Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

017 - Ir a la línea de ayuda en Ciberseguridad    Ir a Agenda     Ir a Sala de prensa     Ir a suscripción de boletines

Ir al buscador

Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las ultimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las ultimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las ultimas vulnerabilidades incorporadas al repositorio.

CVE-2026-2848
Fecha de publicación:
20/02/2026
Idioma:
Inglés
*** Pendiente de traducción *** A flaw has been found in SourceCodester Simple Responsive Tourism Website 1.0. Affected by this vulnerability is an unknown functionality of the file /classes/Master.php?f=register of the component Registration. This manipulation of the argument Username causes sql injection. The attack may be initiated remotely. The exploit has been published and may be used.
Gravedad CVSS v4.0: MEDIA
Última modificación:
20/02/2026

CVE-2026-2849
Fecha de publicación:
20/02/2026
Idioma:
Inglés
*** Pendiente de traducción *** A vulnerability has been found in yeqifu warehouse up to aaf29962ba407d22d991781de28796ee7b4670e4. Affected by this issue is the function deleteCache/removeAllCache/syncCache of the file dataset\repos\warehouse\src\main\java\com\yeqifu\sys\controller\CacheController.java of the component Cache Sync Handler. Such manipulation leads to improper access controls. The attack may be launched remotely. The exploit has been disclosed to the public and may be used. This product operates on a rolling release basis, ensuring continuous delivery. Consequently, there are no version details for either affected or updated releases. The project was informed of the problem early through an issue report but has not responded yet.
Gravedad CVSS v4.0: MEDIA
Última modificación:
20/02/2026

CVE-2026-27504
Fecha de publicación:
20/02/2026
Idioma:
Inglés
*** Pendiente de traducción *** SVXportal version 2.5 and prior contain a reflected cross-site scripting vulnerability in radiomobile_front.php via the stationid query parameter. When an authenticated administrator views a crafted URL, the application embeds the unsanitized parameter value into a hidden input value field, allowing attacker-supplied script injection and execution in the administrator's browser. This can be used to compromise admin sessions or perform unauthorized actions via the administrator's authenticated context.
Gravedad CVSS v4.0: MEDIA
Última modificación:
20/02/2026

CVE-2026-27505
Fecha de publicación:
20/02/2026
Idioma:
Inglés
*** Pendiente de traducción *** SVXportal version 2.5 and prior contain a stored cross-site scripting vulnerability in the user registration workflow (index.php submitting to admin/user_action.php). User-supplied fields such as Firstname, lastname, and email are stored in the backend database without adequate output encoding and are later rendered in the administrator interface (admin/users.php), allowing an unauthenticated remote attacker to inject arbitrary JavaScript that executes in an administrator's browser upon viewing the affected page.
Gravedad CVSS v4.0: MEDIA
Última modificación:
20/02/2026

CVE-2026-27506
Fecha de publicación:
20/02/2026
Idioma:
Inglés
*** Pendiente de traducción *** SVXportal version 2.5 and prior contain a stored cross-site scripting vulnerability in the user profile update workflow (user_settings.php submitting to admin/update_user.php). Authenticated users can store malicious HTML/JavaScript in fields such as Firstname, lastname, email, and image_url, which are later rendered without adequate output encoding in the administrator interface (admin/users.php), resulting in JavaScript execution in an administrator's browser when the affected page is viewed.
Gravedad CVSS v4.0: MEDIA
Última modificación:
20/02/2026

CVE-2026-2333
Fecha de publicación:
20/02/2026
Idioma:
Inglés
*** Pendiente de traducción *** Improper Neutralization of Special Elements used in a Command ('Command Injection') in Owl opds 2.2.0.4 allows Command Injection via a crafted network request.
Gravedad CVSS v4.0: CRÍTICA
Última modificación:
20/02/2026

CVE-2026-2818
Fecha de publicación:
20/02/2026
Idioma:
Inglés
*** Pendiente de traducción *** A zip-slip path traversal vulnerability in Spring Data Geode's import snapshot functionality allows attackers to write files outside the intended extraction directory. This vulnerability appears to be susceptible on Windows OS only.
Gravedad CVSS v3.1: ALTA
Última modificación:
20/02/2026

CVE-2026-26747
Fecha de publicación:
20/02/2026
Idioma:
Inglés
*** Pendiente de traducción *** A Host Header Poisoning vulnerability exists in Monica 4.1.2 due to improper handling of the HTTP Host header in app/Providers/AppServiceProvider.php, combined with the default misconfiguration where the "app.force_url" is not set and default is "false". The application generates absolute URLs (such as those used in password reset emails) using the user-supplied Host header. This allows remote attackers to poison the password reset link sent to a victim,
Gravedad: Pendiente de análisis
Última modificación:
20/02/2026

CVE-2026-27502
Fecha de publicación:
20/02/2026
Idioma:
Inglés
*** Pendiente de traducción *** SVXportal version 2.5 and prior contain a reflected cross-site scripting vulnerability in log.php via the search query parameter. The application embeds the unsanitized parameter value directly into an HTML input value attribute, allowing an unauthenticated remote attacker to inject and execute arbitrary JavaScript in a victim's browser if the victim visits a crafted URL. This can be used to steal session data, perform actions as the victim, or modify displayed content.
Gravedad CVSS v4.0: MEDIA
Última modificación:
20/02/2026

CVE-2026-27503
Fecha de publicación:
20/02/2026
Idioma:
Inglés
*** Pendiente de traducción *** SVXportal version 2.5 and prior contain a reflected cross-site scripting vulnerability in admin/log.php via the search query parameter. When an authenticated administrator views a crafted URL, the application embeds the unsanitized parameter value directly into an HTML input value attribute, allowing attacker-supplied JavaScript to execute in the administrator's browser. This can enable session theft, administrative action forgery, or other browser-based compromise in the context of an admin user.
Gravedad CVSS v4.0: MEDIA
Última modificación:
20/02/2026

CVE-2026-26102
Fecha de publicación:
20/02/2026
Idioma:
Inglés
*** Pendiente de traducción *** Incorrect Permission Assignment for Critical Resource in Owl opds 2.2.0.4 allows File Manipulation via a crafted network request.
Gravedad CVSS v4.0: ALTA
Última modificación:
20/02/2026

CVE-2026-26721
Fecha de publicación:
20/02/2026
Idioma:
Inglés
*** Pendiente de traducción *** An issue in Key Systems Inc Global Facilities Management Software v.20230721a allows a remote attacker to obtain sensitive information via the sid query parameter.
Gravedad: Pendiente de análisis
Última modificación:
20/02/2026
Suscribirse a Vulnerabilidades