Etiqueta
#security
RCE en el cargador ICO de imgproxy, corregido en 4.0.16 (GHSA-hff9-5pqw-6w9f)
imgproxy 4.0.0 a 4.0.15 asigna memoria para datos ICO con un tamaño que se desborda, y una imagen forjada corrompe el heap; corregido en 4.0.16.
31 de octubre de 2026
RCE en pgAdmin 4 vía Import/Export, corregido en 9.19 (CVE-2026-116241)
pgAdmin 4 antes de 9.19 deja a cualquier usuario de Import/Export ejecutar un comando TO PROGRAM ...
31 de octubre de 2026
RCE en WordPress Core durante la ventana de actualización, corregido en 7.1.4 (CVE-2026-119977)
WordPress 4.7 a 7.1.3 descomprime las actualizaciones en una ruta web predecible que permite ejec...
31 de octubre de 2026
Omisión de autenticación de superusuario por auto-login en Langflow y RCE vía MCP (CVE-2026-93680)
Langflow OSS 1.0.0 a 1.12.8 entrega una sesión de superusuario a cualquier llamador que conduce a...
30 de octubre de 2026
Más artículos con la etiqueta #security
testmetest: el gusano de npm arma 42 repositorios de GitHub con un publicador oculto
El gusano npm testmetest robó credenciales, puso hooks de IA en 42 repositorios de GitHub y ocultó un publicador de paquetes; toda instalación es un compromiso.
30 de octubre de 2026
La extensión Claude Code troyanizada en Cursor instala una puerta trasera SSH
Una versión maliciosa 2.1.313 de la extensión Claude Code en el marketplace de Cursor añadió una puerta trasera SSH; 5,000 usuarios como máximo la instalaron el 29 de octubre de 2026.
30 de octubre de 2026
Omisión de control de acceso en Drupal Commerce, explotada en la naturaleza (CVE-2026-118539)
Drupal Commerce antes de 2.41 y 3.3.13 deja que usuarios limitados tomen variaciones y cupones de otros vendedores vía JSON:API; explotada.
30 de octubre de 2026
RCE por metadatos PDF en Gotenberg, explotada en la naturaleza (CVE-2026-42589)
Un salto de línea en una clave de metadatos PDF ejecuta código Perl en servidores Gotenberg sin autenticación antes de 8.31.0; siete grupos la explotan.
30 de octubre de 2026
Carrera del Handshake TCP del Kernel de Linux (CVE-2026-98432)
Una carrera en los handshakes TCP IPv4 libera opciones de socket aún en uso desde Linux 4.4; 9.8 según el kernel, sin corrección en Ubuntu ni RHEL.
30 de octubre de 2026
RCE por llamada de voz en Telegram para Android, corregida en 12.10.4
Telegram para Android 8.6.2 a 12.10.3 permitía a quien llamaba ejecutar código si la víctima respondía. Sin explotación conocida. Corregido en 12.10.4.
29 de octubre de 2026
DoS de SSL VPN en Cisco ASA y FTD explotado en el mundo real (CVE-2026-76418)
Una petición SSL VPN sin autenticar reinicia los firewalls Cisco ASA y FTD que usan autenticación secundaria; High 8.6, explotada, KEV.
29 de octubre de 2026
GoAhead: el mTLS acepta certificados de cliente revocados (CVE-2026-115881)
GoAhead carga la CRL pero nunca la comprueba, así que los certificados de cliente revocados pasan el mTLS; corregido en 6.1.1, entregado a los fabricantes el 2 de agosto.
29 de octubre de 2026
Oracle PeopleSoft: RCE explotada por ShinyHunters (CVE-2026-35273)
RCE sin autenticación en PeopleTools 8.61 y 8.62 mediante una cadena SSRF hacia PSEMHUB: explotada como día cero por ShinyHunters y corregida el 10 de junio.
29 de octubre de 2026
Ejecución de código en Apple CoreGraphics explotada en iOS (CVE-2026-86950)
CVE-2026-86950, escritura fuera de límites explotada en CoreGraphics, está en el KEV de CISA; la corrigen iOS/iPadOS 26.7.1 y 18.7.11 y macOS 26.7.1 y 15.8.1.
28 de octubre de 2026