https://alertas.dupin.com.ar/Alertas de ciberseguridad en tiempo real y en español: vulnerabilidades nuevas (CVE), exploits públicos y fallas explotadas activamente, con puntaje CVSS, calculadora y buscador.eshttps://alertas.dupin.com.ar/cve/CVE-2026-116007/tg:61077Sun, 25 Oct 2026 05:32:05 +0000VulnerabilidadLa función SmsCodeServiceImpl.validateSmsCode0 del archivo /service/sms/SmsCodeServiceImpl.java no limita adecuadamente los intentos de autenticación excesivos. El ataque puede iniciarse de forma remota, aunque su complejidad es alta y la explotabilidad se considera difícil. El exploit es público y el proveedor no respondió.https://alertas.dupin.com.ar/cve/CVE-2026-116006/tg:61076Sun, 25 Oct 2026 05:32:04 +0000VulnerabilidadLa manipulación de los argumentos mobile/code en AuthController.java del componente SMS Code Verification provoca una autenticación indebida. El ataque puede lanzarse de forma remota y el exploit ya es público. El proveedor fue contactado pero no respondió.https://alertas.dupin.com.ar/cve/CVE-2026-116000/tg:61075Sun, 25 Oct 2026 03:51:58 +0000VulnerabilidadLa función load_file_from_uri del archivo private_gpt/server/ingest/uri_loader.py, del componente URI Artifact Loader, permite falsificación de petición del lado del servidor al manipular el argumento Value. El ataque puede iniciarse de forma remota y el exploit ya es público. El proveedor fue contactado pero no respondió.https://alertas.dupin.com.ar/cve/CVE-2026-115999/tg:61074Sun, 25 Oct 2026 03:51:57 +0000VulnerabilidadLa función mysqli_connect del archivo lsmodal.php permite inyección SQL al manipular los argumentos login_id/epsw. La explotación remota es posible. El producto usa un esquema de publicación continua, por lo que no se indican versiones afectadas o corregidas, y el proveedor no respondió.https://alertas.dupin.com.ar/cve/CVE-2026-116004/tg:61073Sun, 25 Oct 2026 03:51:57 +0000VulnerabilidadUna función no especificada del archivo web/src/app/craft/components/output-panel/PreviewTab.tsx permite cross-site scripting (XSS). El ataque puede iniciarse de forma remota y el exploit se divulgó públicamente. El proveedor fue contactado pero no respondió.https://alertas.dupin.com.ar/cve/CVE-2026-115997/tg:61072Sun, 25 Oct 2026 02:11:47 +0000VulnerabilidadUna falla en pig-mesh pig hasta 4.1.0 permite manipular el argumento ascs/descs en la función orderItem.getColumn de SqlFilterArgumentResolver.java y provocar inyección SQL. El ataque puede lanzarse de forma remota y el exploit ya es público. Se corrige al actualizar a la versión 4.1.1.https://alertas.dupin.com.ar/cve/CVE-2026-38526/tg:61071Sun, 25 Oct 2026 02:11:18 +0000Exploit públicoUna vulnerabilidad de carga arbitraria de archivos autenticada en el endpoint /admin/tinymce/upload de Webkul Krayin CRM v2.2.x permite a un atacante ejecutar código arbitrario subiendo un archivo PHP manipulado.https://alertas.dupin.com.ar/cve/CVE-2026-114820/tg:61070Sun, 25 Oct 2026 02:11:17 +0000Exploit públicoUna vulnerabilidad fácilmente explotable en el componente JSSE de Oracle Java SE, Oracle GraalVM for JDK y Oracle GraalVM Enterprise Edition permite a un atacante no autenticado con acceso de red, mediante múltiples protocolos, crear, eliminar o modificar datos críticos y acceder a ellos sin autorización. Afecta a varias versiones soportadas de esos productos.https://alertas.dupin.com.ar/cve/CVE-2026-109618/tg:61069Sun, 25 Oct 2026 02:11:16 +0000Exploit públicoPHP usa longjmp() para salir del contexto ante errores de falta de memoria (OOM), y algunos contextos pueden dejar memoria de la petición sin inicializar antes de una asignación. La limpieza posterior puede leer o ramificar sobre esa memoria, y distintas estrategias de OOM permiten desencadenar