#RCE

Análisis a fondo

Un salto de línea en una clave de metadatos PDF ejecuta código Perl en servidores Gotenberg sin autenticación antes de 8.31.0; siete grupos la explotan.

Análisis a fondo

RCE sin autenticación en PeopleTools 8.61 y 8.62 mediante una cadena SSRF hacia PSEMHUB: explotada como día cero por ShinyHunters y corregida el 10 de junio.

Análisis a fondo

El servicio gRPC sin autenticación de FortiSIEM 7.5.0 en TCP 27918 permite sobrescribir archivos para ejecutar código de forma remota; corregido en 7.5.1, con PoC pública y sin explotación conocida.

Análisis a fondo

PAN-OS explotado; aparte, una cadena obtuvo root en 25 servidores vía firewalls de fabricante no revelado: RCE PHP corregida en 8.5.12, 8.4.27, 8.3.36, 8.2.35.

Análisis a fondo

GHSA-673q-mjm6-r5xr está calificado como crítico, CVSS v4.0 9.5, en GitHub Advisory Database: un atacante no autenticado puede ejecutar código en un servidor Next.js 16 que utilice App Router con Cache Components y tenga una función use cache que devuelva varios arrays tipados. La revisión de la base de datos clasifica el fallo como deserialización de datos no confiables (CWE-502) en el protocolo de transporte React Server Components incluido en Next.js. Corregido en Next.js 16.4.1, sin medidas provisionales disponibles.

Seguridad

Análisis técnico de CVE-2026-44109, una vulnerabilidad crítica con CVSS 9.2 de bypass de autenticación en OpenClaw (< 2026.4.15). Dos inversiones lógicas de tipo fail-open en el plugin de Feishu/Lark —una en el validador de firmas del webhook y otra en la protección contra reproducción de card-action— permiten a un atacante no autenticado inyectar eventos arbitrarios en el motor de despacho de comandos de OpenClaw. Cuando el bot tiene herramientas de ejecución habilitadas, esto se traduce directamente en ejecución remota de código no autenticada en la máquina host con los privilegios del proceso de OpenClaw.

Seguridad

Análisis técnico de CVE-2026-26720, una vulnerabilidad crítica de ejecución remota de código (RCE) autenticada, con CVSS 9.8, en Twenty CRM (≤ v1.15.0). Cualquier miembro de un workspace puede crear y ejecutar funciones serverless que se ejecutan sin sandbox y con acceso completo a process.env, lo que filtra APP_SECRET, PG_DATABASE_URL y todas las credenciales del servidor. Combinadas con los flujos de trabajo activados por webhook expuestos mediante PublicEndpointGuard, un único atacante autenticado puede instalar una puerta trasera RCE permanente y sin autenticación, accesible desde cualquier punto de internet.

Seguridad

Análisis técnico de CVE-2026-27971, una vulnerabilidad crítica de ejecución remota de código sin autenticación (CVSS 9.2) en Qwik (< 1.19.1). La deserialización insegura en el flujo RPC de server$ permite reconstruir objetos QRL controlados por el atacante a partir de solicitudes application/qwik-json, lo que habilita la resolución de rutas de módulo y símbolos arbitrarios y, cuando require() está disponible, la ejecución remota de código mediante la invocación de una función del servidor especialmente manipulada.

Seguridad

Un desglose técnico de CVE-2026-2599, una vulnerabilidad crítica de inyección de objetos PHP no autenticada (CVSS 9.8) en el plugin de WordPress «Contact Form Entries» (≤ 1.4.7). La función download_csv deserializa entradas de usuario no confiables sin restricciones de allowed_classes. Combinada con WordPress 6.4.0-6.4.1, la clase integrada WP_HTML_Token proporciona una cadena POP completamente pública que conduce a la ejecución remota de código (RCE) completa mediante dos solicitudes HTTP no autenticadas.

Seguridad

Análisis de GHSA-cr3w-cw5w-h3fj, una vulnerabilidad crítica de XSS a RCE con CVSS 9.7 en Saltcorn (≤ 1.5.0-beta.19). El encadenamiento de dos fallos, XSS reflejado en parámetros de ruta e inyección de comandos en la generación de copias de seguridad, permite la ejecución remota de código mediante phishing a administradores.