Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las últimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las últimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las últimas vulnerabilidades incorporadas al repositorio.

CVE-2026-42507

Fecha de publicación:

02/06/2026

Idioma:

Inglés

*** Pendiente de traducción *** When returning errors, functions in the net/textproto package would include its input as part of the error. This might allow an attacker to inject misleading content to errors that are printed or logged.

Gravedad: Pendiente de análisis

Última modificación:

02/06/2026

CVE-2026-44653

Fecha de publicación:

02/06/2026

Idioma:

Inglés

*** Pendiente de traducción *** LibreChat is an enhanced ChatGPT clone that supports multiple AI providers. In versions up to and including 0.8.3, users with only `VIEW` access to an MCP server can retrieve the server&#39;s decrypted admin-managed secrets through `GET /api/mcp/servers` and `GET /api/mcp/servers/:serverName`. The returned config includes plaintext values for `apiKey.key` and `oauth.client_secret`. This allows viewers of a shared MCP server to exfiltrate the underlying provider credentials. Version 0.8..4 contains a patch. Other remediations include: never returning decrypted admin-managed secrets to non-owners; redacting apiKey.key and oauth.client_secret from all API responses consider returning only boolean presence indicators for secrets, similar to the auth-values route pattern; and, if owners need to edit configs without re-entering secrets, preserving secrets server-side and returning placeholders instead of plaintext.

Gravedad CVSS v3.1: MEDIA

Última modificación:

02/06/2026

CVE-2026-44654

Fecha de publicación:

02/06/2026

Idioma:

Inglés

*** Pendiente de traducción *** LibreChat is an enhanced ChatGPT clone that supports multiple AI providers. In versions up to and including 0.8.3, a shared-agent editor can delete file records through `DELETE /api/files` that the owner has reused across multiple agents. The deletion removes the file globally — not just from the shared agent — breaking the owner&#39;s other private agents that reference the same `file_id`. The private agent retains a stale `file_id` reference that no longer resolves. A shared-agent editor can destroy files that the owner uses across multiple agents. The owner&#39;s private agents — which the attacker has no access to — break silently with stale `file_id` references. This is a cross-agent integrity violation: editing access to one agent should not affect another. Version 0.8.4 contains a patch.

Gravedad CVSS v4.0: MEDIA

Última modificación:

02/06/2026

CVE-2026-35482

Fecha de publicación:

02/06/2026

Idioma:

Inglés

*** Pendiente de traducción *** alf.io is an open source ticket reservation system for conferences, trade shows, workshops, and meetups. Prior to version 2.0-M5-2606, a sandbox escape vulnerability in the alf.io extension script engine allows an authenticated administrator to execute arbitrary operating system commands on the server. The extension system is intended to execute restricted JavaScript in a sandboxed Rhino environment; however, a combination of an unguarded injected Java object (`returnClass`) and an incomplete AST blocklist allows the sandbox to be fully escaped using Java reflection without triggering any validation errors. Version 2.0-M5-2606 patches the issue.

Gravedad CVSS v3.1: ALTA

Última modificación:

02/06/2026

CVE-2026-40108

Fecha de publicación:

02/06/2026

Idioma:

Inglés

*** Pendiente de traducción *** GLPI is a free asset and IT management software package. In versions 11.0.0 through 11.0.6, a technician can store an XSS payload in a ITIL costs. This issue has been fixed in version 11.0.7.

Gravedad CVSS v4.0: ALTA

Última modificación:

02/06/2026

CVE-2026-41412

Fecha de publicación:

02/06/2026

Idioma:

Inglés

*** Pendiente de traducción *** alf.io is an open source ticket reservation system for conferences, trade shows, workshops, and meetups. Prior to version 2.0-M5-2606, the alf.io extension sandbox injects a fully-functional HTTP client (`simpleHttpClient`) into every extension script&#39;s scope. The `postFileAndSaveResponse()` method accepts an arbitrary filesystem path as its `file` parameter and reads the file contents using `new FileInputStream(file)` with no path validation, directory restriction, or allowlist. A malicious extension script can read any file accessible to the JVM process user and exfiltrate it to an attacker-controlled server via HTTP POST. Version 2.0-M5-2606 patches the issue.