la condición de forma consistente y lograr ejecución remota de código.https://alertas.dupin.com.ar/cve/CVE-2026-116012/tg:61068Sun, 25 Oct 2026 02:11:14 +0000Exploit públicoGhidra antes de 12.2 tiene una vulnerabilidad de truncamiento numérico en PackedDecode::skipAttribute y skipAttributeRemaining de marshal.cc, que almacena longitudes de cadena de 64 bits en variables de 32 bits. Un atacante puede enviar un flujo empaquetado manipulado, como un archivo .sla malicioso, para inyectar atributos en la entrada del decompilador o hacer caer el proceso.https://alertas.dupin.com.ar/cve/CVE-2026-114509/tg:61067Sun, 25 Oct 2026 02:11:13 +0000Exploit públicoEn Laravel, TokenGuard configurado como guard de API por token no rechaza una credencial manipulada que no sea una cadena. En configuraciones afectadas de MySQL o MariaDB, la búsqueda de autenticación puede coincidir con otro usuario existente, lo que permite a un atacante no autenticado evadir la autenticación y tomar el control de una cuenta en rutas protegidas por TokenGuard. Se corrige en las versiones 12.68.0 y 13.29.0.https://alertas.dupin.com.ar/cve/CVE-2026-116011/tg:61066Sun, 25 Oct 2026 02:11:11 +0000Exploit públicoCrow antes de 1.3.4 tiene una vulnerabilidad de recursión no controlada en crow::json::load() que permite a atacantes remotos no autenticados hacer caer el servidor enviando JSON profundamente anidado. Un cuerpo de petición con miles de objetos anidados agota la pila del hilo de trabajo, termina el proceso y corta todas las conexiones.https://alertas.dupin.com.ar/cve/CVE-2026-110264/tg:61064Sun, 25 Oct 2026 02:11:08 +0000Exploit públicoUna falla en GitLab CE/EE, en todas las versiones desde 7.0 anteriores a 18.11.13, 19.0 antes de 19.0.10, 19.1 antes de 19.1.9, 19.2 antes de 19.2.9, 19.3 antes de 19.3.6, 19.4 antes de 19.4.3 y 19.5 antes de 19.5.1, podría permitir, bajo ciertas condiciones, que un usuario no autenticado ejecute código arbitrario en el servidor debido a un desbordamiento de enteros al compilar una expresión regular especialmente manipulada.https://alertas.dupin.com.ar/cve/CVE-2026-64560/tg:61062Sun, 25 Oct 2026 02:11:05 +0000Exploit públicoEn el kernel de Linux se resolvió una vulnerabilidad de uso después de liberar (UAF) causada por una carrera entre sys_timer_delete() y exec() de un hilo no líder. Si el temporizador eliminado estaba armado y encolado en p-signal, la liberación del temporizador posix subyacente puede derivar en un UAF.https://alertas.dupin.com.ar/cve/CVE-2026-115995/tg:61061Sat, 24 Oct 2026 23:31:40 +0000VulnerabilidadUna vulnerabilidad en Unitree Robotics Unitree Go2 hasta 1.1.11.4 permite manipular el argumento Value en la función set_volume de gpt_thread.py, del componente chat_go, y provocar inyección de comandos del sistema. El ataque puede lanzarse de forma remota y se resuelve actualizando a la versión 1.1.11.5.https://alertas.dupin.com.ar/cve/CVE-2026-115982/tg:61060Sat, 24 Oct 2026 23:31:39 +0000VulnerabilidadUna vulnerabilidad en phpIPAM hasta 1.8.3 permite manipular el argumento deviceid en la función create_rack_link de app/tools/racks/show-rack-popup.php, del componente Rack Link Creation, y provocar cross-site scripting. La explotación remota es posible y el exploit ya es público.https://alertas.dupin.com.ar/cve/CVE-2026-115981/tg:61059Sat, 24 Oct 2026 23:31:35 +0000VulnerabilidadUna vulnerabilidad en phpIPAM hasta 1.8.3 permite manipular el argumento REQUEST_URI en upgrade/index.php y provocar cross-site scripting. El ataque puede lanzarse de forma remota y el exploit ya se divulgó públicamente.https://alertas.dupin.com.ar/cve/CVE-2026-115996/tg:61055Sat, 24 Oct 2026 23:31:32 +0000VulnerabilidadUna vulnerabilidad en Unitree Robotics Unitree Go2 hasta 