Esta vulnerabilidad crítica en Azure Active Directory permite que un atacante no autenticado eleve sus privilegios de forma remota a través de la red. Al comprometer el sistema de autenticación, un actor malicioso puede obtener control total sobre los recursos y servicios vinculados a la identidad afectada. Es un fallo de impacto máximo para cualquier infraestructura o aplicación que dependa de Microsoft Entra ID para la gestión de accesos.

picklescan antes de la versión 1.0.4 permite a atacantes saltar los filtros de seguridad y lograr ejecución remota de código (RCE) mediante la resolución indirecta de nombres. Este fallo crítico permite invocar funciones como os.system o exec para comprometer el servidor al procesar archivos maliciosos. Es especialmente relevante para equipos que trabajan con modelos de IA o datos serializados en entornos Python.

Easy Invoice hasta la versión 2.1.19 presenta una vulnerabilidad de ejecución remota de código (RCE) no autenticada que permite a un atacante tomar control total del servidor sin credenciales. Al tener una calificación de severidad de 10.0, este fallo representa un riesgo crítico para cualquier infraestructura que utilice este software. Es imperativo actualizar de inmediato para evitar el compromiso total del sistema y los datos de facturación.

GeekyBot en versiones 1.2.2 y anteriores permite la carga de archivos arbitrarios por parte de usuarios no autenticados. Esta vulnerabilidad permite a un atacante remoto subir y ejecutar scripts maliciosos, resultando en el compromiso total del servidor y la infraestructura donde se aloje el bot.

El plugin WooCommerce PDF Invoice Builder presenta una vulnerabilidad crítica de inclusión remota de código que permite a un atacante ejecutar comandos arbitrarios en el servidor. Este fallo afecta a todas las instalaciones hasta la versión 2.0.8, facilitando el compromiso total del sitio WordPress y el acceso no autorizado a los datos de la tienda. Es fundamental actualizar el componente de inmediato para proteger la integridad del entorno de producción.

Las versiones 5.5.15 y anteriores de SimpleHelp permiten que atacantes remotos no autenticados eviten el proceso de inicio de sesión mediante el envío de tokens OIDC falsificados sin verificación de firma. Esta vulnerabilidad otorga acceso completo con privilegios de técnico y puede saltarse la autenticación de dos factores, comprometiendo totalmente la infraestructura de soporte remoto.

El gateway de IAM/SSO de Aqara permite realizar operaciones de cifrado AES con la llave de firma de la plataforma sin requerir ninguna autenticación. Esta vulnerabilidad crítica permite que atacantes comprometan la integridad del sistema de identidad y acceso de forma remota. Es fundamental para quienes integran servicios de Aqara revisar sus implementaciones de autenticación de inmediato.

La popular biblioteca vm2 para Node.js presenta una vulnerabilidad de escape de sandbox que permite a un atacante ejecutar comandos arbitrarios directamente en el sistema host. Al obtener control total sobre el entorno de ejecución, esta falla compromete la integridad de cualquier servidor o contenedor que dependa de vm2 para aislar código. Se recomienda actualizar a la versión 3.11.4 de manera inmediata.

La librería vm2 para Node.js presenta una falla crítica que permite a código dentro del sandbox escapar y ejecutar comandos arbitrarios en el proceso host. Al no restringir adecuadamente los módulos process e inspector/promises, un atacante puede lograr la ejecución total de código en el servidor. Es imperativo actualizar a la versión 3.11.4 para mitigar este riesgo de severidad máxima.

Esta vulnerabilidad crítica en la biblioteca vm2 para Node.js permite a un atacante evadir por completo el sandbox y ejecutar código arbitrario en el servidor host. El fallo se debe a una validación lógica incorrecta que permite omitir las protecciones de seguridad al no especificar la opción require en la configuración, resultando en un escape total del entorno aislado. Es fundamental actualizar a la versión 3.11.4 para mitigar este riesgo de ejecución remota de comandos.

La biblioteca vm2 para Node.js presenta una vulnerabilidad de severidad máxima que permite a un atacante escapar del sandbox y ejecutar código arbitrario directamente en el servidor host. Mediante la manipulación de constructores internos de Node.js, un usuario malintencionado puede tomar control total del sistema operativo donde corre el proceso. Se recomienda actualizar inmediatamente a la versión 3.11.4 para mitigar este riesgo de ejecución remota de código.

MariaDB permite la inyección y ejecución de comandos del sistema operativo a través de nombres de nodos manipulados cuando la configuración wsrep_notify_cmd está habilitada. Esta vulnerabilidad crítica de puntaje 10.0 permite a un atacante tomar control total del servidor de base de datos de manera remota. Es imperativo actualizar a las versiones corregidas o deshabilitar la función afectada como medida de mitigación inmediata.

Boxlite presenta una vulnerabilidad crítica que permite a código malicioso remountar directorios de solo lectura con permisos de escritura al no restringir correctamente las capacidades del kernel en contenedores OCI. Un atacante puede aprovechar esto para realizar escrituras arbitrarias y comprometer el aislamiento del sandbox, afectando la integridad del sistema host. Se recomienda actualizar inmediatamente a la versión 0.9.0 para mitigar este riesgo de elevación de privilegios.

Adobe Campaign Classic presenta una vulnerabilidad crítica de autorización que permite la ejecución remota de código sin necesidad de interacción por parte del usuario. Al afectar versiones 7.4.3 y anteriores, un atacante puede ejecutar comandos arbitrarios con los privilegios del usuario actual, comprometiendo la integridad del sistema. Es fundamental que los equipos de backend e infraestructura actualicen sus instancias para evitar el compromiso del servidor.

Adobe Campaign Classic versiones 7.4.3 y anteriores sufren de una vulnerabilidad SSRF crítica que permite la escalada de privilegios sin interacción del usuario. Este fallo permite a atacantes realizar peticiones internas desde el servidor afectado para comprometer recursos de red protegidos. Con una calificación de CVSS 10.0, es vital actualizar las instancias expuestas para proteger la infraestructura backend.