Vulnerabilidades
Resumen — últimos 7 días
Vulnerabilidades nuevas4983▲ 126 respecto a la semana anterior
Críticas / altas2131▼ 644 respecto a la semana anterior
Nueva explotación activa (KEV)9▼ 2 respecto a la semana anterior
Sin puntuar (sin CVSS)773▲ 710 respecto a la semana anterior
Más filtros
726 resultados, ordenados por fecha de publicación (más recientes primero)
| CVE | Estado | Severidad | EPSS | Explotación activa | Tecnologías afectadas | Publicada ▼ | Modificada | Descripción |
|---|---|---|---|---|---|---|---|---|
| Analizada | Crítica (9.8) | 0.84% | PoC | Naver Billboard.js | 4/6/2025 | 17/6/2026 | Se descubrió que billboard.js anterior a 3.15.1 contenía una contaminación de prototipo a través de la función generate, que podría permitir a los atacantes ejecutar código arbitrario o causar una denegación de servicio (DoS) mediante la inyección de propiedades arbitrarias. | |
| Analizada | Crítica (9.1) | 1.8% | Exploit | Urbanbase Z-downloads | 15/5/2025 | 17/6/2026 | El complemento Z-Downloads para WordPress anterior a la versión 1.11.7 no valida correctamente los archivos cargados, lo que permite cargar SVG que contienen JavaScript malicioso. | |
| Analizada | Crítica (9.8) | 0.65% | — | Jenkins Wso2 Oauth | 14/5/2025 | 17/6/2026 | Jenkins WSO2 Oauth Plugin 1.0 y versiones anteriores, las solicitudes de autenticación se aceptan sin validación por el ámbito de seguridad "WSO2 Oauth", lo que permite que atacantes no autenticados inicien sesión en los controladores que utilizan este ámbito de seguridad con cualquier nombre de usuario y cualquier… | |
| Aplazada | Crítica (9.3) | 0.36% | — | Domainsproapp DomainsproAI | 13/5/2025 | 17/6/2026 | Vulnerabilidad de inyección SQL en DomainsPRO 1.2. Esta vulnerabilidad podría permitir a un atacante recuperar, crear, actualizar y eliminar bases de datos mediante el parámetro "d" en el endpoint "/article.php". | |
| Analizada | Crítica (9.4) | 0.50% | — | Broadcom BitnamiBroadcom Bitnami/pgpool | 13/5/2025 | 17/6/2026 | La imagen de Docker bitnami/pgpool y el diagrama k8s bitnami/postgres-ha, en la configuración predeterminada, incluyen el usuario "repmgr" que permite el acceso no autenticado a la base de datos dentro del clúster. PGPOOL_SR_CHECK_USER es el usuario que Pgpool utiliza para realizar comprobaciones de replicación en… | |
| Aplazada | Crítica (9.8) | 2.3% | PoC | Codedropz Drag AND Drop Multiple File Upload FOR WoocommerceAI | 9/5/2025 | 17/6/2026 | El complemento Drag and Drop Multiple File Upload for WooCommerce de WordPress es vulnerable a la carga de archivos arbitrarios en todas las versiones hasta la 1.1.6 incluida, ya que acepta una cadena de tipo admitido proporcionada por el usuario y el nombre del archivo cargado sin aplicar las comprobaciones de… | |
| Aplazada | Crítica (9.8) | 0.59% | — | Buffercode Frontend DashboardAI | 7/5/2025 | 17/6/2026 | El complemento Frontend Dashboard para WordPress es vulnerable a la escalada de privilegios debido a la falta de una comprobación de capacidad en la función fed_wp_ajax_fed_login_form_post() en las versiones 1.0 a 2.2.6. Esto permite que atacantes no autenticados restablezcan el correo electrónico y la contraseña del… | |
| Analizada | Crítica (9.8) | 0.34% | — | Multiple File Upload Project Multiple File Upload | 5/5/2025 | 17/6/2026 | La versión anterior a la 3.1.0 de Outsystems Multiple File Upload es vulnerable a la carga de archivos sin restricciones. Esta vulnerabilidad se debe a que las validaciones de extensión y tamaño de archivo se aplican únicamente en el lado del cliente. Un atacante puede interceptar la solicitud de carga y modificar el… | |
| Aplazada | Crítica (9.3) | 0.37% | — | Buffercode Frontend DashboardAI | 24/4/2025 | 17/6/2026 | Vulnerabilidad de neutralización incorrecta de elementos especiales utilizados en un comando SQL ('Inyección SQL') en M A Vinoth Kumar Frontend Dashboard permite la inyección SQL. Este problema afecta al panel frontal desde n/d hasta la versión 2.2.5. | |
| Aplazada | Crítica (9.8) | 0.57% | PoC | AdeptAIGithub Actions Upload ArtifactAI | 21/4/2025 | 17/6/2026 | Adept es un lenguaje de programación de propósito general. Antes del commit a1a41b7, el archivo de flujo de trabajo remoteBuild.yml usaba actions/upload-artifact@v4 para cargar el artefacto independiente para Mac. Este artefacto es un archivo zip del directorio actual, que incluye el archivo .git/config generado… | |
| Aplazada | Crítica (9.1) | 0.37% | — | BW Broadcast Tx600AIBW Broadcast Tx300AIBW Broadcast Tx150AIBW Broadcast Tx1000AI+2 | 18/4/2025 | 17/6/2026 | El control de acceso incorrecto en BW Broadcast TX600 (14980), TX300 (32990) (31448), TX150, TX1000, TX30 y TX50 Versión de hardware: 2, Versión de software: 1.6.0, Versión de control: 1.0, Versión de firmware AIO: 1.7 permite a los atacantes acceder a archivos de registro y extraer identificadores de sesión para… | |