1.1.13/1.1.14.1/1.1.15.1 afecta a la función WebSocketClient.connect de websocket.py, del componente chat_go, y provoca validación incorrecta de certificados. El ataque puede iniciarse de forma remota, aunque su complejidad es alta y la explotabilidad se reporta como difícil.https://alertas.dupin.com.ar/cve/CVE-2026-115973/tg:61054Sat, 24 Oct 2026 20:11:26 +0000VulnerabilidadUna vulnerabilidad en FaveoSuite Faveo Helpdesk 2.0.3 afecta a las funciones ForgotPasswordController::sendResetLinkEmail y PasswordController::reset de app/Http/Controllers/Auth/ForgotPasswordController.php y provoca una recuperación débil de contraseña. El ataque puede iniciarse de forma remota.https://alertas.dupin.com.ar/cve/CVE-2026-115972/tg:61053Sat, 24 Oct 2026 20:11:25 +0000VulnerabilidadUna vulnerabilidad en FaveoSuite Faveo Helpdesk hasta 2.0.3 afecta a las funciones changeStatus, close, open y resolve de UnAuthController en app/Http/Controllers/Client/helpdesk/UnAuthController.php. Manipular los argumentos id/status puede derivar en falta de autorización, y el ataque puede lanzarse de forma remota.https://alertas.dupin.com.ar/cve/CVE-2026-115971/tg:61052Sat, 24 Oct 2026 20:11:24 +0000VulnerabilidadUna vulnerabilidad en Travisun Opptrix 0.4.0 afecta a la función Buffer.concat de /api/channels/webhook/, del componente preParsing handler, y provoca denegación de servicio. El ataque puede iniciarse de forma remota y el exploit se hizo público. El proyecto fue dado de baja y está obsoleto.https://alertas.dupin.com.ar/cve/CVE-2026-115970/tg:61051Sat, 24 Oct 2026 20:11:24 +0000VulnerabilidadUna vulnerabilidad en Travisun Opptrix 0.4.0 afecta a una función no especificada de /api/system-update/import, del componente Import Endpoint, y provoca inyección de código. El ataque puede lanzarse de forma remota y el exploit se divulgó públicamente. El proyecto fue dado de baja y está obsoleto.https://alertas.dupin.com.ar/cve/CVE-2026-114820/tg:61050Sat, 24 Oct 2026 20:11:23 +0000VulnerabilidadUna vulnerabilidad fácilmente explotable en el componente JSSE de Oracle Java SE, Oracle GraalVM for JDK y Oracle GraalVM Enterprise Edition permite a un atacante no autenticado con acceso de red, mediante múltiples protocolos, crear, eliminar o modificar datos críticos y acceder a ellos sin autorización. Afecta a varias versiones soportadas de esos productos.https://alertas.dupin.com.ar/cve/CVE-2026-111497/tg:61042Sat, 24 Oct 2026 19:44:40 +0000Exploit públicoUn desbordamiento de búfer en el decodificador Brotli (c/dec/decode.c) de Google Brotli, versiones 1.0.3 a 1.2.0 en todas las plataformas, permite a un atacante remoto no autenticado corromper memoria adyacente del decodificador, exponer contenido sensible de memoria, causar denegación de servicio o potencialmente ejecutar código arbitrario mediante un flujo comprimido con Brotli manipulado. Se debe actualizar a 1.0.10, 1.1.1 o 1.2.1.https://alertas.dupin.com.ar/cve/CVE-2026-115969/tg:61039Sat, 24 Oct 2026 18:31:15 +0000VulnerabilidadUna vulnerabilidad en Travisun Opptrix 0.4.0 afecta a una función no especificada de /api/auth/setup, del componente Schedule API, y provoca inyección de comandos. El ataque puede iniciarse de forma remota y el exploit ya es público. El proyecto fue dado de baja y está obsoleto.https://alertas.dupin.com.ar/cve/CVE-2026-115557/tg:61038Sat, 24 Oct 2026 16:01:10 +0000VulnerabilidadPython agregó al módulo ssl una lista de denegación de certificados conocidos como comprometidos para proteger al usuario aunque no se configure revocación de certificados. Esos certificados se rechazan automáticamente sin importar la configuración de política del SSLContext.https://alertas.dupin.com.ar/cve/CVE-2026-114191/tg:61037Sat, 24 Oct 2026 16:01:06 +0000VulnerabilidadEl plugin UPI QR Code Payment Gateway for WooCommerce de Knit Pay carece de autorización en versiones hasta la 1.6.3, lo que permite explotar niveles de control de acceso mal configurados. Afecta a todas las versiones desde n/a hasta 1.6.3.https://alertas.dupin.com.ar/cve/CVE-2026-114629/tg:61036Sat, 24 Oct 2026 16:01:05 +0000VulnerabilidadWeb::Simple para Perl, en versiones anteriores a la 0.035, asigna un búfer del tamaño indicado por el encabezado Content-Length al procesar cuerpos urlencoded, sin límite y sin verificar el valor de retorno de la lectura. Un atacante puede enviar un Content-Length mucho mayor que el cuerpo real a través de cualquier ruta con coincidencia de parámetros de cuerpo, sin necesidad de autenticación.https://alertas.dupin.com.ar/cve/CVE-2026-114192/tg:61035Sat, 24 Oct 2026 16:01:04 +0000VulnerabilidadEl plugin WpEvently de Magepeople inc. carece de autorización en versiones hasta la 5.7.8, lo que permite explotar niveles de control de acceso mal configurados. Afecta a todas las versiones desde n/a hasta 5.7.8.https://alertas.dupin.com.ar/cve/CVE-2026-114704/tg:61034Sat, 24 Oct 2026 16:01:03 +0000VulnerabilidadEl plugin Relevanssi de Christoph Vielgrader es vulnerable a deserialización de datos no confiables en versiones hasta la 4.28.4, lo que permite inyección de objetos. Afecta a todas las versiones desde n/a hasta 4.28.4.https://alertas.dupin.com.ar/cve/CVE-2026-115933/tg:61033Sat, 24 Oct 2026 16:01:03 +0000VulnerabilidadPostiz firma sus tokens de sesión, invitación y restablecimiento de contraseña con un secreto compartido y sin indicar para qué sirve cada token. Una ruta que refresca credenciales de un canal de extensión de navegador firmaba datos tomados de la propia petición, por lo que un usuario registrado podía obtener un token válido con las declaraciones que eligiera y usarlo como sesión, invitación a organización con rol elegido, restablecimiento de contraseña o token de aprovisionamiento empresarial.https://alertas.dupin.com.ar/cve/CVE-2026-110018/tg:61032Sat, 24 Oct 2026 14:20:59 +0000VulnerabilidadEl plugin aBlocks para WordPress, en versiones hasta la 2.17.0, permite escalada de privilegios a través del endpoint REST /ablocks/v1/form-builder/registration, registrado con permission_callback = __return_true. El manejador register() lee roleSlug de atributos de bloque controlados por el atacante sin verificar que formType sea registration, por lo que un usuario con rol Contributor puede conservar un roleSlug arbitrario y escalar privilegios.https://alertas.dupin.com.ar/cve/CVE-2026-116009/tg:61031Sat, 24 Oct 2026 14:20:58 +0000VulnerabilidadCamaleon CMS, en versiones anteriores a la 2.9.3, permite a usuarios con solo el permiso de medios escribir archivos arbitrarios mediante secuencias ../ en el parámetro name. Un atacante puede enviar un URI data: en base64 a la acción crop_url de medios para escribir una plantilla ERB en el directorio de vistas de un tema, que se ejecuta al renderizarse.https://alertas.dupin.com.ar/cve/CVE-2026-116008/tg:61030Sat, 24 Oct 2026 14:20:58 +0000VulnerabilidadDaybydayCRM, hasta la versión 2.2.1, carece de autorización en ProjectsController::updateAssign(), lo que permite a cualquier usuario autenticado reasignar proyectos sin el permiso can-assign-new-user-to-project. Empleados con bajos privilegios pueden enviar peticiones PATCH o POST a /projects/updateassign/{external_id} con un user_assigned_id elegido para redirigir la propiedad del proyecto y las notificaciones.https://alertas.dupin.com.ar/cve/CVE-2026-116010/tg:61029Sat, 24 Oct 2026 14:20:57 +0000VulnerabilidadRosarioSIS, en versiones anteriores a la 12.9.1, carece de autorización y permite a docentes autenticados escribir registros