Top Vulnerabilidades Críticas 25-09-2026

cve-2026-30633 describe una vulnerabilidad crítica de recorrido de ruta en KEV Console que permite acceso no autorizado a directorios restringidos. Su explotación activa representa un riesgo severo para la seguridad de los sistemas afectados.

cve-2026-18322 afecta a un producto con gestión incorrecta de privilegios que permite la escalada de permisos. Explota una mala asignación de privilegios y su explotación ha sido confirmada de manera activa. Es una vulnerabilidad crítica dada su severidad y riesgo de ataque.

cve-2026-78308 afecta a Delta DIAEnergie permitiendo omitir la autenticación y acceder sin permisos. Representa un riesgo crítico por permitir acceso no autorizado a sistemas de gestión energética.

cve-2026-78312 afecta a Delta DIAEnergie y permite explotación de Path Traversal para acceder a archivos sensibles por validación incorrecta de rutas.

cve-2026-12227 describe una vulnerabilidad crítica en Visual Composer Website Builder que permite incluir y ejecutar código arbitrario en el servidor. Este fallo afecta a la seguridad de sitios web al permitir acceso no autorizado y ejecución remota de código.

cve-2026-19072 afecta a Velociraptor permitiendo la ejecución remota de código con privilegios de administrador mediante la manipulación de campos internos. Esta vulnerabilidad es crítica y ha sido explotada activamente, representando un riesgo severo para la seguridad de las infraestructuras que usen este software.

cve-2026-91187 afecta a dashbit nimble_zta permitiendo a atacantes remotos falsificar tokens de autenticación en sistemas Cloudflare Zero Trust. La vulnerabilidad tiene una severidad crítica y permite suplantación total de identidad. Es imprescindible aplicar actualizaciones para neutralizar esta amenaza.

cve-2026-97359 afecta a HFS2 y permite la ejecución remota de código mediante inyección en nombres de archivo durante cargas multipart. Esta vulnerabilidad es crítica y explotable sin necesidad de autenticación.

cve-2026-97360 afecta a un servidor HTTP con una vulnerabilidad crítica que permite acceso arbitrario a archivos sin autenticación, poniendo en riesgo la confidencialidad, integridad y disponibilidad del sistema. Esta falla explota la falta de autorización en el manejador de macros y la resolución deficiente de rutas absolutas.

cve-2026-81549 expone una vulnerabilidad crítica en IBM DataStage on Cloud Pak for Data que permite obtener información sensible a atacantes remotos autenticados. La causa es una validación incorrecta en un encabezado HTTP importante, lo que compromete la confidencialidad de los datos procesados por la plataforma.

cve-2026-90481 afecta a PortSwigger Burp Suite DAST y permite un bypass de autenticación mediante un canal alternativo, con severidad crítica. Esta vulnerabilidad pone en riesgo la integridad del acceso al sistema afectado.

cve-2026-97404 permite a atacantes remotos no autorizados eludir la autenticación y controlar recursos en OpenStack Zaqar. La vulnerabilidad afecta la gestión de colas y la realización de operaciones administrativas bajo ciertas configuraciones.

cve-2026-93425 permite la ejecución remota de comandos con privilegios de root en Dokploy. Esta vulnerabilidad grave facilita el control total del sistema y compromete el entorno de aplicaciones gestionadas.

cve-2026-79766 afecta a Termix permitiendo ejecución remota de comandos mediante interpolación insegura en comandos shell. Esta vulnerabilidad puede exponer datos sensibles y credenciales internas. La explotación activa está confirmada y se requiere actualización urgente.

cve-2026-61604 afecta la lógica de validación en ixo blockchain permitiendo movimientos no autorizados de fondos. La vulnerabilidad fue explotada activamente y requiere actualización urgente del software para mitigar daños. No existen métodos alternativos para mitigar esta falla fuera de la actualización.

cve-2026-61732 afecta a Decepticon y permite la ejecución remota de comandos en entornos Kali Linux mediante manip...