BOLETÍN KEV · 14-11-2026
Boletín KEV 14-11-2026: 2 vulnerabilidades explotadas nuevas y 23 críticas publicadas
Explotadas · Fuente: CISA KEV
-
CVE-2026-123039 Parchar esta semana
Vulnerabilidad de asignación incorrecta de permisos para un recurso crítico en varios productos de Check Point
Check Point · Multiple Products
Check Point Firewall, Multi-Domain Security Management Server, Scalable Platforms, Security Gateway y Security Management Server contienen una vulnerabilidad de asignación incorrecta de permisos para recursos críticos cuando el daemon DynamicCLI de Gaia OS se ejecuta como root y escucha en un socket local con permisos de escritura para todos los usuarios, sin autenticar los procesos que se conectan. Un usuario local autenticado puede enviar un comando al socket y lograr que se ejecute como root.
Acción recomendada: Aplicar las mitigaciones del fabricante y revisar los equipos afectados en busca de señales de compromiso (triaje forense) antes de darlos por remediados. Evaluar la exposición a internet de cada activo para priorizar la aplicación de parches. En servicios en la nube, seguir las recomendaciones de seguridad del proveedor; si no hay mitigaciones disponibles, discontinuar el uso del producto.
-
Vulnerabilidad de neutralización incorrecta de delimitadores en UnrealIRCd
UnrealIRCd · UnrealIRCd
UnrealIRCd UnrealIRCd contiene una vulnerabilidad de neutralización incorrecta de delimitadores que permite a cualquier usuario de una red con dos o más servidores enlazados inyectar comandos de servidor a servidor que se ejecutan con la autoridad del servidor.
Acción recomendada: Aplicar las mitigaciones del fabricante y revisar los equipos afectados en busca de señales de compromiso (triaje forense) antes de darlos por remediados. Evaluar la exposición a internet de cada activo para priorizar la aplicación de parches. En servicios en la nube, seguir las recomendaciones de seguridad del proveedor; si no hay mitigaciones disponibles, discontinuar el uso del producto.
Otras críticas publicadas · Fuente: CVE.org
Vulnerabilidades críticas recientes de fabricantes que vigilamos o con señales de riesgo. CISA no ha confirmado que se estén explotando.
-
Vulnerabilidad de falta de autenticación en Linksys EA8100 (JNAP API ui_server.lua SetUnsecuredWiFiWarning)
Linksys · EA8100
Se identificó una vulnerabilidad en Linksys EA8100 1.0.3.216940. Este problema afecta a la función SetRemoteSetting/SetUnsecuredWiFiWarning del archivo ui_server.lua del componente JNAP API. La manipulación del argumento isEnabled/enabled provoca una falta de autenticación. Es posible iniciar el ataque de forma remota. El exploit se ha divulgado públicamente y podría utilizarse. Se contactó al fabricante con anticipación sobre esta divulgación, pero no respondió de ninguna manera.
Fuente: CVE.org
-
Vulnerabilidad de escape de contenedor en OpsTree BuildPiper anterior a 2.7.0 mediante volúmenes HostPath sin restricciones
OpsTree Solutions · BuildPiper
OpsTree BuildPiper anterior a 2.7.0 contiene una vulnerabilidad de autorización incorrecta que permite a usuarios autenticados con permisos de despliegue definir volúmenes hostPath arbitrarios de Kubernetes sin listas de permitidos ni verificaciones de políticas. Los atacantes pueden establecer la ruta del host en / en la configuración Define HostPath Volume para montar el sistema de archivos raíz del nodo de trabajo con permisos de lectura y escritura, lo que rompe el aislamiento del contenedor y posibilita el compromiso del nodo y del clúster.
Fuente: CVE.org
-
Vulnerabilidad de inyección de comandos sin autenticación en Dixell/Copeland XWEB EVO mediante xwconsole.cgi
Copeland · XWEB EVO
XWEB EVO anterior a 5.6.2 contiene una vulnerabilidad de inyección de comandos que permite a atacantes remotos no autenticados ejecutar comandos arbitrarios como root al explotar el CGI setuid-root xwconsole.cgi. Los atacantes pueden suministrar entradas maliciosas a través del parámetro sh, que se pasa sin sanitizar a popen(), para lograr el compromiso total del sistema. Esta línea de productos alcanzó su fecha de fin de servicio en marzo de 2026.