Gravedad CVSS v3.1: MEDIA

Última modificación:

02/06/2026

CVE-2026-42504

Fecha de publicación:

02/06/2026

Idioma:

Inglés

*** Pendiente de traducción *** Decoding a maliciously-crafted MIME header containing many invalid encoded-words can consume excessive CPU.

Gravedad: Pendiente de análisis

Última modificación:

02/06/2026

CVE-2026-10718

Fecha de publicación:

02/06/2026

Idioma:

Inglés

*** Pendiente de traducción *** Out of bounds write in openSeaChest’s Trim/Unmap operation in Seagate’s openSeaChest v26.03.0 on all supported platforms allows for writing extra memory describing a range of LBAs to deallocate 16 bytes outside of the allocated space when running this operation.

Gravedad CVSS v4.0: MEDIA

Última modificación:

02/06/2026

CVE-2026-10719

Fecha de publicación:

02/06/2026

Idioma:

Inglés

*** Pendiente de traducción *** Out of bounds write in openSeaChest’s --showSupportedFormats in Seagate’s openSeaChest v25.05.3 on all supported platforms allows for writing 1 extra byte outside of allocated memory which sets a value to 1 via a maliciously crafted NVMe device with a bogus value in the namespace FLBAS byte.

Gravedad CVSS v4.0: BAJA

Última modificación:

02/06/2026

CVE-2026-25861

Fecha de publicación:

02/06/2026

Idioma:

Inglés

*** Pendiente de traducción *** QloApps through 1.7.0, fixed in commit 64e9722, contains a weak cryptographic algorithm vulnerability that allows attackers to compromise user credentials by exploiting the use of MD5 for password hashing in the Tools::encrypt() function within classes/Tools.php, which concatenates a static cookie key with the supplied password. Attackers can perform offline brute-force attacks against the MD5 hashes, with the risk compounded by auto-generated 8-character passwords assigned during guest-to-customer account conversion in classes/Customer.php, making credential recovery trivial.

Gravedad CVSS v4.0: ALTA

Última modificación:

02/06/2026

CVE-2026-27145

Fecha de publicación:

02/06/2026

Idioma:

Inglés

*** Pendiente de traducción *** (*x509.Certificate).VerifyHostname previously called matchHostnames in a loop over all DNS Subject Alternative Name (SAN) entries. This caused strings.Split(host, ".") to execute repeatedly on the same input hostname. With a large DNS SAN list, verification costs scaled quadratically based on the number of SAN entries multiplied by the hostname&#39;s label count. Because x509.Verify validates hostnames before building the certificate chain, this overhead occurred even for untrusted certificates.

Gravedad: Pendiente de análisis

Última modificación:

02/06/2026

CVE-2026-31942

Fecha de publicación:

02/06/2026

Idioma:

Inglés

*** Pendiente de traducción *** LibreChat is an enhanced ChatGPT clone that supports multiple AI providers. In versions up to and including 0.7.6, an Insecure Direct Object Reference (IDOR) vulnerability exists in the API keys management endpoint (PUT /api/keys). Due to the use of the JavaScript object spread operator after setting the authenticated user&#39;s ID, any authenticated user can inject a userId parameter in the request body to overwrite any other user&#39;s API keys (e.g., OpenAI, Anthropic, Azure). This allows an attacker to replace a victim&#39;s API key configuration, potentially routing the victim&#39;s conversations through attacker-controlled keys or denying service by providing invalid keys. This is patched in version 0.8.3-rc1.

Gravedad CVSS v3.1: ALTA

Última modificación:

02/06/2026

Suscribirse a Vulnerabilidades