de estudiantes fuera de su período de curso indicando IDs arbitrarios. Pueden modificar los arreglos POST st_arr, values o attendance en MakeReferral.php, EnterEligibility.php, InputFinalGrades.php y TakeAttendance.php para crear derivaciones, códigos de elegibilidad, asistencias y calificaciones finales de cualquier estudiante de la escuela.https://alertas.dupin.com.ar/cve/CVE-2026-116016/tg:61028Sat, 24 Oct 2026 14:20:56 +0000Vulnerabilidadyudao-cloud, hasta la versión 2026.09, permite a usuarios autenticados evadir las restricciones de alcance de datos por fila enviando el encabezado data-permission-enable en false. DataPermissionRpcWebFilter confía en ese encabezado en las peticiones a /admin-api, lo que permite leer o modificar registros de otros departamentos y usuarios del mismo tenant.https://alertas.dupin.com.ar/cve/CVE-2026-116015/tg:61027Sat, 24 Oct 2026 14:20:52 +0000Vulnerabilidadyudao-cloud, hasta la versión 2026.09, presenta una referencia directa insegura a objetos en el módulo mall trade que permite a miembros autenticados leer los registros de operaciones de posventa de otros miembros indicando valores arbitrarios de afterSaleId. Se pueden enumerar IDs secuenciales contra GET /app-api/trade/after-sale-log/list para exponer montos de reembolso, cambios de estado y marcas de tiempo de otros miembros.https://alertas.dupin.com.ar/cve/CVE-2026-116014/tg:61026Sat, 24 Oct 2026 14:20:51 +0000Vulnerabilidadopen62541, en versiones 1.5.0 anteriores a la 1.5.7, presenta un desbordamiento de entero en UA_DataType_fromStructureDescription() que desborda el campo memSize de 16 bits con definiciones de estructuras personalizadas grandes. Un servidor OPC UA malicioso puede enviar definiciones de DataType mediante UA_Client_getRemoteDataTypes(), provocando que decodeBinaryStructure() desborde el heap y cause la caída de clientes o permita ejecución de código.https://alertas.dupin.com.ar/cve/CVE-2026-116013/tg:61025Sat, 24 Oct 2026 14:20:51 +0000Vulnerabilidadlua-resty-dns de OpenResty, en versiones anteriores a la 0.24, no valida en parse_section() y _decode_name() que las longitudes de los registros de recursos coincidan con el mensaje recibido. Un atacante que controle o falsifique un servidor de nombres consultado puede enviar encabezados de registro o RDATA truncados, lo que genera excepciones Lua no capturadas en resolver:query() que abortan las peticiones y rompen la resolución de nombres.https://alertas.dupin.com.ar/cve/CVE-2026-116012/tg:61024Sat, 24 Oct 2026 14:20:50 +0000VulnerabilidadGhidra antes de 12.2 tiene una vulnerabilidad de truncamiento numérico en PackedDecode::skipAttribute y skipAttributeRemaining de marshal.cc, que almacena longitudes de cadena de 64 bits en variables de 32 bits. Un atacante puede enviar un flujo empaquetado manipulado, como un archivo .sla malicioso, para inyectar atributos en la entrada del decompilador o hacer caer el proceso.https://alertas.dupin.com.ar/cve/CVE-2026-116011/tg:61023Sat, 24 Oct 2026 14:20:49 +0000VulnerabilidadCrow antes de 1.3.4 tiene una vulnerabilidad de recursión no controlada en crow::json::load() que permite a atacantes remotos no autenticados hacer caer el servidor enviando JSON profundamente anidado. Un cuerpo de petición con miles de objetos anidados agota la pila del hilo de trabajo, termina el proceso y corta todas las conexiones.https://alertas.dupin.com.ar/cve/CVE-2026-116019/tg:61022Sat, 24 Oct 2026 14:20:44 +0000VulnerabilidadGrav, en versiones 2.0.15 anteriores a la 2.2.13, permite a editores de páginas invocar métodos estáticos públicos arbitrarios reubicando directivas data-*@ con claves unset-name@ o enteras. Quienes tengan permiso de edición de páginas pueden incrustar campos manipulados en