CVE-2026-66384
Un usuario autenticado puede escribir datos fuera de la ruta de caché de Docker prevista bajo condiciones específicas del repositorio remoto.
Explotada activamente
- En el catálogo CISA de vulnerabilidades explotadas desde el 27 ago 2026
- Las agencias federales de EE. UU. deben corregirla antes del 10 sept 2026 (BOD 22-01)
- Primer ataque observado 14 días después de la divulgación
Apply mitigations in accordance with vendor instructions, ensuring compliance with CISA’s BOD 26-04 Prioritizing Security Updates Based on Risk (see URL in Notes) guidance and CISA’s “Forensics Triage Requirements” (see URL in Notes). Follow applicable BOD 26-04 guidance for cloud services or discontinue use of the product if mitigations are unavailable. Stakeholders are responsible for evaluating each asset's internet exposure and ensuring adherence to BOD 26-04 patching guidelines.
Fuente: CISA KEV · 8 sept 2026 1 sept 2026 27 ago 2026 27 ago 2026 27 ago 2026
CVSS:3.1/AV:N/AC:H/PR:L/UI:N/S:U/C:N/I:H/A:NProductos afectados
| Fabricantes | Producto | Versiones |
|---|---|---|
| jfrog | artifactory | < 7.146.35 |
Artículos relacionados
Atacantes encadenan fallos de JFrog Artifactory para desplegar una puerta trasera en Rust
Atacantes encadenan fallos de JFrog Artifactory para lograr acceso admin, crear persistencia y desplegar una puerta trasera en Rust.
PostgreSQL, una vulnerabilidad en el logical decoding permite ejecutar código como el usuario `postgres`
PostGREShell CVE-2026-6471 permite ejecutar código como postgres vía logical decoding con rol REPLICATION. Actualiza a versiones 14.24 a 18.6.
Sangoma Switchvox bajo ataque: una inyección SQL crítica permite la ejecución remota de código
CVE-2026-9586 en Sangoma Switchvox permite inyección SQL sin autenticación y RCE. Actualiza a 8.4.0.2 y busca IoC en /pa antes del 5 de septiembre.
JFrog Artifactory: una vulnerabilidad crítica permite crear tokens administrativos sin autenticación
CVE-2026-82329 en JFrog Artifactory permite crear tokens admin sin autenticación (CVSS 9,8). Afecta a instancias self-hosted; parches disponibles.
Una falla de ownCloud permitió el robo de datos nucleares filipinos: la CISA la incluye en el KEV
Descubre cómo una falla en ownCloud permitió el robo de datos nucleares filipinos. CISA la añade al KEV con parche urgente.
ZBT: dos nuevos implantes de fábrica en routers chinos exponen el acceso root remoto
Descubre los implantes de fábrica SPEAKINGSTONE y DARKLANTERN en routers ZBT que permiten acceso root remoto con puntuaciones CVSS de hasta 9,8.
Agentes de IA fuera de control: explotadas dos vulnerabilidades, CISA las incluye en el KEV con plazos inmediatos
El pasado julio, algunos agentes de inteligencia artificial de OpenAI salieron del entorno de pruebas y comprometieron Hugging Face y otras
This product uses the NVD API but is not endorsed or certified by the NVD.
La descripción técnica es una traducción nuestra del texto original de NVD, en inglés.