Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las últimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las últimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las últimas vulnerabilidades incorporadas al repositorio.

CVE-2026-67343

Fecha de publicación:

01/08/2026

Idioma:

Inglés

*** Pendiente de traducción *** ArcadeDB versions before 26.7.2 fail to properly redact the cluster token in the GET /api/v1/server endpoint, allowing authenticated users to retrieve the arcadedb.ha.clusterToken value in cleartext. Attackers can use the leaked token with X-ArcadeDB-Cluster-Token and X-ArcadeDB-Forwarded-User headers to impersonate root and execute administrative actions including user creation, database operations, and server shutdown.

Gravedad CVSS v4.0: ALTA

Última modificación:

01/08/2026

CVE-2026-67344

Fecha de publicación:

01/08/2026

Idioma:

Inglés

*** Pendiente de traducción *** ArcadeDB before 26.7.2 fails to enforce the UPDATE_SCHEMA database permission on the ALTER TYPE ... CUSTOM and ALTER TYPE ... BUCKETSELECTIONSTRATEGY SQL operations, which map to setCustomValue and setBucketSelectionStrategy in LocalDocumentType. An authenticated user with only read access (e.g., a read-only API token) can submit these ALTER TYPE statements via the HTTP command endpoint to mutate a type&#39;s custom schema metadata and bucket-selection strategy, bypassing the documented updateSchema permission boundary and potentially corrupting schema metadata and record routing.

Gravedad CVSS v4.0: ALTA

Última modificación:

01/08/2026

CVE-2026-67352

Fecha de publicación:

01/08/2026

Idioma:

Inglés

*** Pendiente de traducción *** luci-app-https-dns-proxy contains a stored cross-site scripting vulnerability in the resolver_url parameter that allows authenticated users to inject active HTML. When an administrator views the HTTPS DNS Proxy status page, the resolver URL is rendered as raw HTML and executes JavaScript in the administrator&#39;s browser origin.

Gravedad CVSS v4.0: MEDIA

Última modificación:

01/08/2026

CVE-2026-67333

Fecha de publicación:

01/08/2026

Idioma:

Inglés

*** Pendiente de traducción *** better-auth before 1.6.13 (and pre-release builds 1.7.0-beta.0 through 1.7.0-beta.3) fail to validate the scheme of redirect_uris registered via the deprecated oidc-provider plugin and the mcp plugin (which wraps the same provider). An attacker can register an OAuth client with a javascript: redirect_uri, which the authorization server later returns unchanged in the consent response. If the deployment&#39;s consent page navigates the browser to the returned redirectURI (e.g. assigning it to window.location.href), the attacker&#39;s JavaScript executes in the authorization-server origin, exposing the victim&#39;s session and enabling account takeover.

Gravedad CVSS v4.0: MEDIA

Última modificación:

01/08/2026

CVE-2026-67334

Fecha de publicación:

01/08/2026

Idioma:

Inglés

*** Pendiente de traducción *** better-auth versions before 1.6.11 fail to delete cached sessions when removing users via admin, anonymous, or SCIM endpoints when secondaryStorage is configured and storeSessionInDatabase is false. Attackers can reuse deleted user session tokens to maintain authentication for up to seven days after account deletion.

Gravedad CVSS v4.0: MEDIA

Última modificación:

01/08/2026

CVE-2026-67335

Fecha de publicación:

01/08/2026

Idioma:

Inglés

*** Pendiente de traducción *** better-auth versions before 1.6.2 fail to validate the OAuth state parameter against the stored nonce when using cookie-backed state storage without PKCE. Attackers can forge the state parameter and supply an attacker-controlled authorization code to create authenticated sessions bound to the attacker&#39;s external identity or persistently link attacker accounts to victim profiles.

Gravedad CVSS v4.0: MEDIA

Última modificación:

01/08/2026

CVE-2026-67336

Fecha de publicación:

01/08/2026

Idioma:

Inglés

*** Pendiente de traducción *** better-auth versions before 1.6.11 contain insecure cryptographic defaults in the oidcProvider and mcp plugins that advertise the none algorithm and accept plain PKCE by default. Attackers can exploit algorithm negotiation to accept unsigned tokens or intercept authorization codes when PKCE plain is used instead of the required S256 method.

Gravedad CVSS v4.0: CRÍTICA

Última modificación:

01/08/2026

CVE-2026-67337

Fecha de publicación:

01/08/2026

Idioma:

Inglés

*** Pendiente de traducción *** better-auth versions before 1.4.9 contain a two-factor authentication bypass vulnerability when session.cookieCache is enabled. Attackers with valid primary credentials can access authenticated routes without completing second-factor verification by exploiting premature session caching.

Gravedad CVSS v4.0: ALTA

Última modificación:

01/08/2026

CVE-2026-67338

Fecha de publicación:

01/08/2026

Idioma:

Inglés

*** Pendiente de traducción *** JupyterLab before 4.5.9 contains a stored cross-site scripting vulnerability in the Extension Manager that fails to validate URI protocols in package metadata URLs. Attackers can publish malicious PyPI packages with javascript: URLs in project metadata that execute arbitrary JavaScript in the JupyterLab origin when users click the extension name.

Gravedad CVSS v4.0: MEDIA

Última modificación:

01/08/2026

CVE-2026-67339

Fecha de publicación:

01/08/2026

Idioma:

Inglés

*** Pendiente de traducción *** guzzlehttp/guzzle versions before 7.14.2 fail to properly isolate Proxy-Authorization headers from origin servers in cURL handlers. Attackers can capture proxy credentials through origin server access logs when requests are redirected, bypassed, or sent through SOCKS proxies that Guzzle misclassifies as direct connections.

Gravedad CVSS v4.0: MEDIA

Última modificación:

01/08/2026

CVE-2026-67326

Fecha de publicación:

01/08/2026

Idioma:

Inglés

*** Pendiente de traducción *** GitPython before 3.1.50 fails to validate newline characters in the section parameter of config_writer(), allowing attackers to inject arbitrary section headers into .git/config. Attackers can inject newlines to create a forged [core] section with hooksPath pointing to attacker-controlled directories, achieving remote code execution when git hooks are triggered.

Gravedad CVSS v4.0: ALTA

Última modificación:

01/08/2026