Fuente: CVE.org
-
Vulnerabilidad de inyección de comandos del sistema operativo previa a la autenticación en Dixell/Copeland XWEB EVO mediante el nombre de usuario
Copeland · XWEB EVO
XWEB EVO, desde la versión 5.2.3 hasta antes de la 5.7.0, contiene una vulnerabilidad de inyección de comandos del sistema operativo previa a la autenticación que permite a atacantes remotos no autenticados ejecutar comandos arbitrarios del sistema operativo mediante la inyección de metacaracteres de shell en el campo de nombre de usuario de login.lua, cleanout.lua o api.lua antes de que se realice la verificación de la contraseña. Los atacantes pueden explotar esta falla, combinada con el intérprete wlua setuid-root, para ejecutar comandos con privilegios de root y lograr el compromiso total del sistema. Esta línea de productos alcanzó su fecha de fin de servicio en marzo de 2026.
Fuente: CVE.org
-
Vulnerabilidad de omisión de autenticación en WWBN AVideo 6.5 a 29.7.1 mediante el inicio de sesión social de Hybridauth
WWBN · AVideo
WWBN AVideo 6.5 a 29.7.1 contiene una vulnerabilidad de omisión de autenticación que permite a atacantes no autenticados iniciar sesión como cualquier usuario mediante los nombres para mostrar del inicio de sesión social de Hybridauth. Los atacantes pueden establecer su nombre para mostrar de X, Facebook, Yahoo o LinkedIn con el nombre de usuario de la víctima y omitir el correo electrónico, lo que provoca que login.json.php u oauth2.php inicien su sesión en esa cuenta, incluidas las de administradores, sin contraseña.
Fuente: CVE.org
-
Vulnerabilidad de omisión de autenticación en OpenObserve por contraseña externa vacía
openobserve · openobserve
OpenObserve es una plataforma de observabilidad nativa de la nube. Antes de la versión 1.1.0, el validador de autenticación compartido en src/api/common/src/auth/validator.rs acepta una contraseña HTTP Basic vacía o compuesta solo por espacios en blanco para una cuenta cuyo valor password_ext falta o está vacío. Los usuarios aprovisionados mediante SSO y los creados por migración pueden encontrarse en este estado, lo que permite a un atacante no autenticado que conozca la dirección de correo electrónico y la organización de un usuario afectado autenticarse en rutas protegidas de la API no destinadas a la ingesta con el rol y los permisos de la víctima. Una cuenta privilegiada comprometida puede exponer o modificar telemetría, alertas, flujos, usuarios y configuración de seguridad. Una cuenta con permiso de búsqueda puede enviar una sentencia DataFusion COPY ... TO a través de la API de búsqueda para crear o sobrescribir archivos controlados por el atacante en ubicaciones con permiso de escritura para el proceso del servicio, lo que genera un escalamiento condicional a una ejecución remota de código (RCE) previa a la autenticación. Este problema se corrigió en la versión 1.1.0.
Fuente: CVE.org
-
Vulnerabilidad de uso después de liberar memoria (use-after-free) en image_view.c
Google · Android
En IMG_vkCreateImageView de image_view.c, existe una posible forma de provocar un uso después de liberar memoria (use-after-free) debido a una corrupción de memoria. Esto podría derivar en una ejecución remota de código (RCE) sin necesidad de privilegios de ejecución adicionales. No se requiere interacción del usuario para explotarla.
Fuente: CVE.org
-
Vulnerabilidad de escritura fuera de límites en rmmi_utility.c
Google · Android
En varias funciones de rmmi_utility.c, existe una posible forma de provocar una escritura fuera de límites debido a la falta de una comprobación de límites. Esto podría derivar en una ejecución remota de código (RCE) sin necesidad de privilegios de ejecución adicionales. No se requiere interacción del usuario para explotarla.
Fuente: CVE.org
-
Vulnerabilidad de escritura fuera de límites
Google · Android
En varias ubicaciones, existe una posible escritura fuera de límites debido a una comprobación de límites incorrecta. Esto podría derivar en un escalamiento remoto de privilegios sin necesidad de privilegios de ejecución adicionales. No se requiere interacción del usuario para explotarla.
