Vulnerabilidades
Resumen — últimos 7 días
Vulnerabilidades nuevas5372▲ 2520 respecto a la semana anterior
Críticas / altas3004▲ 1637 respecto a la semana anterior
Nueva explotación activa (KEV)7▲ 1 respecto a la semana anterior
Sin puntuar (sin CVSS)189▼ 11 respecto a la semana anterior
8 resultados, ordenados por fecha de publicación (más recientes primero)
| CVE | Estado | Severidad | EPSS | Explotación activa | Tecnologías afectadas | Publicada ▼ | Modificada | Descripción |
|---|---|---|---|---|---|---|---|---|
| Pendiente de análisis | Crítica (9.8) | 0.42% | — | HomerAI | 7/10/2026 | 10/10/2026 | Homer es un software de código abierto de observabilidad para telecomunicaciones. Antes de la versión 11.0.283, ambas funciones de middleware JWT (`JWTMiddleware` y `JWTMiddlewareV4`) devuelven inmediatamente `next(c)` cuando `jwtSecret == ""`. El secreto JWT tiene por defecto una cadena vacía. En una instalación… | |
| Pendiente de análisis | Crítica (9.8) | 0.65% | — | Sipcapture HomerAI | 7/10/2026 | 8/10/2026 | Homer es un software de código abierto de observabilidad para telecomunicaciones. Antes de la versión 11.0.283, en cada nuevo despliegue de Homer que usa autenticación interna, el proceso de arranque crea automáticamente una cuenta `admin` con la contraseña `sipcapture` (almacenada como un hash hexadecimal SHA-256… | |
| Pendiente de análisis | Alta (8.1) | 0.34% | — | HomerAI | 7/10/2026 | 8/10/2026 | Homer es un software de código abierto de observabilidad para telecomunicaciones. Antes de la versión 11.0.283, el manejador `V4StatisticsQuery` pasa el campo `rawquery` proporcionado por el usuario directamente a DuckDB sin llamar a la función `sqlvalidator.ValidateRawSQL` utilizada en el resto del código. Cualquier… | |
| Aplazada | Alta (8.1) | 0.42% | — | HomeroofierAI | 17/6/2026 | 6/10/2026 | Inclusión local de ficheros no autenticada en versiones de HomeRoofer menor o igual a 2.11.0. | |
| Modificada | Media (4.3) | 0.17% | — | Coolrunner Homerunner | 26/6/2025 | 17/6/2026 | El complemento Homerunner para WordPress es vulnerable a cross-site request forgery en todas las versiones hasta la 1.0.29 incluida. Esto se debe a la falta o la validación incorrecta de nonce en la función main_settings(). Esto permite que atacantes no autenticados actualicen la configuración del complemento mediante… | |
| Modificada | Crítica (9.8) | 3.8% | 💥 PoC | Qxip Homer Webapp | 10/1/2022 | 17/6/2026 | QXIP SIPCAPTURE homer-app versiones anteriores a 1.4.28 para HOMER versión 7.x, presenta la misma 167f0db2-f83e-4baa-9736-d56064a5b415 clave secreta JWT en las instalaciones de diferentes clientes | |
| Modificada | Media (5.4) | 0.27% | — | Homerelectric HEA Mobile | 19/10/2014 | 17/6/2026 | La aplicación para HEA Mobile (también conocida como com.homerelectric.smartapps ) 1.153.0034 no verifica los certificados X.509 de los servidores SSL, lo que permite a atacantes man-in-the-middle suplantar servidores y obtener información sensible a través de un certificado manipulado. | |
| Modificada | Media (5.4) | 0.27% | — | Withhive Homerun Battle 2 | 9/9/2014 | 17/6/2026 | La aplicación Homerun Battle 2 1.2.2.0 (también conocida como com.com2us.homerunbattle2.normal.freefull.google.global.android.common) para Android no verifica los certificados X.509 de los servidores SSL, lo que permite a atacantes man-in-the-middle falsificar servidores y obtener información sensible a través de un… |