Vulnerabilidades
Resumen — últimos 7 días
Vulnerabilidades nuevas5372▲ 2520 respecto a la semana anterior
Críticas / altas3004▲ 1637 respecto a la semana anterior
Nueva explotación activa (KEV)7▲ 1 respecto a la semana anterior
Sin puntuar (sin CVSS)189▼ 11 respecto a la semana anterior
40.574 resultados, ordenados por fecha de publicación (más recientes primero)
| CVE | Estado | Severidad | EPSS | Explotación activa | Tecnologías afectadas | Publicada ▼ | Modificada | Descripción |
|---|---|---|---|---|---|---|---|---|
| Aplazada | Crítica (9.3) | 1.1% | — | Dlink Dwr-m961AI | 8/8/2026 | 28/8/2026 | Los dispositivos D-Link DWR-M961 con versión de hardware C1 y versión de software 1.1.2_C1_202602110044 contienen una vulnerabilidad de desbordamiento de búfer en la interfaz quicksetup.cgi. Un atacante remoto puede escribir cadenas excesivamente largas en los campos test4, ssid2 y username y ejecutar comandos… | |
| Aplazada | Crítica (9.3) | 1.1% | — | Dlink Dwr-m961AI | 8/8/2026 | 31/8/2026 | Los dispositivos D-Link DWR-M961 con versión de hardware C1 y versión de software 1.1.2_C1_202602110044 contienen una vulnerabilidad de desbordamiento de búfer en la interfaz app.cgi. Un atacante remoto puede escribir una cadena excesivamente larga en el campo netAcc.addlist[].name y ejecutar comandos arbitrarios… | |
| Aplazada | Crítica (9.3) | 3.2% | — | Dlink Dwr-m961AI | 8/8/2026 | 31/8/2026 | Los dispositivos D-Link DWR-M961 con versión de hardware C1 y versión de software 1.1.2_C1_202602110044 contienen una vulnerabilidad de inyección de comandos en la interfaz app.cgi. Un atacante remoto puede inyectar comandos maliciosos arbitrarios en el campo netDig.ping.dst, lo que da lugar a la ejecución de comandos… | |
| Aplazada | Crítica (9.3) | 3.2% | — | Dlink Dwr-m961AI | 8/8/2026 | 28/8/2026 | Los dispositivos D-Link DWR-M961 con versión de hardware C1 y versión de software 1.1.2_C1_202602110044 contienen una vulnerabilidad de inyección de comandos en la interfaz /boafrm/formWsc. Un atacante remoto puede inyectar comandos maliciosos arbitrarios en los campos localPin, targetAPSsid, peerPin y peerRptPin, lo… | |
| Aplazada | Crítica (9.3) | 3.2% | — | Dlink Dwr-m961AI | 8/8/2026 | 28/8/2026 | Los dispositivos D-Link DWR-M961 con versión de hardware C1 y versión de firmware anterior a la 1.1.5_C1_202607071108 contienen una vulnerabilidad de inyección de comandos en la interfaz /boafrm/formL2tpv3ConfigSetup. Un atacante remoto puede inyectar comandos maliciosos arbitrarios en los campos tunnelid y sessionid,… | |
| Aplazada | Crítica (9.3) | 3.2% | — | Dlink Dwr-m961AI | 8/8/2026 | 28/8/2026 | Los dispositivos D-Link DWR-M961 con versión de hardware C1 y versión de firmware anterior a la 1.1.5_C1_202607071108 contienen una vulnerabilidad de inyección de comandos en la interfaz /boafrm/formNtp. Un atacante remoto puede inyectar comandos maliciosos arbitrarios en el campo ntpServerIp1, lo que da lugar a la… | |
| Aplazada | Crítica (9.3) | 3.2% | — | Dlink Dwr-m961AI | 8/8/2026 | 31/8/2026 | Los dispositivos D-Link DWR-M961 con versión de hardware C1 y versión de firmware anterior a la 1.1.5_C1_202607071108 contienen una vulnerabilidad de inyección de comandos en la interfaz /boafrm/formPinManageSetup. Un atacante remoto puede inyectar comandos maliciosos arbitrarios en el campo oldPIn, lo que da lugar a… | |
