CVE-2026-94590: Improper Verification of Source of a Communication Channel vulnerability in CodePeople2 Sell Downloads sell-downloads allows Exploitation of Trusted Credentials.This issue affects

Actualización técnica: se ha detectado una nueva información relevante para la sección Recuperación de cuentas y contraseñas.

Qué se sabe

Improper Verification of Source of a Communication Channel vulnerability in CodePeople2 Sell Downloads sell-downloads allows Exploitation of Trusted Credentials.This issue affects Sell Downloads: from n/a through 1.2.3.

Qué hacer

Se recomienda revisar la información publicada por la fuente original y aplicar las actualizaciones, medidas de seguridad o recomendaciones indicadas por el fabricante o responsable del producto cuando correspondan.

Fuente: NVD

Esta actualización se ha generado mediante el modo de respaldo automático de Ciberpro Informática porque el servicio de generación automática no estaba disponible en el momento de la publicación.

CVE-2026-104732: The Advanced IP Blocker plugin for WordPress is vulnerable to Authentication Bypass in all versions up to, and including, 8.13.13 The vulnerability exists because `handle_login_act

Actualización técnica: se ha detectado una nueva información relevante para la sección Recuperación de cuentas y contraseñas.

Qué se sabe

The Advanced IP Blocker plugin for WordPress is vulnerable to Authentication Bypass in all versions up to, and including, 8.13.13 The vulnerability exists because `handle_login_action()` performs no server-side check — via transient, session marker, or equivalent — that a requester completed step-1 password authentication before processing a step-2 TOTP submission for the POSTed `user_id`; compounding this, an error branch in the function unconditionally mints a fresh `advaipbl-2fa-interim-{user_id}` nonce and delivers it in a `Location` header to any unauthenticated caller, after which `display_2fa_login_form_step_2()` renders a valid `advaipbl-2fa-verify-{user_id}` nonce in HTML — both nonces computed against a fixed `uid=0` empty-session context and therefore fully reusable by the attacker across subsequent requests. This makes it possible for unauthenticated attackers to bypass authentication entirely for any 2FA-enabled account, including administrators, by brute-forcing an unthrottled 6-digit TOTP code (no attempt counter, no account lockout, and no `wp_login_failed` firing) and receiving a fully authenticated session cookie via `wp_set_auth_cookie` without ever supplying the account password, resulting in complete site takeover. Exploitation requires only a known `user_id` for an account that has the plugin's 2FA feature enabled.

Qué hacer

Se recomienda revisar la información publicada por la fuente original y aplicar las actualizaciones, medidas de seguridad o recomendaciones indicadas por el fabricante o responsable del producto cuando correspondan.

Fuente: NVD

Esta actualización se ha generado mediante el modo de respaldo automático de Ciberpro Informática porque el servicio de generación automática no estaba disponible en el momento de la publicación.

CVE-2026-50054: Fallo de autorización en Zimbra Collaboration Suite compromete el control de cuentas tras cambios de contraseña

En el ámbito de la protección y gestión de credenciales, se ha registrado la vulnerabilidad identificada como CVE-2026-50054 en la plataforma Zimbra Collaboration Suite. Este fallo de autorización afecta directamente a los procesos de recuperación y control de acceso en entornos de correo corporativo.

Detalles de la vulnerabilidad en GrantRightsRequest

La falla se sitúa en la solicitud de concesión de derechos (GrantRightsRequest) de Zimbra Collaboration Suite. La vulnerabilidad permite que un atacante que ya cuente con acceso a una cuenta autenticada pueda otorgar a otra cuenta local el privilegio de acceso conocido como derecho loginAs.

Impacto en la seguridad y recuperación de cuentas

El principal riesgo de esta vulnerabilidad reside en la evasión de las medidas tradicionales de remediación de cuentas comprometidas:

• Persistencia de acceso al buzón: Al otorgar el derecho loginAs a una cuenta local, el atacante establece un punto de entrada permanente al buzón de correo.
• Capacidad de envío no autorizado: Se mantiene la capacidad de enviar mensajes utilizando la identidad de la cuenta afectada.
• Inoperancia del cambio de contraseña: El acceso malicioso persiste incluso si el usuario cambia su contraseña o si la sesión activa expira, anulando la efectividad de las acciones habituales de restablecimiento de credenciales.

