BOLETÍN KEV · 10-11-2026
Boletín KEV 10-11-2026: 11 vulnerabilidades críticas publicadas (sin explotación confirmada)
Otras críticas publicadas · Fuente: CVE.org
Vulnerabilidades críticas recientes de fabricantes que vigilamos o con señales de riesgo. CISA no ha confirmado que se estén explotando.
-
Vulnerabilidad de autorización incorrecta en Google Chrome
Google · Chrome
Una autorización incorrecta en Chromoting de Google Chrome en versiones anteriores a la 157.0.8103.38 permitía a un atacante local eludir las restricciones de acceso del sistema mediante un programa local. (Gravedad de seguridad en Chromium: baja)
Fuente: CVE.org
-
Vulnerabilidad de credenciales embebidas en el código (hard-coded) en D-Link M60 emDaemon MQTT Broker
D-Link · M60
Se detectó una vulnerabilidad en D-Link M60 1.12.B01. Afecta a la función system del archivo /etc/emDaemon/mosquitto.conf del componente emDaemon MQTT Broker. Esta manipulación da lugar a credenciales embebidas en el código (hard-coded). El ataque puede ejecutarse de forma remota. El exploit se divulgó públicamente y podría utilizarse.
Fuente: CVE.org
-
Vulnerabilidad de falta de autenticación en SAP NetWeaver AS ABAP and ABAP Platform (SAML2 Service Provider)
SAP_SE · SAP NetWeaver AS ABAP and ABAP Platform (SAML2 Service Provider)
SAP NetWeaver AS ABAP and ABAP Platform no realiza una verificación suficiente de las aserciones de autenticación entrantes en ciertas configuraciones. Un atacante no autenticado podría enviar datos especialmente manipulados para omitir la autenticación y suplantar a usuarios arbitrarios, incluidas cuentas con privilegios. Una explotación exitosa podría provocar el compromiso total del sistema, con un impacto que podría extenderse a componentes y sistemas conectados más allá del sistema afectado. Esto genera un impacto alto en la confidencialidad, integridad y disponibilidad de la aplicación.
Fuente: CVE.org
-
Vulnerabilidad de corrupción de memoria en SAP Web Dispatcher
SAP_SE · SAP Web Dispatcher
SAP Web Dispatcher no valida suficientemente cierta entrada de red procesada por un componente interno. Un atacante no autenticado podría enviar tráfico de red especialmente manipulado para provocar una condición de corrupción de memoria en la funcionalidad afectada. Una explotación exitosa podría permitir al atacante ejecutar código arbitrario y comprometer por completo el sistema, lo que genera un impacto alto en la confidencialidad, integridad y disponibilidad del sistema.
Fuente: CVE.org
-
Vulnerabilidad de control de acceso incorrecto en SAP Gateway
SAP_SE · SAP Gateway
SAP Gateway activa la lista de control de acceso (Access Control List) por defecto con privilegios elevados, lo que permite que un atacante externo sea categorizado como un servidor de aplicaciones interno. Como resultado, un atacante no autenticado con acceso de red a SAP Gateway podría explotar esta debilidad para realizar potencialmente acciones no autorizadas dentro del entorno de la aplicación, lo que genera un impacto alto en la confidencialidad, integridad y disponibilidad del sistema afectado.
Fuente: CVE.org
-
Vulnerabilidad de corrupción de memoria en SAP NetWeaver AS ABAP (Internet Communication Manager)
SAP_SE · SAP NetWeaver AS ABAP (Internet Communication Manager)
SAP NetWeaver Application Server ABAP no valida suficientemente cierta entrada de red procesada por un componente interno. Un atacante no autenticado podría enviar tráfico de red especialmente manipulado para provocar una condición de corrupción de memoria en la funcionalidad afectada. Una explotación exitosa podría permitir al atacante ejecutar código arbitrario y comprometer por completo el sistema, lo que genera un impacto alto en la confidencialidad, integridad y disponibilidad del sistema.
Fuente: CVE.org
-
Vulnerabilidad de inyección de código en SAP NetWeaver Knowledge Management (XML Forms)
SAP_SE · SAP NetWeaver Knowledge Management (XML Forms)
SAP NetWeaver Knowledge Management (XML Forms) no restringe suficientemente la selección de transformaciones XSL procesadas por la funcionalidad afectada. En ciertas condiciones, un usuario autenticado con acceso a la funcionalidad afectada podría provocar que se procese una transformación XSL no autorizada, lo que podría derivar en la ejecución de código arbitrario en el contexto de la aplicación. Una explotación exitosa podría afectar la confidencialidad, integridad y disponibilidad de la aplicación.
Fuente: CVE.org
-
Vulnerabilidad de autorización ausente en S4CRM
SAP_SE · S4CRM
SAP NetWeaver no realiza las verificaciones de autorización necesarias y carece de una validación suficiente de la entrada en cierta funcionalidad habilitada para acceso remoto. Un atacante con privilegios bajos podría enviar una entrada especialmente manipulada a través de una interfaz remota para inyectar y ejecutar código arbitrario en el sistema afectado. Una explotación exitosa podría extender el alcance del atacante más allá del componente vulnerable, lo que genera un impacto alto en la confidencialidad, integridad y disponibilidad.
Fuente: CVE.org
-
Vulnerabilidad de inyección de comandos del sistema operativo en ABAP Application Server for SAP NetWeaver and ABAP Platform
SAP_SE · SAP NetWeaver and ABAP Platform
SAP NetWeaver Application Server ABAP and ABAP Platform no realiza las verificaciones de autorización necesarias para cierta funcionalidad interna. Un atacante con privilegios bajos podría invocar la funcionalidad afectada para ejecutar comandos arbitrarios del sistema operativo en el host subyacente. Una explotación exitosa podría afectar recursos más allá del componente vulnerable, lo que genera un impacto alto en la confidencialidad, integridad y disponibilidad del sistema.
Fuente: CVE.org
-
Vulnerabilidad de falsificación de solicitudes entre sitios (CSRF) en SAP Web Dispatcher e Internet Communication Manager
SAP_SE · SAP Web Dispatcher and Internet Communication Manager
SAP Web Dispatcher y SAP NetWeaver Application Server ABAP (Internet Communication Manager) no realizan una validación suficiente de las solicitudes en cierta funcionalidad administrativa. En el contexto de Application Server ABAP y SAP Web Dispatcher, un atacante no autenticado podría engañar a un administrador con sesión iniciada para que visite un enlace malicioso. Visitar el enlace podría provocar acciones no deseadas en la sesión del administrador. Una explotación exitosa podría llevar al compromiso total del sistema operativo subyacente, lo que genera un impacto alto en la confidencialidad, integridad y disponibilidad.
Fuente: CVE.org
-
Vulnerabilidad de entidad externa XML (XXE) en SAP BusinessObjects Business Intelligence Platform (Web Intelligence)
SAP_SE · SAP BusinessObjects Business Intelligence Platform (Web Intelligence)
SAP BusinessObjects Business Intelligence Platform (Web Intelligence) no restringe adecuadamente la resolución de entidades externas al procesar solicitudes de conexión OLAP. Un atacante autenticado podría explotar esta vulnerabilidad para acceder a recursos restringidos, lo que le permitiría leer archivos sensibles en el servidor y alcanzar sistemas internos que de otro modo no están expuestos, afectando recursos más allá del componente vulnerable. Esto genera un impacto alto en la confidencialidad y un impacto bajo tanto en la integridad como en la disponibilidad.
Fuente: CVE.org