| Aplazada | Crítica (9.3) | 3.2% | — | Dlink Dwr-m961AI | 8/8/2026 | 31/8/2026 | Los dispositivos D-Link DWR-M961 con versión de hardware C1 y versión de firmware anterior a la 1.1.5_C1_202607071108 contienen una vulnerabilidad de inyección de comandos en la interfaz /boafrm/formIMEISetup. Un atacante remoto puede inyectar comandos maliciosos arbitrarios en el campo IMEI_value, lo que da lugar a… | |
| Aplazada | Crítica (9.3) | 3.2% | — | Dlink Dwr-m961AI | 8/8/2026 | 31/8/2026 | Los dispositivos D-Link DWR-M961 con versión de hardware C1 y versión de firmware anterior a la 1.1.5_C1_202607071108 contienen una vulnerabilidad de inyección de comandos en la interfaz /boafrm/formSmsManage. Un atacante remoto puede inyectar comandos maliciosos arbitrarios en el campo action_value, lo que da lugar a… | |
| Aplazada | Crítica (9.3) | 3.2% | — | Dlink Dwr-m961AI | 8/8/2026 | 28/8/2026 | Los dispositivos D-Link DWR-M961 con versión de hardware C1 y versión de firmware anterior a la 1.1.5_C1_202607071108 contienen una vulnerabilidad de inyección de comandos en la interfaz /boafrm/formUSSDSetup. Un atacante remoto puede inyectar comandos maliciosos arbitrarios en los campos ussdValue y selectMenuValue,… | |
| Aplazada | Crítica (9.3) | 3.2% | — | Dlink Dwr-m961AI | 8/8/2026 | 28/8/2026 | Los dispositivos D-Link DWR-M961 con versión de hardware C1 y versión de firmware anterior a la 1.1.5_C1_202607071108 contienen una vulnerabilidad de inyección de comandos en la interfaz /boafrm/formDebugDiagnosticRun. Un atacante remoto puede inyectar comandos maliciosos arbitrarios en el campo host, lo que da lugar… | |
| Aplazada | Crítica (9.3) | 3.2% | — | Dlink Dwr-m961AI | 8/8/2026 | 31/8/2026 | Los dispositivos D-Link DWR-M961 con versión de hardware C1 y versión de firmware anterior a la 1.1.5_C1_202607071108 contienen una vulnerabilidad de inyección de comandos en la interfaz /boafrm/formTracerouteDiagnosticRun. Un atacante remoto puede inyectar comandos maliciosos arbitrarios en los campos host e ipVer,… | |
| Aplazada | Crítica (9.3) | 3.2% | — | Dlink Dwr-m961AI | 8/8/2026 | 31/8/2026 | Los dispositivos D-Link DWR-M961 con versión de hardware C1 y versión de firmware anterior a la 1.1.5_C1_202607071108 contienen una vulnerabilidad de inyección de comandos en la interfaz /boafrm/formPingDiagnosticRun. Un atacante remoto puede inyectar comandos maliciosos arbitrarios en el campo host, lo que da lugar a… | |
| Aplazada | Crítica (9.3) | 3.2% | — | Dlink Dwr-m961AI | 8/8/2026 | 28/8/2026 | Los dispositivos D-Link DWR-M961 con versión de hardware C1 y versión de firmware anterior a la 1.1.5_C1_202607071108 contienen una vulnerabilidad de inyección de comandos en la interfaz /boafrm/formLtefotaUpgradeFibocom. Un atacante remoto puede inyectar comandos maliciosos arbitrarios en el campo fota_url, lo que da… | |
| Aplazada | Crítica (9.3) | 3.2% | — | Dlink Dwr-m961AI | 8/8/2026 | 28/8/2026 | Los dispositivos D-Link DWR-M961 con versión de hardware C1 y versión de firmware anterior a la 1.1.5_C1_202607071108 contienen una vulnerabilidad de inyección de comandos en la interfaz /boafrm/formLtefotaUpgradeQuectel. Un atacante remoto puede inyectar comandos maliciosos arbitrarios en el campo fota_url, lo que da… | |
| Recibida | Crítica (9.8) | 0.40% | — | Linux KernelAI | 8/8/2026 | 23/8/2026 | En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: libceph: fix two unsafe bare decodes in decode_lockers() decode_lockers() en cls_lock_client.c contiene dos operaciones de decodificación directas (bare) que permiten a un OSD malicioso o comprometido provocar lecturas slab-out-of-bounds: ret se… | |