| Analizada | Crítica (9.1) | 0.61% | — | Jmbroadcast Jmb0150 Firmware | 18/4/2025 | 17/6/2026 | El control de acceso incorrecto en el endpoint HOME.php del firmware JMBroadcast JMB0150 v1.0 permite a los atacantes acceder al panel de administración sin autenticación. | |
| Analizada | Crítica (9.1) | 0.55% | — | Jmbroadcast Jmb0150 Firmware | 18/4/2025 | 17/6/2026 | El control de acceso incorrecto en el firmware JMBroadcast JMB0150 v1.0 permite a los atacantes acceder a credenciales de administrador codificadas. | |
| Aplazada | Crítica (9.8) | 0.54% | — | Fluent BoardsAI | 17/4/2025 | 17/6/2026 | La vulnerabilidad de deserialización de datos no confiables en Mahmudul Hasan Arif FluentBoards permite la inyección de objetos. Este problema afecta a FluentBoards desde n/d hasta la versión 1.47. | |
| Analizada | Crítica (10) | 99% | ⚠ Explotación activaExploit | Erlang/otpCisco Confd BasicCisco Network Services OrchestratorCisco Cloud Native Broadband Network Gateway+19 | 16/4/2025 | 17/6/2026 | Erlang/OTP es un conjunto de librerías para el lenguaje de programación Erlang. En versiones anteriores a OTP-27.3.3, OTP-26.2.5.11 y OTP-25.3.2.20, un servidor SSH podía permitir a un atacante realizar una ejecución remota de código (RCE) sin autenticación. Al explotar una falla en la gestión de mensajes del… | |
| Aplazada | Crítica (9.6) | 0.24% | PoC | WpjobboardAI | 15/4/2025 | 17/6/2026 | La vulnerabilidad de Cross-Site Request Forgery (CSRF) en NotFound WPJobBoard permite subir un shell web a un servidor web. Este problema afecta a WPJobBoard: de n/d a n/d. | |
| Aplazada | Crítica (9.3) | 0.18% | — | Paloaltonetworks Prisma Access BrowserAI | 11/4/2025 | 17/6/2026 | Prisma Access Browser: Comportamiento de control inapropiado en Prisma Access Browser | |
| Aplazada | Crítica (9.8) | 1.7% | — | Codedropz Drag AND Drop Multiple File Upload FOR WoocommerceAI | 5/4/2025 | 17/6/2026 | El complemento Drag and Drop Multiple File Upload for WooCommerce de WordPress es vulnerable a la transferencia arbitraria de archivos debido a una validación insuficiente de la ruta mediante el parámetro wc-upload-file[] en todas las versiones hasta la 1.1.4 incluida. Esto permite que atacantes no autenticados… | |
| Aplazada | Crítica (9.8) | 0.67% | — | Hossein Material DashboardAI | 1/4/2025 | 17/6/2026 | Vulnerabilidad de omisión de autenticación mediante una ruta o canal alternativo en ho3einie Material Dashboard permite la omisión de autenticación. Este problema afecta a Material Dashboard desde n/d hasta la versión 1.4.5. | |
| Analizada | Crítica (9.8) | 0.43% | — | Oauth2 Server Project Oauth2 Server | 31/3/2025 | 17/6/2026 | La vulnerabilidad de autorización faltante en Drupal OAuth2 Server permite la navegación forzada. Este problema afecta al servidor OAuth2: desde la versión 0.0.0 hasta la 2.1.0. | |
| Aplazada | Crítica (9.1) | 0.36% | — | Iroad Dashcam VAI | 18/3/2025 | 17/6/2026 | Se detectó un problema en los dispositivos IROAD Dashcam V. Este utiliza un nombre de dominio público no registrado como dominio interno, lo que supone un riesgo de seguridad. Durante el análisis, se descubrió que este dominio no era propiedad de IROAD, lo que permitía a un atacante registrarlo y potencialmente… | |
| Aplazada | Crítica (9.3) | 0.76% | — | Iroad Dash CAM X5AIIroad Dash CAM X6AI | 16/3/2025 | 17/6/2026 | Se detectó una vulnerabilidad, clasificada como muy crítica, en IROAD Dash Cam X5 y Dash Cam X6 hasta la versión 20250308. Esta afecta a una parte desconocida. La manipulación da lugar a una autorización indebida. Es posible iniciar el ataque de forma remota. Se contactó al proveedor con antelación para informarle… | |
| Modificada | Crítica (9.8) | 0.49% | — | Jwpegram Block Spam BY Math Reloaded | 11/3/2025 | 17/6/2026 | La vulnerabilidad de falta de autorización en jwpegram Block Spam By Math Reloaded permite acceder a funcionalidades no restringidas correctamente por las ACL. Este problema afecta a "Block Spam By Math Reloaded" desde n/d hasta la versión 2.2.4. | |
| Aplazada | Crítica (9.8) | 0.51% | — | Boardroom Limited Dividend Distribution TAX Election SystemAI | 18/2/2025 | 17/6/2026 | Una vulnerabilidad de inyección SQL basada en the login page of BoardRoom Limited Dividend Distribution Tax Election System Version v2.0 permite a los atacantes ejecutar código arbitrario a través de una entrada manipulada específicamente para ello. | |
| Analizada | Crítica (9.2) | 0.84% | PoC | Koajs KOA | 12/2/2025 | 17/6/2026 | Koa es un middleware expresivo para Node.js que utiliza funciones asincrónicas ES2017. En versiones anteriores a las 0.21.2, 1.7.1, 2.15.4 y 3.0.0-alpha.3, Koa utiliza una expresión regular maliciosa para analizar los encabezados HTTP `X-Forwarded-Proto` y `X-Forwarded-Host`. Esto se puede aprovechar para llevar a… |