Vulnerabilidades

Existe una vulnerabilidad de ejecución remota de código en Code Runner MCP Server cuando se ejecuta con la opción --transport http, que expone el endpoint /mcp JSON-RPC sin autenticación en el puerto 3088. Un atacante remoto no autenticado puede invocar la herramienta MCP run-code para proporcionar código fuente…

El 11 de mayo de 2026, entre aproximadamente las 19:20 y las 19:26 UTC, se publicaron en el registro de npm 84 versiones maliciosas de 42 paquetes @tanstack/*. Las publicaciones se autenticaron mediante la vinculación OIDC de editor de confianza de GitHub Actions, legítima para TanStack/router, pero el propio flujo de…

Una vulnerabilidad de denegación de servicio podría activarse enviando solicitudes HTTP especialmente diseñadas a los puntos de acceso de funciones del servidor; esto podría provocar caídas del servidor, excepciones por falta de memoria o un uso excesivo de la CPU; afecta a los siguientes paquetes:…

Jupyter Server es el backend para las aplicaciones web de Jupyter. En las versiones 2.17.0 y anteriores, una vulnerabilidad de salto de ruta en la API REST permite a un usuario autenticado escapar del 'root_dir' configurado y acceder a directorios hermanos cuyos nombres comienzan con el mismo prefijo que el…

Un ataque de temporización contra mod_auth_digest en Apache HTTP Server 2.4.66 permite a un atacante remoto eludir la autenticación Digest. Se recomienda a los usuarios actualizar a la versión 2.4.67, que corrige este problema.

Vulnerabilidad de doble liberación (double free) y posible ejecución remota de código en Apache HTTP Server con el protocolo HTTP/2. Este problema afecta a Apache HTTP Server: 2.4.66. Se recomienda a los usuarios actualizar a la versión 2.4.67, que soluciona el problema.

Un fallo de escalada de privilegios en varios módulos de Apache HTTP 2.4.66 y versiones anteriores permite a los autores locales de archivos .htaccess leer archivos con los privilegios del usuario httpd. Se recomienda a los usuarios actualizar a la versión 2.4.67, que corrige este problema.

Los servidores P4 anteriores a la versión 2026.1 se configuran con valores predeterminados inseguros que, cuando están expuestos a redes no fiables, permiten a atacantes no autenticados crear cuentas de usuario arbitrarias, enumerar usuarios existentes, autenticarse en cuentas que no tienen contraseña establecida y…

Paperclip es un servidor Node.js y una interfaz de usuario en React que orquesta un equipo de agentes de IA para dirigir un negocio. Antes de la versión 2026.416.0, un atacante no autenticado puede lograr la ejecución remota de código completa en cualquier instancia de Paperclip accesible desde la red que se ejecute…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: crypto: algif_aead - Revert to operating out-of-place Esto revierte en gran medida el commit 72548b093ee3, excepto por la copia de los datos asociados. No hay ningún beneficio en operar in situ en algif_aead, ya que el origen y el destino proceden de…

Vulnerabilidad en el producto MySQL Server de Oracle MySQL (componente: Server: JSON). Las versiones compatibles afectadas son 8.0.0-8.0.45, 8.4.0-8.4.8 y 9.0.0-9.6.0. Una vulnerabilidad fácilmente explotable permite a un atacante con privilegios bajos y acceso a la red a través de múltiples protocolos comprometer…

Vulnerabilidad en el producto MySQL Server de Oracle MySQL (componente: Server: Optimizer). Las versiones compatibles afectadas son 8.0.0-8.0.45, 8.4.0-8.4.8 y 9.0.0-9.6.0. Una vulnerabilidad fácilmente explotable permite a un atacante con privilegios bajos y acceso a la red mediante múltiples protocolos comprometer…

Vulnerabilidad en el producto MySQL Server de Oracle MySQL (componente: Server: Information Schema). Las versiones compatibles afectadas son 8.0.0-8.0.45, 8.4.0-8.4.8 y 9.0.0-9.6.0. Una vulnerabilidad fácilmente explotable permite a un atacante con privilegios bajos y acceso a la red, a través de múltiples protocolos,…

Vulnerabilidad en el producto MySQL Server de Oracle MySQL (componente: Server: Optimizer). Las versiones compatibles afectadas son 8.0.0-8.0.45, 8.4.0-8.4.8 y 9.0.0-9.6.0. Una vulnerabilidad fácilmente explotable permite a un atacante con privilegios bajos y acceso a la red mediante múltiples protocolos comprometer…

Vulnerabilidad en el producto MySQL Server de Oracle MySQL (componente: Server: Optimizer). Las versiones compatibles afectadas son 8.0.0-8.0.45, 8.4.0-8.4.8 y 9.0.0-9.6.0. Una vulnerabilidad fácilmente explotable permite a un atacante con privilegios altos y acceso a la red a través de múltiples protocolos…

Vulnerabilidad en el producto MySQL Server de Oracle MySQL (componente: InnoDB). Las versiones compatibles afectadas son 8.0.0-8.0.45, 8.4.0-8.4.8 y 9.0.0-9.6.0. Una vulnerabilidad fácilmente explotable permite a un atacante con privilegios altos y acceso a la red mediante múltiples protocolos comprometer MySQL…

Vulnerabilidad en el producto MySQL Server de Oracle MySQL (componente: Server: Optimizer). Las versiones compatibles afectadas son 8.0.0-8.0.45, 8.4.0-8.4.8 y 9.0.0-9.6.0. Una vulnerabilidad fácilmente explotable permite a un atacante con privilegios altos y acceso a la red a través de múltiples protocolos…

Vulnerabilidad en el producto MySQL Server de Oracle MySQL (componente: Server: Information Schema). Las versiones compatibles afectadas son 8.0.0-8.0.45, 8.4.0-8.4.8 y 9.0.0-9.6.0. Una vulnerabilidad fácilmente explotable permite a un atacante con privilegios altos y acceso a la red a través de múltiples protocolos…

Validación de entrada incorrecta en Windows Active Directory permite a un atacante autorizado ejecutar código a través de una red adyacente.

Desbordamiento de búfer basado en montículo en el controlador de impresión USB de Windows permite a un atacante no autorizado elevar privilegios con un ataque físico.

Fallo del mecanismo de protección en Windows Shell que permite a un atacante no autorizado realizar suplantación de identidad (spoofing) a través de una red.

La validación incorrecta de entradas en Microsoft Office SharePoint permite a un atacante no autorizado llevar a cabo suplantación de identidad a través de una red.

Autorización incorrecta en Windows Kerberos permite a un atacante autorizado escalar privilegios a través de una red adyacente.

Exposición de información sensible a un actor no autorizado en la Herramienta de Recortes de Windows permite a un atacante no autorizado realizar suplantación a través de una red.

Ejecución concurrente utilizando un recurso compartido con sincronización inadecuada ('condición de carrera') en Windows TCP/IP permite a un atacante no autorizado ejecutar código a través de una red.