Autor
Ostorlab Team
RCE sin autenticación en los servidores de tracking de MLflow (CVE-2026-116692)
CVE-2026-116692 (CVSS 9.8) permite a cualquier cliente HTTP que pueda alcanzar un servidor de tracking de MLflow 3.12.0-3.16.x con la configuración predeterminada subir código Python y ejecutarlo como el proceso del servidor; corregida en la versión 3.17.0.
28 de octubre de 2026
Explotación activa de PolyShell, una RCE en Magento y Adobe Commerce (CVE-2026-48356)
PolyShell (CVE-2026-48356) es una subida de archivos sin autenticación en la API REST de Magento,...
28 de octubre de 2026
Ostorlab frente al pentesting manual: más hallazgos críticos, menos tiempo y menor costo
Ostorlab informa de más hallazgos críticos, menos tiempo de pruebas y costos de evaluación de ent...
28 de octubre de 2026
AuthMask: robo de tokens en Microsoft Authenticator para Android (CVE-2026-80097)
Antes de 6.2606.4246, Microsoft Authenticator para Android entregaba tokens de cuentas de trabajo...
27 de octubre de 2026
Más de Ostorlab Team
Evasión de la firma JWS en Authlib, corregida en la versión 1.9.0 (CVE-2026-96760)
Hasta la versión 1.8.0, Authlib da por verificado un objeto JWS JSON con la lista de firmas vacía sin comprobar la clave: CVE-2026-96760, de severidad crítica (CVSS 9.1), corregida en la versión 1.9.0.
27 de octubre de 2026
RCE sin autenticación en la sandbox del OpenHands Software Agent SDK (CVE-2026-112346)
El OpenHands Software Agent SDK expone el puerto del agente en todas las interfaces, sin autenticación por defecto: RCE como root. 1.52.0 corrige Docker, no Apptainer.
27 de octubre de 2026
Tailworm: escalada de privilegios a root en Tailscale SSH
El demonio root de Tailscale SSH conecta y sustituye sockets Unix para usuarios autorizados, lo que permite alcanzar root en los servidores permitidos; actualice a 1.104.4 o posterior y desactive el reenvío hasta actualizar.
27 de octubre de 2026
Archivos de versiones maliciosos de la CLI de OVHcloud roban secretos
Archivos sustituidos en cinco versiones de la CLI de OVHcloud distribuyeron una compilación que robaba secretos durante 94 minutos el 19 de octubre de 2026; rote todos los secretos e instale v0.16.0.
26 de octubre de 2026
RCE en el inicio de sesión OAuth MCP de OpenCode en Windows, corregida en 1.18.33
En OpenCode 1.0.137 a 1.18.32 para Windows y WSL, la URL de inicio de sesión OAuth de un servidor MCP malicioso llega a PowerShell y ejecuta código como el desarrollador; corregido en 1.18.33, sin CVE.
26 de octubre de 2026
Fallo previo a la autenticación en Linux KSMBD: RCE CVSS 9.0 según ZDI, aún sin corrección publicada (ZDI-CAN-33774)
Dos fallos de KSMBD, el servidor SMB integrado del kernel Linux, reciben CVSS 9.0 de ZDI; uno es accesible antes de la autenticación. Ningún kernel publicado los corrige y aún no tienen identificador CVE.
26 de octubre de 2026
RCE por recorrido de directorios gRPC en FortiSIEM con PoC pública (CVE-2026-106173)
El servicio gRPC sin autenticación de FortiSIEM 7.5.0 en TCP 27918 permite sobrescribir archivos para ejecutar código de forma remota; corregido en 7.5.1, con PoC pública y sin explotación conocida.
26 de octubre de 2026
Toma de control total de Postiz por cualquier usuario registrado (CVE-2026-115931, CVE-2026-115932, CVE-2026-115933)
En Postiz autoalojado 2.23.0 a 2.25.2, cualquier usuario registrado puede leer archivos del servidor; en 2.15.0 a 2.25.2 puede falsificar tokens de inicio de sesión para tomar el control de otras organizaciones. Corregido en 2.25.3.
26 de octubre de 2026
RCE por inyección de argumentos Ghostscript en Pillow (CVE-2026-112900)
Pillow 2.6.0 a 12.3.0 pasa a Ghostscript sin sanear un nombre de archivo EPS o PostScript controlado por el atacante, permitiendo inyección de argumentos y ejecución de comandos; corregido en 13.0.0.
26 de octubre de 2026
RCE sin autenticación en 12 años de GitLab (CVE-2026-110264)
CVE-2026-110264, desbordamiento de entero (10.0): RCE sin autenticar en todo GitLab autogestionado desde 7.0; corregido el 21 de octubre; su gemelo está en KEV.
25 de octubre de 2026