anulaciones de formularios Flex en el frontmatter para llamar a métodos como Folder::delete o Utils::download, borrando directorios, sobrescribiendo archivos o leyendo archivos fuera del árbol de páginas.https://alertas.dupin.com.ar/cve/CVE-2026-116018/tg:61021Sat, 24 Oct 2026 14:20:43 +0000VulnerabilidadONEARMY community-platform, en versiones anteriores a la 2.165.2, presenta una referencia directa insegura a objetos que permite a usuarios autenticados marcar como leídas notificaciones de otros usuarios mediante POST /api/notifications/:id/read. Se pueden iterar IDs secuenciales de notificaciones para suprimir los indicadores de no leídas de usuarios del mismo tenant, que así pierden avisos de respuestas, comentarios y contenido nuevo.https://alertas.dupin.com.ar/cve/CVE-2026-116017/tg:61020Sat, 24 Oct 2026 14:20:43 +0000VulnerabilidadXiaozhi-esp32-server, en versiones anteriores a la 0.9.8, presenta una referencia directa insegura a objetos en el manejador DeviceController.getAddressBook de manager-api que permite a usuarios autenticados leer las libretas de direcciones de dispositivos de otros usuarios. Con una cuenta normal o autorregistrada se puede pedir /device/address-book/{macAddress} con la MAC de un dispositivo ajeno para obtener MACs de contactos, alias, permisos de llamada e IDs de usuario propietario.https://alertas.dupin.com.ar/cve/CVE-2026-116020/tg:61019Sat, 24 Oct 2026 14:20:42 +0000VulnerabilidadBookStack, en versiones anteriores a la 26.09.2, presenta una autorización incorrecta en AttachmentController que permite a usuarios autenticados acceder por ID a adjuntos de páginas en borrador de otros usuarios. Quienes tengan permisos de adjuntos pueden enumerar IDs secuenciales para descargar, renombrar, revincular o reemplazar archivos de páginas no publicadas de otros usuarios.https://alertas.dupin.com.ar/cve/CVE-2026-115932/tg:61018Sat, 24 Oct 2026 14:20:41 +0000VulnerabilidadAl publicar una entrada, Postiz trata una ruta de medios que no es una dirección web como un archivo del disco del servidor, pero no verifica que esté dentro del directorio de subidas. Un usuario registrado puede guardar una ruta de medios manipulada en una publicación, superar las comprobaciones habituales y hacer que el proceso de publicación lea un archivo arbitrario y lo envíe como adjunto a un servidor de Discord que controle. El autorregistro está abierto por defecto, por lo que no se necesita una cuenta…https://alertas.dupin.com.ar/cve/CVE-2026-110264/tg:61016Sat, 24 Oct 2026 13:53:15 +0000Exploit públicoUna falla en GitLab CE/EE, en todas las versiones desde 7.0 anteriores a 18.11.13, 19.0 antes de 19.0.10, 19.1 antes de 19.1.9, 19.2 antes de 19.2.9, 19.3 antes de 19.3.6, 19.4 antes de 19.4.3 y 19.5 antes de 19.5.1, podría permitir, bajo ciertas condiciones, que un usuario no autenticado ejecute código arbitrario en el servidor debido a un desbordamiento de enteros al compilar una expresión regular especialmente manipulada.https://alertas.dupin.com.ar/cve/CVE-2026-115560/tg:61015Sat, 24 Oct 2026 13:53:13 +0000Exploit públicoVulnerabilidad. La descripción original en inglés está más abajo.https://alertas.dupin.com.ar/cve/CVE-2026-109618/tg:61014Sat, 24 Oct 2026 13:53:11 +0000Exploit públicoPHP usa longjmp() para salir del contexto ante errores de falta de memoria (OOM), y algunos contextos pueden dejar memoria de la petición sin inicializar antes de una asignación. La limpieza posterior puede leer o ramificar sobre esa memoria, y distintas estrategias de OOM permiten desencadenar la condición de forma consistente y lograr ejecución remota de código.https://alertas.dupin.com.ar/cve/CVE-2026-39987/tg:61012Sat, 24 Oct 2026 13:53:08 +0000Exploit públicomarimo, en versiones anteriores