Fuente: CVE.org
-
Vulnerabilidad de uso después de liberar memoria (use-after-free) en SessionEx.cpp
Google · Android
En NotifySipResponse de SessionEx.cpp, existe una posible forma de corromper la memoria mediante un puntero de conexión colgante en la cola de respuestas pendientes debido a un uso después de liberar memoria (use-after-free). Esto podría derivar en un escalamiento remoto de privilegios sin necesidad de privilegios de ejecución adicionales. No se requiere interacción del usuario para explotarla.
Fuente: CVE.org
-
Vulnerabilidad de desbordamiento de búfer en el heap en system/chre/chpp/clients/discovery.c
Google · Android
En chppProcessDiscoverAllResponse de system/chre/chpp/clients/discovery.c, existe un posible desbordamiento de búfer en el heap debido a un error lógico en el código. Esto podría derivar en un escalamiento remoto de privilegios sin necesidad de privilegios de ejecución adicionales. No se requiere interacción del usuario para explotarla.
Fuente: CVE.org
-
Vulnerabilidad de escritura fuera de límites
Google · Android
En varias ubicaciones, existe una posible escritura fuera de límites debido a un desbordamiento de entero. Esto podría derivar en una ejecución remota de código (RCE) sin necesidad de privilegios de ejecución adicionales. No se requiere interacción del usuario para explotarla.
Fuente: CVE.org
-
Vulnerabilidad de escritura fuera de límites en mfc_core_nal_q.c
Google · Android
En __mfc_core_nal_q_get_dec_metadata_sei_nal de mfc_core_nal_q.c, existe una posible escritura fuera de límites debido a la falta de una comprobación de límites. Esto podría derivar en una ejecución remota de código (RCE) sin necesidad de privilegios de ejecución adicionales. No se requiere interacción del usuario para explotarla.
Fuente: CVE.org
-
Vulnerabilidad de escritura fuera de límites en data_manager.cc
Google · Android
En EncodeLastScanBufferElement de data_manager.cc, existe una posible escritura fuera de límites debido a un error lógico en el código. Esto podría derivar en un escalamiento remoto de privilegios sin necesidad de privilegios de ejecución adicionales. No se requiere interacción del usuario para explotarla.
Fuente: CVE.org
-
Vulnerabilidad de escritura fuera de límites
Google · Android
En varios archivos, existe una posible escritura fuera de límites debido a la falta de una comprobación de límites. Esto podría derivar en una ejecución remota de código (RCE) sin necesidad de privilegios de ejecución adicionales. No se requiere interacción del usuario para explotarla.
Fuente: CVE.org
-
Vulnerabilidad de uso después de liberar memoria (use-after-free)
Google · Android
En varias ubicaciones existe un posible uso después de liberar memoria (use-after-free) debido a un error lógico en el código. Esto podría derivar en una ejecución remota de código (RCE) sin que se requieran privilegios de ejecución adicionales. No se necesita interacción del usuario para su explotación.
Fuente: CVE.org
-
Vulnerabilidad de desbordamiento de búfer en el heap en rabbitmq-c (amqp_send_frame()) al serializar un AMQP_FRAME_BODY de tamaño excesivo
alanxz · rabbitmq-c
rabbitmq-c es una biblioteca cliente AMQP en lenguaje C para RabbitMQ. Antes de la versión 0.17.0, existe un desbordamiento de búfer en el heap en rabbitmq-c cuando se utiliza la API pública amqp_send_frame() para serializar un AMQP_FRAME_BODY de tamaño excesivo. El problema se produce porque amqp_frame_to_bytes() copia frame.payload.body_fragment.len bytes en el búfer de salida de la conexión sin validar que el fragmento del cuerpo quepa en el búfer de trama asignado. Una aplicación que pase una trama de cuerpo de tamaño excesivo a amqp_send_frame() puede provocar una escritura fuera de límites en el heap, lo que resulta en la caída del proceso y corrupción de memoria. Este problema se corrigió en la versión 0.17.0.
Fuente: CVE.org
-
Vulnerabilidad de omisión de autenticación en Kubero 3.0.0 a 3.1.1 mediante secreto JWT embebido en el código (hard-coded)
kubero-dev · kubero
Kubero 3.0.0 a 3.1.1 contiene una vulnerabilidad de omisión de autenticación que permite a atacantes remotos no autenticados falsificar JWT administrativos utilizando un secreto de firma de respaldo embebido en el código (hard-coded) cuando JWT_SECRET no está definido. Los atacantes pueden firmar tokens con claims arbitrarios de role, userGroups y permissions, en los que JwtStrategy.validate() confía sin realizar una consulta a la base de datos, para tomar el control de pipelines, aplicaciones, usuarios y tokens de API.
