Resumen del lunes 19 de octubre: Homepage v2.6.0 incluye correcciones de seguridad y refactor de autenticación

Homepage v2.6.0 incluye correcciones de seguridad y refactor de autenticación

Se ha publicado la versión 2.6.0 del panel Homepage, que resuelve el aviso de seguridad GHSA-qxcr-4rv3-v23r, refactoriza la arquitectura de autenticación y corrige el tratamiento de secuencias con el símbolo de dólar en los secretos.

En mi servidor: Es una versión importante para el panel donde organizo los accesos del homelab, al corregir una vulnerabilidad de seguridad y mejorar la gestión de secretos.

• Idea: Consultar las notas de la versión v2.6.0 para aplicar el parche de seguridad y comprobar los cambios en la autenticación.

• v2.6.0 · Homepage ↗

Seguridad · Múltiples vulnerabilidades graves detectadas en n8n

Se han descubierto varias vulnerabilidades en n8n que abarcan desde inyección SQL y contaminación de prototipos hasta denegación de servicio por llenado de disco y ejecución de código en el nodo Git.

Por qué importa: Un atacante no autenticado podría agotar el espacio en disco o ejecutar SQL arbitrario, mientras que un usuario con permisos limitados podría tomar el control de cuentas o ejecutar comandos con los privilegios del proceso del motor de automatización.

• Idea: Se corrige en las versiones 1.123.83, 2.41.4 y 2.42.1 según la rama utilizada.

• 14 vulnerabilidades en n8n (CVE-2026-110840, CVE-2026-110842, CVE-2026-110843, CVE-2026-110844…) · n8n ↗

Seguridad · Vulnerabilidades en OpenSSH, SFTP y filtros de Fail2ban

Se han descubierto varias vulnerabilidades que afectan a OpenSSH y herramientas asociadas, incluyendo un fallo en el cliente SFTP y la manipulación de registros en Fail2ban.

Por qué importa: Un servidor SFTP malicioso podría escribir archivos fuera del directorio seleccionado durante una copia, y un atacante no autenticado podría manipular los registros de sshd para lograr que Fail2ban bloquee direcciones IP legítimas.

• 15 vulnerabilidades en OpenSSH (CVE-2026-70163, CVE-2026-83754, CVE-2026-83769, CVE-2026-83871…) · OpenSSH ↗

Seguridad · Múltiples vulnerabilidades en Wazuh permiten RCE y bypass de autenticación

Se han descubierto varias vulnerabilidades en versiones de Wazuh anteriores a la 4.14.8 que incluyen fallos de cruce de directorios, elusión de autenticación y ejecución remota de código.

Por qué importa: Un atacante o agente comprometido podría borrar o sobreescribir archivos críticos del sistema, tomar el control de la cuenta de superusuario o ejecutar comandos con privilegios de root en los agentes de monitorización.

• Idea: Lo corrige la versión 4.14.8.

• 15 vulnerabilidades en Wazuh (CVE-2026-74031, CVE-2026-74033, CVE-2026-74034, CVE-2026-74035…) · Wazuh ↗

Seguridad · Vulnerabilidad de elevación de privilegios en WinBox para MikroTik RouterOS

Se ha descubierto una vulnerabilidad de autorización en el flujo de autenticación de WinBox en MikroTik RouterOS. Un usuario autenticado con un perfil de bajos privilegios puede obtener una sesión con permisos de administración completos sin conocer la contraseña de la cuenta objetivo.

Por qué importa: Permite que un usuario con credenciales limitadas para WinBox consiga acceso de administración total en el router de la red especificando una cuenta con más permisos en la segunda etapa del proceso.

• CVE-2026-103903 en MikroTik RouterOS · MikroTik RouterOS ↗

Nueva versión 0.117.0 del proveedor bpg/proxmox para Terraform

El proveedor bpg/proxmox para Terraform se ha actualizado a la versión 0.117.0. Añade un recurso para definir modelos de CPU personalizados en MVs, permite ejecutar llamadas a la API que requieren root@pam mediante tickets generados por SSH y corrige varios errores en la gestión de LXC, Cloud-Init y volúmenes de disco.

En mi servidor: Aporta más flexibilidad al desplegar máquinas virtuales por código y resuelve fallos al clonar plantillas con Cloud-Init o al gestionar la conexión con pveproxy durante los despliegues.

• Idea: Revisar las notas del cambio si se utilizan plantillas Cloud-Init o nombres de volumen no estándar antes de actualizar el proveedor en la configuración de Terraform.

• v0.117.0 · Proveedor bpg/proxmox de Terraform ↗