Vulnerabilidades

Neutralización inadecuada de elementos especiales utilizados en un comando ('inyección de comandos') en Windows Shell permite a un atacante no autorizado eludir una función de seguridad a través de una red.

Una resolución incorrecta de enlaces antes del acceso a archivos ('seguimiento de enlaces') en Windows Update Stack permite a un atacante autorizado elevar privilegios localmente.

Un desbordamiento de búfer basado en montículo (heap) en Windows ALPC permite a un atacante autorizado elevar privilegios localmente.

RouterOS contiene un fallo en el tratamiento de argumentos en la ruta de inicio de sesión SSH relacionado con nombres de usuario que comienzan con un carácter prohibido, lo que permite cambiar la máscara de políticas de confianza de RouterOS y conduce a una escalada de privilegios. La explotación requiere una sesión…

RouterOS acepta una conexión btest "related" antes de que la sesión principal correspondiente haya completado la autenticación. Un cliente no autenticado puede utilizar este estado para iniciar una prueba UDP de IPv4. Con "random-data=false", el emisor transmite una cola no inicializada de un búfer de paquetes del…

El SSH de RouterOS entra en el protocolo de conexión tras un cambio de claves solicitado por el cliente aunque nunca se haya intentado la autenticación del usuario, lo que permite a un cliente no autenticado abrir un canal de sesión y enviar una solicitud exec. En las compilaciones afectadas, el servidor despacha el…

Un uso después de liberar (use-after-free) en Windows Ancillary Function Driver for WinSock permite a un atacante autorizado elevar privilegios localmente.

Un control inadecuado de la generación de código ('inyección de código') en Microsoft Office SharePoint permite a un atacante autorizado ejecutar código a través de una red.

Una autenticación débil en Microsoft Office SharePoint permite a un atacante no autorizado omitir una característica de seguridad a través de una red.

La deserialización de datos no confiables en Microsoft Office SharePoint permite a un atacante no autorizado ejecutar código a través de una red.

La falta de autenticación para una función crítica en Microsoft Office SharePoint permite a un atacante no autorizado elevar privilegios a través de una red.

Una granularidad insuficiente del control de acceso en Active Directory Federation Services (AD FS) permite a un atacante autorizado elevar privilegios localmente.

La deserialización de datos no confiables en Microsoft Office SharePoint permite a un atacante no autorizado ejecutar código a través de una red.

La deserialización de datos no confiables en Microsoft Office SharePoint permite a un atacante autorizado ejecutar código a través de una red.

Vulnerabilidad de denegación de servicio de Microsoft Defender

Resolución de enlaces incorrecta antes del acceso a archivos ('seguimiento de enlaces') en Microsoft Defender permite a un atacante autorizado elevar privilegios localmente.

Neutralización incorrecta de la entrada durante la generación de páginas web ('secuencias de comandos en sitios cruzados') en Microsoft Exchange Server permite a un atacante no autorizado realizar suplantación (spoofing) a través de una red.

El 11 de mayo de 2026, entre aproximadamente las 19:20 y las 19:26 UTC, se publicaron en el registro de npm 84 versiones maliciosas de 42 paquetes @tanstack/*. Las publicaciones se autenticaron mediante la vinculación OIDC de editor de confianza de GitHub Actions, legítima para TanStack/router, pero el propio flujo de…

Granularidad insuficiente de control de acceso en Microsoft Defender permite a un atacante autorizado elevar privilegios localmente.

Fallo del mecanismo de protección en Windows Shell que permite a un atacante no autorizado realizar suplantación de identidad (spoofing) a través de una red.

La validación incorrecta de entradas en Microsoft Office SharePoint permite a un atacante no autorizado llevar a cabo suplantación de identidad a través de una red.

Doble liberación en la extensión IKE de Windows permite a un atacante no autorizado ejecutar código a través de una red.

Gestión inadecuada de privilegios en Escritorio remoto de Windows permite a un atacante autorizado elevar privilegios localmente.

Desreferencia de puntero nulo en el Administrador de Conexiones de Acceso Remoto de Windows permite a un atacante no autorizado denegar el servicio localmente.

Acceso de recurso usando tipo incompatible ('confusión de tipos') en el Administrador de ventanas de escritorio permite a un atacante autorizado elevar privilegios localmente.