Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las últimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las últimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las últimas vulnerabilidades incorporadas al repositorio.

CVE-2026-7255

Fecha de publicación:

12/05/2026

Idioma:

Inglés

*** Pendiente de traducción *** ** UNSUPPORTED WHEN ASSIGNED ** An improper restriction of excessive authentication attempts vulnerability in the web management interface of Zyxel WRE6505 v2 firmware version V1.00(ABDV.3)C0 could allow an adjacent attacker on the LAN to brute-force the password and bypass authentication.

Gravedad CVSS v3.1: MEDIA

Última modificación:

12/05/2026

CVE-2026-7256

Fecha de publicación:

12/05/2026

Idioma:

Inglés

*** Pendiente de traducción *** ** UNSUPPORTED WHEN ASSIGNED ** A command injection vulnerability in the CGI program of Zyxel WRE6505 v2 firmware version V1.00(ABDV.3)C0 could allow an adjacent attacker on the LAN to execute operating system (OS) commands on a vulnerable device by sending a crafted HTTP request.

Gravedad CVSS v3.1: ALTA

Última modificación:

12/05/2026

CVE-2026-7257

Fecha de publicación:

12/05/2026

Idioma:

Inglés

*** Pendiente de traducción *** ** UNSUPPORTED WHEN ASSIGNED ** An insecure storage of sensitive information vulnerability in the configuration file of Zyxel WRE6505 v2 firmware version V1.00(ABDV.3)C0 could allow a local attacker with administrator privileges to download and decrypt a backup configuration file.

Gravedad CVSS v3.1: MEDIA

Última modificación:

12/05/2026

CVE-2026-7287

Fecha de publicación:

12/05/2026

Idioma:

Inglés

*** Pendiente de traducción *** ** UNSUPPORTED WHEN ASSIGNED ** A buffer overflow vulnerability in the formWep(), formWlAc(), formPasswordSetup(), formUpgradeCert(), and formDelcert() functions of the “webs” binary in Zyxel NWA1100-N customized firmware version 1.00(AACE.1)C0 could allow an attacker to trigger a denial-of-service (DoS) condition by sending a crafted HTTP request to a vulnerable device.

Gravedad CVSS v3.1: ALTA

Última modificación:

12/05/2026

CVE-2026-45430

Fecha de publicación:

12/05/2026

Idioma:

Inglés

*** Pendiente de traducción *** The Salesforce module before 1.x-1.0.1 for Backdrop CMS does not properly use a random state parameter to protect the authorization flow against CSRF attacks.

Gravedad CVSS v3.1: ALTA

Última modificación:

12/05/2026

CVE-2026-40132

Fecha de publicación:

12/05/2026

Idioma:

Inglés

*** Pendiente de traducción *** Due to missing authorization check in SAP Strategic Enterprise Management (Scorecard Wizard in Business Server Pages), an authenticated attacker could access information that they are otherwise unauthorized to view. This vulnerability also enables the attacker to change the default settings and modify value fields, which will mislead risk evaluations and falsely lower assessed risk levels. This results in a low impact on the confidentiality and integrity of the data. There is no impact on the application�s availability.

Gravedad CVSS v3.1: MEDIA

Última modificación:

12/05/2026

CVE-2026-40133

Fecha de publicación:

12/05/2026

Idioma:

Inglés

*** Pendiente de traducción *** Due to missing authorization check in SAP S/4HANA Condition Maintenance, an authenticated attacker could gain unauthorized access to view and modify condition table records, resulting in low impact on the confidentiality and integrity of the data. Additionally, this vulnerability may prevent the legitimate user from accessing the records, causing low impact on application availability.

Gravedad CVSS v3.1: MEDIA

Última modificación:

12/05/2026

CVE-2026-40134

Fecha de publicación:

12/05/2026

Idioma:

Inglés

*** Pendiente de traducción *** Due to insufficient authorization checks in the SAP Incentive and Commission Management application, authenticated users could invoke a remote-enabled function module to perform table update operations. This vulnerability has a low impact on integrity with no impact on confidentiality and availability of the application.

Gravedad CVSS v3.1: MEDIA

Última modificación:

12/05/2026

CVE-2026-40135

Fecha de publicación:

12/05/2026

Idioma:

Inglés

*** Pendiente de traducción *** An OS Command Injection vulnerability exists in the SAP NetWeaver Application Server for ABAP and ABAP Platform that allows an authenticated attacker with administrative access to execute specially crafted shell commands on the server, bypassing the logging mechanism. This allows the execution of unintended OS commands without detection, potentially impacting the integrity and availability of the application, with no impact on confidentiality.

Gravedad CVSS v3.1: MEDIA

Última modificación:

12/05/2026

CVE-2026-40136

Fecha de publicación:

12/05/2026

Idioma:

Inglés

*** Pendiente de traducción *** SAP Financial Consolidation allows an authenticated attacker to disconnect other users by terminating their sessions temporarily preventing access. However, the application itself cannot be compromised resulting in a low impact on availability. There is no impact on confidentiality and integrity of the data

Gravedad CVSS v3.1: MEDIA

Última modificación:

12/05/2026

CVE-2026-40137

Fecha de publicación:

12/05/2026

Idioma:

Inglés

*** Pendiente de traducción *** SAP TAF_APPLAUNCHER within Business Server Pages allows an unauthenticated attacker to craft malicious links that, when clicked by a victim, redirects them to attacker?controlled sites, potentially exposing or altering sensitive information in the victim�s browser. This results in a low impact on confidentiality and integrity, with no impact on the availability of the application.

Gravedad CVSS v3.1: MEDIA

Última modificación:

12/05/2026

CVE-2026-27682

Fecha de publicación:

12/05/2026

Idioma:

Inglés

*** Pendiente de traducción *** Due to a reflected cross-site scripting (XSS) vulnerability in SAP NetWeaver Application Server ABAP (Applications based on Business Server Pages), an unauthenticated attacker could craft a URL that exploits an unprotected URL parameter to embed a malicious script. If a victim clicks the link, the injected input is processed during web page generation, resulting in the execution of malicious content in the victim�s browser context. This could allow the attacker to access and/or modify information, impacting the confidentiality and integrity of the application, with no impact to availability.

Gravedad CVSS v3.1: MEDIA

Última modificación:

12/05/2026

Suscribirse a Vulnerabilidades