| Aplazada | Crítica (9.8) | 0.91% | — | AI Copilot Content GeneratorAI | 8/8/2026 | 12/8/2026 | El plugin AI Copilot – Content Generator para WordPress es vulnerable a una omisión de autorización en todas las versiones hasta la 1.5.6 incluida. Esto se debe a que el plugin no verifica correctamente que un usuario esté autorizado para realizar una acción. Esto hace posible que atacantes no autenticados creen una… | |
| Aplazada | Crítica (9.2) | 0.20% | — | Katacontainers Kata ContainersAI | 7/8/2026 | 9/9/2026 | Kata Containers es un proyecto de código abierto centrado en una implementación estándar de máquinas virtuales (VM) ligeras que funcionan como contenedores. Antes de la 3.31.0, la ruta independiente de virtio-fs de runtime-rs es vulnerable a un escape de root del invitado a root del host. En esta configuración, Kata… | |
| Aplazada | Crítica (9.6) | 0.61% | — | Katacontainers Kata RuntimeAI | 7/8/2026 | 9/9/2026 | Kata Containers es un proyecto de código abierto centrado en una implementación estándar de máquinas virtuales (VM) ligeras que funcionan como contenedores. Antes de la versión 4.0.0, kata-runtime es vulnerable a la ejecución de código en el host mediante una anotación de ruta de configuración no validada. El runtime… | |
| Aplazada | Crítica (9.6) | 0.28% | — | OpenyakAI | 7/8/2026 | 18/9/2026 | OpenYak es un runtime de agentes local-first para modelos fiables que utilizan herramientas, con un espacio de trabajo de escritorio construido sobre él. Antes de la versión 1.1.3, el backend de escritorio de OpenYak enlaza una API HTTP a `127.0.0.1:<random port>` (habitualmente 19141) sin validación del Origin en el… | |
| Aplazada | Crítica (9.1) | 0.40% | — | Scim-patchAI | 7/8/2026 | 18/9/2026 | `scim-patch`, una biblioteca para realizar SCIM patch, en versiones anteriores a la 0.9.1 provoca una contaminación de prototipos (prototype pollution) al aplicar una operación SCIM PATCH cuyo objeto `value` contiene una clave como `"__proto__.someProp"`. Tras uno de estos parches, `Object.prototype.someProp` queda… | |
| Aplazada | Crítica (9.8) | 2.5% | 💥 Exploit | Hkuds LightragAI | 7/8/2026 | 9/9/2026 | LightRAG ofrece generación aumentada por recuperación sencilla y rápida. Hasta la versión 1.5.4, el servidor de la API de LightRAG se enlaza a todas las interfaces de red con la autenticación deshabilitada por defecto, lo que permite a un atacante de red no autenticado leer el contenido de los documentos indexados,… | |
| Aplazada | Crítica (9.1) | 0.59% | — | Meta ADS MCPAI | 7/8/2026 | 10/9/2026 | Meta Ads MCP es un servidor de Model Context Protocol (MCP) que permite a los asistentes de IA gestionar Meta Ads. Antes de la versión 1.0.109, `AuthInjectionMiddleware.dispatch()` en `http_auth_integration.py:272` reenvía incondicionalmente las solicitudes Streamable HTTP no autenticadas a los manejadores de… | |
| Aplazada | Crítica (9) | 0.55% | 💥 PoC | Crypto-jsAI | 7/8/2026 | 9/9/2026 | crypto-js es una biblioteca JavaScript de estándares criptográficos. Las versiones de crypto-js anteriores a la 4.0.0 generan aleatoriedad en CryptoJS.lib.WordArray.random() utilizando una variante personalizada del generador de números pseudoaleatorios Multiply-With-Carry, sembrado a partir de Math.random(), en lugar… | |
| Pendiente de análisis | Crítica (9.9) | 0.47% | — | PleskAI | 7/8/2026 | 3/9/2026 | Una gestión inadecuada de privilegios en la API XML-RPC de Plesk anterior a la 18.0.80 permite a un revendedor autenticado obtener una sesión administrativa de la cuenta de usuario root. |