a la 0.23.0, presenta una vulnerabilidad de ejecución remota de código previa a la autenticación: el endpoint WebSocket /terminal/ws no valida la autenticación y permite a un atacante no autenticado obtener un shell PTY completo y ejecutar comandos arbitrarios del sistema. A diferencia de otros endpoints WebSocket como /ws, que llaman a validate_auth(), /terminal/ws solo verifica el modo de ejecución y el soporte de plataforma. Se corrige en la 0.23.0.https://alertas.dupin.com.ar/cve/CVE-2026-109619/tg:61009Sat, 24 Oct 2026 13:53:04 +0000Exploit públicoPHP mantiene estado global que apunta temporalmente a memoria de la petición y que en algunos escenarios no se restablece correctamente o se repuebla después de restablecerse. Ese estado puede seguir refiriéndose a memoria de la petición ya liberada, y peticiones posteriores pueden leerlo o ramificar sobre él antes de inicializarse por completo. Existen varias estrategias para desencadenar esta condición y lograr ejecución remota de código.https://alertas.dupin.com.ar/cve/CVE-2026-114194/tg:61007Sat, 24 Oct 2026 11:50:31 +0000VulnerabilidadEl plugin Ad Inserter de WordPress no neutraliza correctamente la entrada durante la generación de páginas, lo que permite un XSS reflejado. Afecta a las versiones hasta la 2.8.18.https://alertas.dupin.com.ar/cve/CVE-2026-115998/tg:61006Sat, 24 Oct 2026 11:50:30 +0000VulnerabilidadUn IDOR en Cervantes v1.3-beta permite a un atacante autenticado acceder a hallazgos, detalles de pruebas de concepto, credenciales e información de clientes de proyectos a los que no pertenece. Además, puede modificar estados de hallazgos y transferirlos a sus propios proyectos, comprometiendo la confidencialidad e integridad de los datos.https://alertas.dupin.com.ar/cve/CVE-2026-115994/tg:61005Sat, 24 Oct 2026 11:50:29 +0000VulnerabilidadUna falla BOLA en Cervantes v1.3-beta permite a un atacante modificar o eliminar objetivos de otros proyectos sin autorización, comprometiendo la integridad de los alcances de pruebas de penetración, los resultados y los informes de seguridad asociados.https://alertas.dupin.com.ar/cve/CVE-2026-114705/tg:61004Sat, 24 Oct 2026 11:50:29 +0000VulnerabilidadEl plugin WP Social Feed Gallery de WordPress carece de autorización adecuada, lo que permite explotar niveles de control de acceso mal configurados. Afecta a las versiones hasta la 5.0.13.https://alertas.dupin.com.ar/cve/CVE-2026-110892/tg:61003Sat, 24 Oct 2026 09:20:21 +0000VulnerabilidadEl plugin SureDash de WordPress carece de autorización adecuada, lo que permite explotar niveles de control de acceso mal configurados. Afecta a las versiones hasta la 1.12.2.https://alertas.dupin.com.ar/cve/CVE-2026-111402/tg:61002Sat, 24 Oct 2026 09:20:17 +0000VulnerabilidadEl plugin Newsletters de WordPress no neutraliza correctamente elementos especiales en comandos SQL, lo que permite inyección SQL. Afecta a las versiones hasta la 4.18.1.https://alertas.dupin.com.ar/cve/CVE-2026-112866/tg:61001Sat, 24 Oct 2026 09:20:17 +0000VulnerabilidadEl plugin Product Filter by WBW de WordPress no neutraliza correctamente elementos especiales en comandos SQL, lo que permite inyección SQL ciega. Afecta a las versiones hasta la 3.4.6.https://alertas.dupin.com.ar/cve/CVE-2026-112844/tg:61000Sat, 24 Oct 2026 09:20:16 +0000VulnerabilidadEl plugin WP Event Solution de WordPress no neutraliza correctamente la entrada durante la generación de páginas, lo que permite un XSS almacenado. Afecta a las versiones hasta la 4.1.26.https://alertas.dupin.com.ar/cve/CVE-2026-114196/tg:60999Sat, 24 Oct 2026 09:20:15 +0000VulnerabilidadEl plugin Paytium de WordPress deserializa datos no confiables, lo que permite inyección de objetos. Afecta a las versiones hasta la 5.0.5.