Vulnerabilidades

Neutralización incorrecta de elementos especiales utilizados en un comando ('inyección de comandos') en Microsoft Power Pages permite a un atacante no autorizado ejecutar código a través de una red.

Una vulnerabilidad de cross-site scripting (XSS) en la función de Componentes Dinámicos de SketchUp 2026 permite la ejecución remota de código y la exfiltración de archivos locales a través de archivos SKP creados maliciosamente. La vulnerabilidad se origina por una sanitización de entrada inadecuada en la ventana de…

El plugin ProSolution WP Client para WordPress es vulnerable a la Carga Arbitraria de Archivos en versiones hasta e incluyendo la 2.0.0. Esto se debe a un desajuste en la validación de la matriz donde solo el primer archivo en la matriz de carga se somete a validación de extensión y tipo MIME, mientras que todos los…

Microsoft Edge (basado en Chromium) Vulnerabilidad de ejecución remota de código

Autenticación indebida en Operaciones Desconectadas Locales de Azure permite a un atacante no autorizado elevar privilegios a través de una red.

Control inadecuado de la generación de código ('inyección de código') en Microsoft Dynamics 365 (on-premises) permite a un atacante autorizado ejecutar código a través de una red.

Control inadecuado de la generación de código ('inyección de código') en Microsoft Dynamics 365 (on-premises) permite a un atacante autorizado ejecutar código a través de una red.

El control de acceso inadecuado en Azure Logic Apps permite a un atacante autorizado elevar privilegios a través de una red.

Implementación incorrecta del algoritmo de autenticación en el complemento Microsoft SSO para Jira & Confluence permite a un atacante no autorizado escalar privilegios a través de la red.

Desbordamiento de búfer basado en el montículo en Microsoft Windows DNS permite a un atacante no autorizado ejecutar código a través de una red.

Un desbordamiento de búfer basado en pila en Windows Netlogon permite a un atacante no autorizado ejecutar código a través de una red.

Un uso después de liberar (use-after-free) en Windows Hyper-V permite a un atacante no autorizado elevar privilegios localmente.

La gestión inadecuada de privilegios en Microsoft Dynamics 365 Customer Insights permite a un atacante autorizado elevar privilegios a través de una red.

La biblioteca Java Key Vault Keys del SDK de Azure para Java contiene un problema en la ruta de verificación criptográfica local, donde la comparación de la etiqueta de autenticación se implementó incorrectamente. En las aplicaciones afectadas que utilizan la ruta de criptografía local vulnerable, una entrada cifrada…

Se ha identificado una vulnerabilidad en ROS# (todas las versiones anteriores a V2.2.2). Las versiones afectadas contienen una vulnerabilidad de salto de directorio (path traversal) debido a que la entrada del usuario no se sanea correctamente. Esto podría permitir a un atacante remoto acceder a archivos arbitrarios…

El 11 de mayo de 2026, entre aproximadamente las 19:20 y las 19:26 UTC, se publicaron en el registro de npm 84 versiones maliciosas de 42 paquetes @tanstack/*. Las publicaciones se autenticaron mediante la vinculación OIDC de editor de confianza de GitHub Actions, legítima para TanStack/router, pero el propio flujo de…

SOCFortress CoPilot se centra en ofrecer un único panel de control para todas las necesidades de sus operaciones de seguridad. Antes de la versión 0.1.57, SOCFortress CoPilot incluye un secreto de firma de JWT codificado de forma fija como valor de reserva en backend/app/auth/utils.py:28 y lo incluye literalmente en…

Control de acceso inadecuado en los agentes publicados de Azure AI Foundry M365 permite a un atacante no autorizado escalar privilegios a través de una red.

Neutralización inadecuada de elementos especiales utilizados en un comando ('inyección de comandos') en Azure Cloud Shell permite a un atacante no autorizado llevar a cabo suplantación de identidad a través de una red.

El control de acceso inadecuado en Azure Managed Instance for Apache Cassandra permite a un atacante autorizado ejecutar código a través de una red.

El control de acceso inadecuado en Azure Managed Instance for Apache Cassandra permite a un atacante autorizado ejecutar código a través de una red.

ColorOS Assistant tiene un canal de inicio de descarga sin autenticar, que conduce a un recorrido de rutas de archivos (path traversal).

Exposición de información confidencial a un actor no autorizado en Azure IOT Central permite a un atacante autorizado escalar privilegios a través de una red.

Falsificación de solicitudes en el lado del servidor (SSRF) en Microsoft Entra ID Entitlement Management permite a un atacante no autorizado llevar a cabo suplantación de identidad a través de una red.

La deserialización de datos no fiables en Microsoft Bing permite a un atacante no autorizado ejecutar código a través de una red.