Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las últimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las últimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las últimas vulnerabilidades incorporadas al repositorio.

CVE-2026-70098

Fecha de publicación:

13/10/2026

Idioma:

Inglés

*** Pendiente de traducción *** Missing authorization in Visual Studio Code allows an unauthorized attacker to execute code over a network.

Gravedad CVSS v3.1: ALTA

Última modificación:

13/10/2026

CVE-2026-63172

Fecha de publicación:

13/10/2026

Idioma:

Inglés

*** Pendiente de traducción *** Omnispace Agora Project before 26.10.0 contains a broken access control vulnerability that allows a regular, non-administrative member to create user accounts by invoking the user-edit action without a function-level authorization check. Attackers can exploit the missing editRight() enforcement in actionVueEditUser to create unauthorized user accounts, leading to privilege escalation.

Gravedad CVSS v4.0: ALTA

Última modificación:

13/10/2026

CVE-2026-63174

Fecha de publicación:

13/10/2026

Idioma:

Inglés

*** Pendiente de traducción *** Omnispace Agora Project before 26.10.0 contains a broken access control vulnerability that allows a space administrator to assign users into spaces outside their authority because the spaceAffectList affectation was performed without verifying the caller&#39;s rights to the target space. Attackers can exploit the missing readRight() check in the import flow&#39;s join INSERT to break tenant isolation and manipulate user-space assignments across unauthorized spaces.

Gravedad CVSS v4.0: ALTA

Última modificación:

13/10/2026

CVE-2026-63160

Fecha de publicación:

13/10/2026

Idioma:

Inglés

*** Pendiente de traducción *** Omnispace Agora Project before 26.10.0 contains a vulnerability where the persistent remember-me token is stored verbatim server-side, making the stored value identical to the bearer credential held in the user&#39;s cookie. Attackers who gain access to the stored token, such as through database or backup disclosure, can replay the plaintext value to authenticate as the victim user without needing their password.

Gravedad CVSS v4.0: CRÍTICA

Última modificación:

13/10/2026

CVE-2026-63165

Fecha de publicación:

13/10/2026

Idioma:

Inglés

*** Pendiente de traducción *** Omnispace Agora Project before 26.10.0 contains a SQL injection vulnerability in the calendar functionality that allows attackers to inject malicious SQL by manipulating the sortEvents parameter, which is concatenated into the ORDER BY clause without sanitization in app/ModCalendar/CtrlCalendar.php. Attackers can exploit this flaw using error-based techniques such as extractvalue payloads to extract database information, including version data, from the underlying system.

Gravedad CVSS v4.0: ALTA

Última modificación:

13/10/2026

CVE-2026-63159

Fecha de publicación:

13/10/2026

Idioma:

Inglés

*** Pendiente de traducción *** Omnispace Agora Project before 26.10.0 contains a predictable password-reset token vulnerability that allows unauthenticated attackers to take over user accounts by computing the reset token as sha1(login.password), a deterministic and reusable value. Attackers can derive or brute-force the reset token from known or guessed login and password combinations to forge valid password-reset requests and hijack arbitrary accounts.

Gravedad CVSS v4.0: CRÍTICA

Última modificación:

13/10/2026

CVE-2026-63163

Fecha de publicación:

13/10/2026

Idioma:

Inglés

*** Pendiente de traducción *** Omnispace Agora Project before 26.10.0 contains a broken access control vulnerability in the MobileFileDownload route that allows unauthenticated attackers to download arbitrary files by computing an md5(filename) token instead of passing a proper authorization check. Attackers can guess or determine file names to generate the corresponding md5 token and retrieve protected files without authorization, leading to unauthorized information disclosure.

Gravedad CVSS v4.0: ALTA

Última modificación:

13/10/2026

CVE-2026-63146

Fecha de publicación:

13/10/2026

Idioma:

Inglés

*** Pendiente de traducción *** Omnispace Agora Project before 26.10.0 contains a code injection vulnerability where unescaped, attacker-controlled values are written into the config.inc.php configuration file during installation through File::updateConfigFile() and DbInstall::dbControl(), combined with an SQL injection issue enabled by PDO::ATTR_EMULATE_PREPARES supporting stacked queries. Attackers can exploit the SQL injection to re-trigger the installer and inject arbitrary PHP code into config.inc.php, achieving unauthenticated remote code execution on the underlying system.

Gravedad CVSS v4.0: CRÍTICA

Última modificación:

13/10/2026

CVE-2026-63147

Fecha de publicación:

13/10/2026

Idioma:

Inglés

*** Pendiente de traducción *** Omnispace Agora Project before 26.10.0 contains a stored cross-site scripting vulnerability that allows authenticated users to inject malicious script by uploading a file with HTML/script markup embedded in its filename, which bypasses the paramFilter since uploaded-file names arrive through $_FILES rather than $_GET/$_POST. Attackers can upload a file with a crafted name such as an SVG onload payload to have the unsanitized filename stored and later rendered to other users, resulting in script execution in their browsers.

Gravedad CVSS v4.0: MEDIA

Última modificación:

13/10/2026

CVE-2026-63152

Fecha de publicación:

13/10/2026

Idioma:

Inglés

*** Pendiente de traducción *** Omnispace Agora Project before 26.10.0 contains a second-order SQL injection vulnerability that allows authenticated attackers to inject malicious SQL via the _idCategoryFilter parameter, which is persisted into the session and later concatenated into a SQL statement without parameterization. Attackers can store a malicious payload that executes when the filter is subsequently applied in app/Common/MdlCategory.php, leading to unauthorized database access or manipulation.

Gravedad CVSS v4.0: ALTA

Última modificación:

13/10/2026

CVE-2026-55601

Fecha de publicación:

13/10/2026

Idioma:

Inglés

*** Pendiente de traducción *** MultiTail is a utility for monitoring multiple log files in one terminal. In version 7.1.5 and earlier, the -ex and -eX execute-on-match feature appended attacker-controlled matched input to a configured command inside double quotes, then check_filter_exec() in mt.c passed the constructed command through execute_program() in exec.c to sh -c. Partial escaping left shell metacharacters such as command substitution active, allowing an attacker who could influence monitored input to execute commands as the user running MultiTail. No fixed release is available as of this review.

Gravedad CVSS v3.1: ALTA

Última modificación:

13/10/2026

CVE-2026-56826

Fecha de publicación:

13/10/2026

Idioma:

Inglés

*** Pendiente de traducción *** Shopper is a Headless e-commerce Admin Panel. From 2.0.0 until 2.9.2, authenticated users who could reach the Settings pages with only access_setting could directly invoke destructive actions through the Livewire endpoint because packages/admin/src/Livewire/Components/Settings/Zones/ZoneShippingOptions.php, packages/admin/src/Livewire/Components/Settings/Zones/Detail.php, packages/admin/src/Livewire/Components/Settings/Taxes/Detail.php, and packages/admin/src/Livewire/Components/Settings/Taxes/TaxRates.php did not enforce server-side delete authorization. The actions could delete carrier options, shipping zones, tax zones, and tax rates, disrupting checkout shipping, payment-method mapping, and tax calculation. This issue is fixed in version 2.9.2.

Gravedad CVSS v3.1: MEDIA

Última modificación:

13/10/2026

Suscribirse a Vulnerabilidades