Una acción AJAX sin verificación de permisos en Pixel Tag Manager expone a tiendas online a ejecución de código malicioso controlado por colaboradores.
CVE-2026-111497 afecta a Bun, paquetes Python y proxies Envoy — cualquier implementación que descomprima datos Brotli sin validación previa queda vulnerable.
La nueva falla afecta configuraciones poco comunes, pero el proyecto recomienda deshabilitar session upload progress hasta el próximo ciclo de correcciones
CISA catalogó CVE-2026-110447 tras confirmarse explotación desde septiembre — atacantes desplegaron shells web y buscaron credenciales en servidores sin parchear
Investigadores de Amazon Web Services registraron intentos de explotación en su red de honeypots el 13 de octubre, cuatro días antes de que la vulnerabilidad fuera divulgada y se liberaran actualizaciones de seguridad.
La librería de imágenes más usada en el ecosistema Python ejecuta comandos del sistema al procesar archivos EPS sin validar sus nombres antes de pasarlos a Ghostscript.
Las versiones 4.0.9, 3.4.12 y 3.3.13 corrigen vulnerabilidades en Onigmo que permitían corrupción de memoria durante la compilación de patrones regex.
El Critical Patch Update de octubre corrige 1295 vulnerabilidades, incluyendo seis con calificación 10.0 en CVSS que permiten toma de control remota sin autenticación previa en productos empresariales clave.
El paquete malicioso se ejecutaba al iniciar Python, sin que la aplicación usara LiteLLM, exponiendo credenciales de desarrolladores, claves de proveedores de IA y datos de infraestructura en cloud.
Amazon detectó ataques activos contra CVE-2026-109618 y CVE-2026-109619 antes del parche de emergencia del 21 de octubre — AWS WAF mitiga parcialmente mientras se actualiza
