Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

017 - Ir a la línea de ayuda en Ciberseguridad    Ir a Agenda     Ir a Sala de prensa     Ir a suscripción de boletines

Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las últimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las últimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las últimas vulnerabilidades incorporadas al repositorio.

CVE-2026-108585
Fecha de publicación:
10/10/2026
Idioma:
Inglés
*** Pendiente de traducción *** argocd-mcp (Argo CD MCP Server) through 0.9.0 contains a path traversal vulnerability in the delete_application tool that allows MCP clients to reach unintended API endpoints via unvalidated applicationName values. Attackers or prompt-injected models can supply dot-segment values like ../repositories/ to send authenticated DELETE requests deleting repositories, clusters, or projects within the token's RBAC permissions.
Gravedad CVSS v4.0: MEDIA
Última modificación:
10/10/2026

CVE-2026-108582
Fecha de publicación:
10/10/2026
Idioma:
Inglés
*** Pendiente de traducción *** GenOffice through 0.11.505 contains an incorrect permissions vulnerability in its HTTP MCP server file store that allows local unprivileged users to read uploaded and generated documents. Attackers can list the world-readable genoffice-mcp-http directory under the system temporary directory to read client uploads and converted outputs, bypassing the HTTP bearer token.
Gravedad CVSS v4.0: MEDIA
Última modificación:
10/10/2026

CVE-2026-108579
Fecha de publicación:
10/10/2026
Idioma:
Inglés
*** Pendiente de traducción *** OpenPanel through 2.3.0 contains a CSV formula injection vulnerability that allows unauthenticated attackers to embed spreadsheet formulas by supplying crafted profile IDs to the /track endpoint. Attackers can send tracking events with profile IDs like =HYPERLINK(...) matching a cohort, so exported cohort CSVs execute formulas that exfiltrate adjacent cell data.
Gravedad CVSS v4.0: BAJA
Última modificación:
10/10/2026

CVE-2026-108581
Fecha de publicación:
10/10/2026
Idioma:
Inglés
*** Pendiente de traducción *** TencentCloud Octop through 1.0.2b6 contains a missing authorization vulnerability that allows authenticated low-privileged users to read stored provider API keys via GET /api/providers and GET /api/voice/providers. Attackers can query these endpoints, which only validate the JWT, to obtain plaintext LLM and voice provider API keys and abuse the upstream provider accounts.
Gravedad CVSS v4.0: ALTA
Última modificación:
10/10/2026

CVE-2026-108554
Fecha de publicación:
10/10/2026
Idioma:
Inglés
*** Pendiente de traducción *** PDFMathTranslate (pdf2zh) through 1.9.11 contains a server-side request forgery vulnerability that allows unauthenticated attackers to make the server fetch arbitrary URLs via the Link input. The translate_file handler passes user URLs to download_with_limit without scheme or address validation, letting attackers reach internal services and cloud metadata endpoints and retrieve returned PDFs.
Gravedad CVSS v4.0: MEDIA
Última modificación:
10/10/2026

CVE-2026-108550
Fecha de publicación:
10/10/2026
Idioma:
Inglés
*** Pendiente de traducción *** SkillHub before 0.2.22 contains an incorrect authorization vulnerability in AccountMergeService and AccountMergeController that allows authenticated attackers to take over other accounts by abusing the merge flow. Attackers can call the merge initiate endpoint with a target username or OAuth identity, receive the verification token directly, and confirm the merge to inherit the victim's API tokens, roles and namespace ownership.
Gravedad CVSS v4.0: ALTA
Última modificación:
10/10/2026

CVE-2026-108553
Fecha de publicación:
10/10/2026
Idioma:
Inglés
*** Pendiente de traducción *** OpenRefine through 3.10.1 contains a cross-site request forgery vulnerability in the get-rows command that allows remote attackers to execute Jython facet expressions. Attackers can lure a user to a malicious page issuing a cross-origin GET with a crafted engine parameter, executing operating system commands as the OpenRefine user.
Gravedad CVSS v4.0: ALTA
Última modificación:
10/10/2026

CVE-2026-108548
Fecha de publicación:
10/10/2026
Idioma:
Inglés
*** Pendiente de traducción *** AstronRPA through 1.1.6 contains an authentication bypass vulnerability in the OpenResty gateway's auth_handler.lua that accepts any Bearer token without validation. Unauthenticated attackers can send arbitrary Bearer values to reach /api/resource/ and /api/rpa-ai-service/ routes and spoof X-User-Id or user_id headers to act as any user.
Gravedad CVSS v4.0: MEDIA
Última modificación:
10/10/2026

CVE-2026-108545
Fecha de publicación:
10/10/2026
Idioma:
Inglés
*** Pendiente de traducción *** SillyTavern 1.12.13 through 1.19.0 contains a denial of service vulnerability that allows unauthenticated remote attackers to exhaust resources because body-parser middleware runs before authentication and whitelist checks. Attackers can send large or compressed JSON or urlencoded bodies up to 500 MB, optionally in parallel, to exhaust memory and CPU and deny service.
Gravedad CVSS v4.0: ALTA
Última modificación:
10/10/2026

CVE-2026-108547
Fecha de publicación:
10/10/2026
Idioma:
Inglés
*** Pendiente de traducción *** AstronRPA through 1.1.6 contains a missing tenant authorization check in robot-service that allows authenticated users to read other tenants' shared variables via the get-batch-shared-var endpoint. Attackers can enumerate sequential shared variable IDs and decrypt all-users variables re-encrypted with their own tenant key to recover other tenants' credentials in plaintext.
Gravedad CVSS v4.0: ALTA
Última modificación:
10/10/2026

CVE-2026-108114
Fecha de publicación:
10/10/2026
Idioma:
Inglés
*** Pendiente de traducción *** Strapi 5.47.0 through 5.57.0 contains an improper authorization vulnerability that allows admin API tokens to retain all-field Content Manager access after the owner's role is field-restricted. Because reconcileTokenPermissionsToUserCeiling ignores token permissions with omitted or null fields, token holders can keep reading content fields an administrator removed from the role.
Gravedad CVSS v4.0: MEDIA
Última modificación:
10/10/2026

CVE-2026-108161
Fecha de publicación:
10/10/2026
Idioma:
Inglés
*** Pendiente de traducción *** FusionPBX through 5.6.5 contains an OS command injection vulnerability in call_recordings::download() that allows unauthenticated attackers to execute commands by placing calls with malicious caller ID values. When the record_name filename template is enabled, attackers can embed shell metacharacters like $(...) in the Caller-ID name or number, executing commands as the web server user once a privileged user downloads multiple recordings as a ZIP.
Gravedad CVSS v4.0: ALTA
Última modificación:
10/10/2026
Suscribirse a Vulnerabilidades