Top Vulnerabilidades Críticas 25-09-2026

cve-2026-30633 describe una vulnerabilidad crítica de recorrido de ruta en KEV Console que permite acceso no autorizado a directorios restringidos. Su explotación activa representa un riesgo severo para la seguridad de los sistemas afectados. cve-2026-18322 afecta a un producto con gestión incorrecta de privilegios que permite la escalada de permisos. Explota una mala asignación de privilegios y su explotación ha sido confirmada de manera activa. Es una vulnerabilidad crítica dada su severidad y riesgo de ataque. cve-2026-78308 afecta a Delta DIAEnergie permitiendo omitir la autenticación y acceder sin permisos. Representa un riesgo crítico por permitir acceso no autorizado a sistemas de gestión energética. cve-2026-78312 afecta a Delta DIAEnergie y permite explotación de Path Traversal para acceder a archivos sensibles por validación incorrecta de rutas. cve-2026-12227 describe una vulnerabilidad crítica en Visual Composer Website Builder que permite incluir y ejecutar código arbitrario en el servidor. Este fallo afecta a la seguridad de sitios web al permitir acceso no autorizado y ejecución remota de código. cve-2026-19072 afecta a Velociraptor permitiendo la ejecución remota de código con privilegios de administrador mediante la manipulación de campos internos. Esta vulnerabilidad es crítica y ha sido explotada activamente, representando un riesgo severo para la seguridad de las infraestructuras que usen este software. cve-2026-91187 afecta a dashbit nimble_zta permitiendo a atacantes remotos falsificar tokens de autenticación en sistemas Cloudflare Zero Trust. La vulnerabilidad tiene una severidad crítica y permite suplantación total de identidad. Es imprescindible aplicar actualizaciones para neutralizar esta amenaza. cve-2026-97359 afecta a HFS2 y permite la ejecución remota de código mediante inyección en nombres de archivo durante cargas multipart. Esta vulnerabilidad es crítica y explotable sin necesidad de autenticación. cve-2026-97360 afecta a un servidor HTTP con una vulnerabilidad crítica que permite acceso arbitrario a archivos sin autenticación, poniendo en riesgo la confidencialidad, integridad y disponibilidad del sistema. Esta falla explota la falta de autorización en el manejador de macros y la resolución deficiente de rutas absolutas. cve-2026-81549 expone una vulnerabilidad crítica en IBM DataStage on Cloud Pak for Data que permite obtener información sensible a atacantes remotos autenticados. La causa es una validación incorrecta en un encabezado HTTP importante, lo que compromete la confidencialidad de los datos procesados por la plataforma. cve-2026-90481 afecta a PortSwigger Burp Suite DAST y permite un bypass de autenticación mediante un canal alternativo, con severidad crítica. Esta vulnerabilidad pone en riesgo la integridad del acceso al sistema afectado. cve-2026-97404 permite a atacantes remotos no autorizados eludir la autenticación y controlar recursos en OpenStack Zaqar. La vulnerabilidad afecta la gestión de colas y la realización de operaciones administrativas bajo ciertas configuraciones. cve-2026-93425 permite la ejecución remota de comandos con privilegios de root en Dokploy. Esta vulnerabilidad grave facilita el control total del sistema y compromete el entorno de aplicaciones gestionadas. cve-2026-79766 afecta a Termix permitiendo ejecución remota de comandos mediante interpolación insegura en comandos shell. Esta vulnerabilidad puede exponer datos sensibles y credenciales internas. La explotación activa está confirmada y se requiere actualización urgente. cve-2026-61604 afecta la lógica de validación en ixo blockchain permitiendo movimientos no autorizados de fondos. La vulnerabilidad fue explotada activamente y requiere actualización urgente del software para mitigar daños. No existen métodos alternativos para mitigar esta falla fuera de la actualización. cve-2026-61732 afecta a Decepticon y permite la ejecución remota de comandos en entornos Kali Linux mediante manipulación de tokens ChatML. Es una vulnerabilidad crítica con explotación activa confirmada que se corrige actualizando a la versión 1.1.17. cve-2026-61741 afecta a decodificadores XML en http4s scala-xml permitiendo ataques XXE con alto impacto. La vulnerabilidad permite acceso a archivos locales, ejecución de solicitudes internas y denegación de servicio. La actualización a versiones corregidas es esencial para mitigar el riesgo. cve-2026-61742 permite la ejecución remota de comandos en el servidor DBHub mediante ataques DNS rebinding, aprovechando una falla en la protección CORS. Esta vulnerabilidad crítica afecta a varias bases de datos gestionadas por DBHub y puede permitir control completo sin autenticación. cve-2026-13016 describe una vulnerabilidad crítica de inyección SQL en ServiceNow AI Platform que permite ejecución arbitraria de sentencias SQL y acceso no autorizado a datos. Esta falla debe ser corregida aplicando el parche oficial. cve-2026-13249 afecta a impresoras industriales Honeywell y permite ejecución remota de código sin autenticación por carga arbitraria de archivos. Esta vulnerabilidad crítica requiere actualización urgente de firmware. cve-2026-86860 describe una vulnerabilidad crítica en la plataforma ServiceNow AI que permite la escalada de privilegios por falta de autorización. Esta falla afecta a instancias hospedadas y autoalojadas, y puede exponer datos sensibles a usuarios no autenticados. cve-2026-93289 afecta a sistemas de control industrial de Cisco mediante inyección remota de comandos. Esta vulnerabilidad crítica permite la ejecución de código sin autenticación durante el emparejamiento, representando un riesgo elevado para la seguridad operativa. cve-2026-93291 afecta a un dispositivo industrial Omni C20 permitiendo la ejecución remota de código mediante ataques man-in-the-middle debido a la falta de validación de certificados. cve-2026-81630 afecta a cámaras de Botslab debido a la falta de verificación segura de actualizaciones. Permite ejecución remota de código mediante firmware modificado. Esta debilidad compromete la integridad y el control del dispositivo.