Lantronix EDS5000 con una inyección de código que permite la ejecución remota de comandos y control total del dispositivo. Esta vulnerabilidad está siendo activamente explotada y representa un riesgo crítico para la gestión remota industrial. cve-2026-12866 expone una ejecución remota de código en expr eval de silentmatt debido a la transformación directa de expresiones en código ejecutable. Esta vulnerabilidad crítica permite a un atacante ejecutar código arbitrario en el contexto de la aplicación afectada. cve-2026-9733 permite secuestro de sesiones por predicción del parámetro state en Mojolicious Plugin Web Auth OAuth2. Esta vulnerabilidad crítica expone aplicaciones Perl a ataques CSRF mediante explotación activa, comprometiendo la autenticidad de usuarios. cve-2026-11374 describe una vulnerabilidad crítica en productos de ManageEngine que permite la predicción de tickets SSO y la toma de control de cuentas sin autenticación previa. Esta falla afecta a herramientas esenciales para la gestión de acceso y auditorías, elevando el riesgo de compromisos de seguridad graves. cve-2026-44089 afecta al router Totolink EX1200L mediante un desbordamiento de búfer que permite ejecución remota de código con privilegios root y puede causar daños críticos en el dispositivo. cve-2026-56258 afecta a Crawl4AI permitiendo escritura arbitraria de archivos y ejecución remota de código mediante validación insuficiente y explotación TOCTOU. cve-2026-56315 afecta a picklescan y permite la ejecución remota de código mediante archivos pickle maliciosos que evaden mecanismos de seguridad. Esta vulnerabilidad crítica destaca por su alta severidad y explotación confirmada, comprometiendo sistemas que utilizan esta librería para validar archivos pickle. cve-2026-27604 afecta al sistema FOSSBilling permitiendo acceso total sin autenticación a funciones administrativas de la API. La vulnerabilidad permite ejecutar comandos como administrador sin credenciales, lo que representa un riesgo crítico para la integridad y seguridad del sistema. cve-2026-35019 afecta a routers NetComm NF20MESH permitiendo saltarse la autenticación con una clave cifrada integrada. Esto permite a atacantes sin autorización acceder a la administración del dispositivo y tomar control completo de la interfaz de gestión. cve-2026-48519 afecta a la herramienta Langflow, permitiendo la ejecución remota de código al manipular flujos públicos. Esta vulnerabilidad es crítica y permite el control completo del sistema explotado. cve-2026-55255 afecta a Langflow con una vulnerabilidad crítica de referencia de objeto directa insegura que permite ejecución remota de flujos de trabajo de otros usuarios. La falta de validación de identificadores en la API es la causa principal del fallo. cve-2026-55447 afecta a Langflow permitiendo la lectura arbitraria de archivos mediante control de rutas absolutas. Esta vulnerabilidad crítica expone archivos sensibles del sistema mediante componentes de gestión de archivos. cve-2026-55450 afecta a Langflow permitiendo agotamiento de espacio y filtración de información por carga sin restricciones. La explotación activa confirma su gravedad y la necesidad de actualizar a la versión segura. cve-2026-53662 es una vulnerabilidad crítica en Immich que permite la toma persistente de cuentas mediante cross-site scripting reflejado. Esta falla puede comprometer completamente la cuenta autenticada de un usuario con un solo clic. Su explotación activa confirma la gravedad del problema. cve-2026-54257 afecta a Electron causando corrupción de memoria crítica que puede provocar fallos y problemas de seguridad en aplicaciones de escritorio multiplataforma. cve-2026-53753 afecta a UncleCode Crawl4AI permitiendo la ejecución remota de código sin autenticación mediante un escape del sandbox en funciones de evaluación segura. La vulnerabilidad presenta una severidad crítica y riesgo crítico para sistemas que utilizan esta herramienta. cve-2026-11807 es una vulnerabilidad crítica en Red Hat Event-Driven Ansible que expone credenciales sensibles por falta de control de acceso. Afecta la seguridad de la automatización y permite a usuarios autenticados obtener información confidencial. cve-2026-54588 afecta críticamente a PowerAdmin al permitir la toma de control total de cuentas a través de una falla en la validación de cabeceras HTTP. La explotación confirmada hace que un atacante no autenticado pueda redirigir códigos de autorización a servidores maliciosos. Esta vulnerabilidad es crítica, con un alto puntaje de severidad, y ha sido corregida en versiones posteriores del producto.