#CVE

Análisis a fondo

Pillow 2.6.0 a 12.3.0 pasa a Ghostscript sin sanear un nombre de archivo EPS o PostScript controlado por el atacante, permitiendo inyección de argumentos y ejecución de comandos; corregido en 13.0.0.

Análisis a fondo

CVE-2026-110264, desbordamiento de entero (10.0): RCE sin autenticar en todo GitLab autogestionado desde 7.0; corregido el 21 de octubre; su gemelo está en KEV.

Análisis a fondo

CVE-2026-111497 (CVSS v4.0 9,2): escritura fuera de límites en el decodificador Brotli de Node.js, Bun, .NET, Python, Envoy e Istio, ahora en el catálogo Known Exploited Vulnerabilities de CISA.

Análisis a fondo

Cuatro fallos encadenados en Plex Media Server anterior a 1.43.3.10861 permiten a un atacante sin autenticación ejecutar código como el usuario Plex; se explotan en ataques reales desde el 17 de octubre de 2026.

Análisis a fondo

Las claves privadas de ocho CA intermedias de eMudhra pueden calcularse a partir de sus certificados públicos, lo que permite falsificar sitios; unos 30.800 certificados dejarán de funcionar cuando Chrome retire emSign ECC Root CA - G3 el 27 de octubre de 2026.

Análisis a fondo

PAN-OS explotado; aparte, una cadena obtuvo root en 25 servidores vía firewalls de fabricante no revelado: RCE PHP corregida en 8.5.12, 8.4.27, 8.3.36, 8.2.35.

Análisis a fondo

Laravel califica CVE-2026-114509 como crítico, CVSS v4.0 9.2: un atacante no autenticado puede iniciar sesión como un usuario existente del guard de API heredado token en MySQL o MariaDB enviando un cuerpo JSON como {"api_token": [0]}, sin conocer ningún token de API válido. Corregido en 12.68.0 y 13.29.0, con la corrección también presente en la etiqueta 11.56.1. Existe una prueba de concepto pública desde el 22 de octubre de 2026 y no se conoce explotación en ataques reales.

Análisis a fondo

Decodificar una imagen FlashPix manipulada en Pillow 12.3.0 o anterior con olefile instalado permite al atacante ejecutar comandos; Pillow 13.0.0 corrige CVE-2026-112398.

Análisis a fondo

Collabora califica CVE-2026-110447 como crítico, CVSS v4.0 9.2: un atacante no autenticado puede ejecutar comandos del sistema operativo como el usuario del servidor web mediante proxy.php de la aplicación Collabora Online Built-in CODE Server (richdocumentscode) para Nextcloud, en versiones anteriores a 26.4.303, cuando el servidor CODE integrado no está en ejecución. Corregido en la versión 26.4.303 de la aplicación. CISA lo añadió al catálogo KEV el 23 de octubre de 2026 y los administradores han comunicado ataques desde mediados de septiembre de 2026.

Análisis a fondo

Sentry califica CVE-2026-114139 como crítico, CVSS v4.0 9.1: el SDK @sentry/nextjs omite el middleware de la aplicación para todas las rutas bajo un tunnelRoute configurado en compilaciones webpack, mientras que la reescritura del túnel solo atiende la ruta exacta. Así, una solicitud no autenticada puede alcanzar una ruta bajo el túnel sin autorización del middleware. Afecta a @sentry/nextjs 9.36.0 a 9.47.1, 10.x anterior a 10.75.2 y versiones preliminares de 11.0.0 anteriores a 11.0.0-rc.1. Corregido en 9.47.2, 10.75.2 y 11.0.0-rc.1; no se conoce explotación en ataques reales.