Fuente: CVE.org
-
Vulnerabilidad de validación incorrecta de la entrada en pyLoad: la extracción de archivos tar crea nodos de dispositivo y FIFO
pyload · pyload
pyLoad es un gestor de descargas libre y de código abierto escrito en Python. En versiones anteriores a 0.5.0b3.dev102, UnTar._safe_extractall en src/pyload/plugins/extractors/UnTar.py valida las rutas de los miembros del archivo comprimido y los destinos de los enlaces, pero no llama a TarInfo.isdev para rechazar tipos especiales de miembros tar antes de llamar a tarfile.extractall. En los entornos de ejecución compatibles de Python 3.9 a 3.13, tarfile usa por defecto el filtro de extracción fully_trusted, por lo que un usuario con permisos ADD y STATUS puede provocar la extracción de un archivo especialmente manipulado que contenga dispositivos de caracteres, dispositivos de bloque o FIFO. Python 3.14 usa por defecto un filtro de extracción seguro. Cuando pyLoad se ejecuta con privilegios del sistema operativo que permiten la creación de dispositivos, incluida la implementación oficial de Docker basada en root, el archivo puede exponer dispositivos sin procesar y comprometer el host. Las implementaciones sin root aún pueden crear FIFO que provoquen bloqueos o confusión en la comunicación entre procesos (IPC). Este problema está corregido en la versión 0.5.0b3.dev102.
Fuente: CVE.org
-
Vulnerabilidad de ejecución remota de código (RCE) en Vvveb anterior a 1.0.9.0 mediante omisión de la lista de extensiones denegadas .phar en la carga de medios
givanz · Vvveb
Vvveb anterior a 1.0.9.0 contiene una omisión de la lista de denegación en system/traits/media.php, donde '.phar' está mal configurado con un punto inicial, lo que permite a administradores autenticados cargar archivos PHP .phar. Los atacantes pueden cargar una webshell políglota con bytes mágicos GIF que evade la inspección binaria y ejecutar comandos arbitrarios del sistema operativo como el usuario del servidor web.
Fuente: CVE.org
-
Vulnerabilidad de omisión de autorización OAuth mediante canonicalización de alcances en OpenEMR anterior a 8.4.0
openemr · openemr
OpenEMR anterior a 8.4.0 contiene fallas de canonicalización y contención de alcances (scopes) OAuth que permiten a atacantes no autenticados obtener acceso FHIR no aprobado a nivel de sistema. Los atacantes pueden registrar un cliente system:Patient.read en formato con dos puntos que omite la aprobación y luego solicitar el alcance no registrado system/Patient.write para leer, modificar y crear registros de pacientes (Patient).
Fuente: CVE.org
-
Vulnerabilidad de escritura de configuración sin autenticación en Dixell/Copeland XWEB EVO mediante config.lua
Copeland · XWEB EVO
XWEB EVO 4.3.0 a 5.8.8 contiene una vulnerabilidad de escritura arbitraria de archivos sin autenticación que permite a atacantes remotos modificar el archivo de configuración del sistema /etc/xwebconfig.json mediante el envío de una solicitud POST especialmente manipulada a config.lua con action=set, que no realiza validación de sesión y escribe el cuerpo de la solicitud sin procesar ni validar. Los atacantes pueden alterar valores de configuración, como los campos model y plugin, o provocar un estado SYSTEM_NOT_CONFIGURED mediante las operaciones action=get y action=set sin autenticación, lo que resulta en la manipulación de la configuración y una denegación de servicio (DoS). Esta línea de productos alcanzó su fecha de fin de servicio en marzo de 2026.
Fuente: CVE.org
-
Vulnerabilidad de doble liberación de memoria (double free) en AudioSession.cpp
Google · Android
En AudioSession::SendInternalEvent de AudioSession.cpp, existe una posible doble liberación de memoria (double free) debido a un error lógico en el código. Esto podría derivar en una ejecución remota de código (RCE) sin necesidad de privilegios de ejecución adicionales. No se requiere interacción del usuario para explotarla.
Fuente: CVE.org