Top Vulnerabilidades Críticas 27-09-2026

cve-2026-18143 afecta al plugin Request a Quote de WooCommerce, permitiendo subida arbitraria de archivos que pueden ejecutar código remoto. Esta vulnerabilidad es crítica y permite ataques sin necesidad de autenticación previa. cve-2026-100606 describe una vulnerabilidad crítica en Flowise Enterprise que permite eludir la autenticación SSO y tomar el control de cuentas invitadas sin el token de invitación. Esta falla compromete la seguridad de las organizaciones gestionadas en la plataforma a través de un acceso no autorizado persistente. cve-2026-100607 permite a atacantes acceder completamente a cuentas en Flowise al suplantar correos electrónicos en el sistema de autenticación. Esta falla crítica facilita el compromiso total de credenciales y recursos asociados. cve-2026-100684 describe una vulnerabilidad crítica en Budibase Server que permite la toma de control total mediante eludir la autenticación en el inicio de sesión SSO. El fallo radica en la validación insuficiente de invitaciones, permitiendo acceso administrativo completo. Esta vulnerabilidad representa un riesgo grave para la integridad y confidencialidad de los datos. cve-2026-100706 afecta a Kyverno permitiendo la escalada de privilegios mediante manipulación de rutas codificadas en URL. La vulnerabilidad permite a atacantes crear objetos en diferentes namespaces y obtener control total del clúster Kubernetes. cve-2026-100714 describe una ejecución remota de código crítica en Froxlor, un panel de control para servidores web. Permite la inyección en la línea de comandos del script acme.sh, con ejecución como root. cve-2026-100716 en Froxlor permite la escalada de privilegios mediante manipulación de enlaces simbólicos durante la exportación de datos. Esta vulnerabilidad crítica afecta la integridad del sistema eliminando el control adecuado en la validación de rutas. Proteger las versiones anteriores es esencial para evitar acceso no autorizado y compromisos cruzados entre usuarios. cve-2026-100720 presenta una vulnerabilidad crítica de cross-site scripting almacenado en Froxlor que permite la toma de control total de administradores y ejecución remota de código con privilegios elevados. Esta falla afecta la gestión de certificados SSL y está corregida en versiones posteriores. cve-2026-94130 afecta a una extensión de Joomla que permite la inyección SQL sin autenticación. Esta vulnerabilidad grave compromete la integridad y confidencialidad de datos mediante comandos maliciosos en consultas a bases de datos. Su explotación activa la convierte en una amenaza crítica para sistemas afectados. cve-2026-94132 afecta a AcyMailing Enterprise en Joomla, permitiendo ejecución remota de código mediante archivos PHP maliciosos enviados por correo electrónico. Esta vulnerabilidad es crítica con una puntuación alta de severidad. cve-2026-97160 afecta a la extensión UP plugin de Joomla. Permite la inyección remota de comandos con privilegios privilegiados. Su explotación activa tiene un impacto severo en la seguridad de los sistemas afectados. cve-2026-97161 afecta a la extensión UP del sistema Joomla. Permite acceso no autorizado a archivos y potencial ejecución de código peligrosa. Su severidad es crítica y tiene explotación activa confirmada. cve-2026-97163 describe una vulnerabilidad crítica en la extensión UP para Joomla. Permite ejecución remota de código sin autenticación. Este fallo puede comprometer completamente sistemas afectados. cve-2026-85984 afecta a un popular plugin de autenticación WordPress permitiendo bypass de autenticación y acceso administrativo sin verificación. Esta falla crítica expone sitios a compromisos graves cuando se activan opciones específicas del plugin. cve-2026-82901 describe una grave vulnerabilidad de carga arbitraria de archivos en Ultra Addons for Contact Form 7. Permite a atacantes no autenticados subir archivos maliciosos que pueden ejecutar código remoto si el módulo PDF Generator está activo. cve-2026-100721 destaca por permitir la ejecución arbitraria de código debido a un bypass de autorización en el sandbox de vm2. La vulnerabilidad reside en una incorrecta resolución de módulos externos que permite a código no confiable escapar del sandbox. cve-2026-100835 expone a Contrast a ataques de suplantación mediante retransmisión en atestación remota, poniendo en riesgo la integridad de la verificación de hardware confiable. Esta falla crítica permite a atacantes interceptar y manipular comunicaciones para hacerse pasar por componentes autenticados.