Boletín diario · 28 de junio de 2026
Cinco desbordamientos de pila en Tenda JD12L dominan el panorama del 28 de junio de 2026
La jornada registró 47 nuevas vulnerabilidades sin entradas críticas ni explotación activa confirmada, pero cinco fallas de alto riesgo con prueba de concepto pública afectan al router Tenda JD12L y permiten ejecución remota sin autenticación previa. Se suman inyecciones SQL en una aplicación académica open source y un path traversal en un framework empresarial Java, completando un día marcado por riesgos concentrados en dispositivos de red domésticos y software de gestión.
Resumen del día
- Cinco vulnerabilidades de desbordamiento de pila (CVSS 8.7) con PoC pública afectan al router Tenda JD12L 16.03.53.23 y son explotables de forma remota.
- Tres inyecciones SQL con PoC pública impactan SourceCodester Class and Exam Timetabling System 1.0, exponiendo bases de datos de forma remota.
- Un path traversal en ruoyi-vue-pro permite manipular rutas de carga de archivos desde el endpoint público AppFileController.
- Zephyr RTOS presenta un uso de memoria liberada en getaddrinfo() que puede derivar en corrupción de memoria en dispositivos IoT/embebidos.
0
críticas
0
En explotación activa
0
Antes que CISA
0
Arma lista
Destacados críticos
1
Desbordamiento de pila en la función fromNatStaticSetting del router Tenda JD12L 16.03.53.23 mediante el parámetro 'page'; la PoC pública hace que cualquier atacante con acceso a la interfaz web pueda comprometer el dispositivo de forma remota sin necesidad de credenciales conocidas.
2
La función fromAddressNat del mismo firmware Tenda JD12L es vulnerable a desbordamiento de pila vía el argumento 'page'; con exploit disponible públicamente, el riesgo de toma de control remota del router es inmediato y concreto.
3
El parámetro 'security_5g' en formWifiBasicSet del Tenda JD12L desencadena un desbordamiento de pila explotable remotamente; un atacante podría alterar la configuración inalámbrica o ejecutar código arbitrario en el dispositivo.
4
fromSetWifiGusetBasic acepta un valor sin validar en 'shareSpeed' que provoca desbordamiento de pila en el Tenda JD12L; la disponibilidad del exploit facilita ataques automatizados contra redes domésticas y SOHO.
5
formSetPPTPServer en el Tenda JD12L es susceptible a desbordamiento de pila a través del parámetro 'startIp', con PoC pública que eleva el riesgo a compromisos en masa de este modelo de router expuesto a Internet.
6
La implementación de getaddrinfo() en Zephyr RTOS pasa un puntero a un objeto en pila como dato de usuario en consultas DNS asíncronas; si el temporizador expira antes de que la resolución finalice, se produce un uso de memoria liberada con potencial de corrupción en sistemas embebidos e IoT.
7
Inyección SQL en /preview6.php del Class and Exam Timetabling System 1.0 mediante el parámetro course_year_section; con exploit público disponible, un atacante remoto puede extraer o modificar datos académicos sin autenticación.
8
El archivo /preview.php del mismo sistema expone otro punto de inyección SQL explotable remotamente; la combinación de múltiples vectores en la misma aplicación indica una superficie de ataque amplia y sistemática.
9
Path traversal en la función generateUploadPath de ruoyi-vue-pro (hasta la versión 2026.04-jdk8-SNAPSHOT) permite a un atacante remoto manipular la ruta de archivos subidos, con riesgo de escritura fuera del directorio previsto y potencial escalada de privilegios en el servidor.
10
Tercera inyección SQL en el Class and Exam Timetabling System 1.0, esta vez en /preview4.php con el mismo parámetro course_year_section; la recurrencia del patrón sugiere una falla de diseño transversal que debería revisarse en todo el código fuente del proyecto.
Recomendación del día: Priorice la actualización o el aislamiento inmediato de routers Tenda JD12L expuestos a Internet, ya que los cinco exploits públicos los convierten en objetivos de alto valor para ataques automatizados. Para los sistemas web afectados (ruoyi-vue-pro y Class and Exam Timetabling System), aplique parches del proveedor o implemente validación estricta de entradas y controles de acceso mientras se dispone de una solución definitiva.
Ante un escenario donde múltiples exploits públicos están disponibles desde el mismo día de divulgación, es esencial revisar proactivamente qué activos propios comparten las tecnologías afectadas y validar la exposición real antes de que los atacantes lo hagan primero.No esperes a ser estadística: valida hoy, sin costo, si alguno de estos vectores alcanza tus sistemas.Conoce el Agente de Pentest Autónomo con IA →Boletines anteriores
5 de noviembre de 2026 — BTCPay Server expone credenciales LND y una oleada de fallas en Apache Juneau marca la jornada4 de noviembre de 2026 — Alerta antecipado en Sogou y una ola de fallas críticas en routers y plataformas de IA3 de noviembre de 2026 — Ivanti Connect Secure bajo explotación activa y un plugin de WordPress con alerta temprana de VulnCheck2 de noviembre de 2026 — Plugin s2Member con RCE crítico y observación temprana de VulnCheck lideran un día de atención1 de noviembre de 2026 — Día calmo sin explotación activa, pero con routers WAVLINK y Linksys con CVSS 10.0 expuestos31 de octubre de 2026 — Plugins de WordPress y el propio núcleo, bajo alerta: cuatro fallos con explotación observada antes del CISA30 de octubre de 2026 — Cinco fallas con explotación observada antes del CISA y varias críticas CVSS 10 marcan el día29 de octubre de 2026 — Día calmo en explotación, pero con CVSS 10 en WS_FTP Server y fallas de ejecución de código en Langflow28 de octubre de 2026 — Alerta antecipado: dos fallas observadas por VulnCheck antes del CISA, entre ellas una en Cisco ASA y otra en un plugin de WooCommerce27 de octubre de 2026 — Electrum y Kerio Connect con explotación observada antes que CISA; Adobe Campaign Classic acumula dos fallos críticos CVSS 10 y cuatro de 9,926 de octubre de 2026 — Jornada calma sin explotación activa, pero con 28 críticas y fallas CVSS 10 en TOTOLINK y la librería zip224 de octubre de 2026 — Día calmo en explotación, pero con 12 críticas: deserialización y plugins de WordPress dominan la lista23 de octubre de 2026 — Jornada sin explotación activa, pero con diez fallas críticas en wasmtime, Postiz y componentes expuestos a la red22 de octubre de 2026 — 10 fallas con explotación observada por VulnCheck antes que el CISA, lideradas por VeloCloud Orchestratorver archivo completo →