Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las últimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las últimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las últimas vulnerabilidades incorporadas al repositorio.

CVE-2026-36438

Fecha de publicación:
18/05/2026
Idioma:
Inglés
*** Pendiente de traducción *** An issue in Intelbras VIP-1230-D-G4 Version V2.800.00IB00C.0.T allows a remote attacker to obtain sensitive information via password reset functionality under /OutsideCmd
Gravedad CVSS v3.1: MEDIA
Última modificación:
18/05/2026

CVE-2026-39079

Fecha de publicación:
18/05/2026
Idioma:
Inglés
*** Pendiente de traducción *** An issue in prestashop upsshipping all versions through at least 2.4.0 allows a remote attacker to obtain sensitive information via the /modules/upsshipping/logs/, and /modules/upsshipping/lib/UPSBaseApi.php components
Gravedad CVSS v3.1: ALTA
Última modificación:
18/05/2026

CVE-2026-42009

Fecha de publicación:
18/05/2026
Idioma:
Inglés
*** Pendiente de traducción *** A flaw was found in gnutls. A remote attacker could exploit an issue in the Datagram Transport Layer Security (DTLS) packet reordering logic. The comparator function, responsible for ordering DTLS packets by sequence numbers, did not correctly handle packets with duplicate sequence numbers. This could lead to unstable packet ordering or undefined behavior, resulting in a denial of service.
Gravedad CVSS v3.1: ALTA
Última modificación:
18/05/2026

CVE-2026-8803

Fecha de publicación:
18/05/2026
Idioma:
Inglés
*** Pendiente de traducción *** A flaw has been found in opensourcepos Open Source Point of Sale up to 3.4.2. Impacted is the function Login of the file app/Models/Employee.php of the component Employee Login. This manipulation causes use of weak hash. Remote exploitation of the attack is possible. The attack is considered to have high complexity. The exploitability is considered difficult. The actual existence of this vulnerability is currently in question. The vendor explains: "[T]he code is still there to allow the upgrade path to work. The default password is initially seeded with the old hash function, but then migrated to a newer one after login. [T]he hash version check might be cleaned up in the future. Currently it's not actively in use as any password change will use a newer hash function."
Gravedad CVSS v4.0: MEDIA
Última modificación:
18/05/2026

CVE-2026-7301

Fecha de publicación:
18/05/2026
Idioma:
Inglés
*** Pendiente de traducción *** SGLangs multimodal generation runtime scheduler's ROUTER socket binds to 0.0.0.0 by default and contains a sink that calls pickle.loads() on incoming messages, enabling RCE when exposed to the internet.
Gravedad: Pendiente de análisis
Última modificación:
18/05/2026

CVE-2026-7302

Fecha de publicación:
18/05/2026
Idioma:
Inglés
*** Pendiente de traducción *** SGLangs multimodal generation runtime is vulnerable to an unauthenticated path traversal vulnerability, allowing an attacker to write arbitrary files anywhere the server process has write access, by including ../ sequences in the upload filename when sent to specific endpoints.
Gravedad: Pendiente de análisis
Última modificación:
18/05/2026

CVE-2026-7304

Fecha de publicación:
18/05/2026
Idioma:
Inglés
*** Pendiente de traducción *** SGLangs multimodal generation runtime is vulnerable to unauthenticated remote code execution when the --enable-custom-logit-processor option is enabled, as Python objects loaded via dill.loads() will be deserialized without validation.
Gravedad: Pendiente de análisis
Última modificación:
18/05/2026

CVE-2026-0983

Fecha de publicación:
18/05/2026
Idioma:
Inglés
*** Pendiente de traducción *** Denial-of-service condition in M-Files Server versions before 26.5.16015.0, before 26.2 LTS, and before 25.8 LTS SR3 allows an authenticated user to cause the MFserver process to crash
Gravedad CVSS v4.0: ALTA
Última modificación:
18/05/2026

CVE-2026-4320

Fecha de publicación:
18/05/2026
Idioma:
Inglés
*** Pendiente de traducción *** Authorization Bypass vulnerability in Creartia's ICMS software could allow an attacker to gain unauthorized access to protected features by manipulating the HTTP redirect headers of the login process, causing the script to continue running and enabling privilege escalation without the need for credentials.
Gravedad CVSS v4.0: CRÍTICA
Última modificación:
18/05/2026

CVE-2026-8802

Fecha de publicación:
18/05/2026
Idioma:
Inglés
*** Pendiente de traducción *** A vulnerability was detected in opensourcepos Open Source Point of Sale up to 3.4.2. This issue affects the function getPicThumb of the file app/Controllers/Items.php. The manipulation of the argument pic_filename results in path traversal. The attack may be launched remotely. The patch is identified as def0c27a0e252668df8d942fc31e16d1edfd7323. A patch should be applied to remediate this issue. The vendor was contacted early about this disclosure.
Gravedad CVSS v4.0: MEDIA
Última modificación:
18/05/2026

CVE-2026-41119

Fecha de publicación:
18/05/2026
Idioma:
Inglés
*** Pendiente de traducción *** Dell Live Optics Windows and Personal Edition collectors contain an improper certificate validation vulnerability. A remote unauthenticated attacker could potentially exploit this vulnerability leading to loss of confidentiality and integrity.
Gravedad CVSS v3.1: MEDIA
Última modificación:
18/05/2026

CVE-2026-6346

Fecha de publicación:
18/05/2026
Idioma:
Inglés
*** Pendiente de traducción *** Mattermost versions 11.5.x
Gravedad CVSS v3.1: ALTA
Última modificación:
18/05/2026