Qué hacer

Dado el impacto sobre el control de accesos y la gestión de credenciales, se sugieren las siguientes pautas de actuación:

• Consultar los avisos oficiales de seguridad: Acceder al portal oficial de avisos de Zimbra para revisar la información emitida por el fabricante referente a este fallo.
• Auditar derechos de acceso y delegaciones: Revisar las asignaciones de privilegios locales en la plataforma para identificar concesiones no autorizadas del derecho loginAs o peticiones anómalas mediante GrantRightsRequest.
• Verificar cuentas locales: Realizar un control estricto sobre las cuentas de usuario locales existentes y sus permisos asignados.

Fuente oficial:
Zimbra Security Advisories - Advisory CVE-2026-50054

CVE-2026-5047: A vulnerability in Brocade SANnav before 2.4.0b and 3.0.0 prints encoded passwords and  authentication tokens in log files. The vulnerability could allow an authenticated attacker

Actualización técnica: se ha detectado una nueva información relevante para la sección Recuperación de cuentas y contraseñas.

Qué se sabe

A vulnerability in Brocade SANnav before 2.4.0b and 3.0.0 prints encoded passwords and authentication tokens in log files. The vulnerability could allow an authenticated attacker with access to the log file including the SANnav supportsave to access the passwords.

Qué hacer

Se recomienda revisar la información publicada por la fuente original y aplicar las actualizaciones, medidas de seguridad o recomendaciones indicadas por el fabricante o responsable del producto cuando correspondan.

Fuente: NVD

Esta actualización se ha generado mediante el modo de respaldo automático de Ciberpro Informática porque el servicio de generación automática no estaba disponible en el momento de la publicación.

Vulnerabilidad en WSO2 Identity Server permite la caducidad indefinida de códigos SMS de autenticación (CVE-2024-8122)

En el marco de la protección de accesos e identidades, se ha reportado un fallo de seguridad identificado como CVE-2024-8122 que afecta al sistema WSO2 Identity Server. La vulnerabilidad está vinculada a la gestión de códigos de un solo uso (OTP) enviados mediante SMS en los procesos de autenticación multifactor (MFA).

Descripción del fallo técnico

WSO2 Identity Server no establece ni impone un tiempo de caducidad predeterminado para las contraseñas temporales (OTP) enviadas por SMS para la verificación de identidad. Debido a esta omisión, los códigos SMS que no han sido utilizados permanecen válidos de manera indefinida en el sistema.

Impacto en la seguridad y toma de control de cuentas

La ausencia de una fecha o tiempo de expiración automático genera un escenario favorable para posibles atacantes, con los siguientes riesgos asociados:

• Ventana de ataque ilimitada: Al no expirar los códigos, los actores maliciosos disponen de un tiempo indefinido para realizar ataques de fuerza bruta intentando adivinar la combinación correcta.
• Evasión de la autenticación multifactor (MFA Bypass): Un intento exitoso de fuerza bruta permite a un atacante saltarse el segundo factor de verificación.
• Compromiso de la cuenta: La vulnerabilidad puede derivar en la toma de control no autorizada de la cuenta de un usuario, afectando tanto a la privacidad individual como a la seguridad general de la plataforma.

Qué hacer

Dado que esta vulnerabilidad afecta a los mecanismos de protección y verificación de credenciales, se sugieren las siguientes pautas prudentes:

• Consultar el aviso de seguridad oficial emitido por WSO2 para obtener la información técnica correspondiente y las actualizaciones provistas por el desarrollador.
• Revisar las configuraciones de autenticación multifactor e identidades en los entornos donde se utilice WSO2 Identity Server.
• Supervisar los registros de autenticación del sistema para detectar intentos inusuales o repetidos de validación de códigos SMS OTP que pudieran indicar intentos de fuerza bruta.

Para consultar la información oficial del fabricante, acceda al siguiente enlace:

WSO2 Security Advisory - WSO2-2024-3149 (CVE-2024-8122)