Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las últimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las últimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las últimas vulnerabilidades incorporadas al repositorio.

CVE-2026-12894

Fecha de publicación:

31/08/2026

Idioma:

Inglés

*** Pendiente de traducción *** A flaw was found in the Qute template engine, which is used by Quarkus to generate dynamic content like HTML pages or emails. The issue exists in the component responsible for looking up data values (ReflectionValueResolver), which fails to properly block access to sensitive Java internal functions when processing certain data types like Enums. An attacker who can provide or influence the template text can exploit this bypass to take control of the server by executing unauthorized commands.

Gravedad CVSS v3.1: ALTA

Última modificación:

31/08/2026

CVE-2026-82691

Fecha de publicación:

31/08/2026

Idioma:

Inglés

*** Pendiente de traducción *** A vulnerability has been found in D-Link DNS-320L, DNS-327L, DNS-340L and DNS-345 up to 20260717. Affected by this issue is some unknown functionality of the file /cgi-bin/usb_device.cgi of the component CGI Handler. Such manipulation of the argument f_ups_ip leads to os command injection. The attack may be performed from remote. The exploit has been disclosed to the public and may be used.

Gravedad CVSS v4.0: ALTA

Última modificación:

31/08/2026

CVE-2026-82797

Fecha de publicación:

31/08/2026

Idioma:

Inglés

*** Pendiente de traducción *** Uncontrolled Recursion vulnerability in Samsung Open Source rlottie allows Serialized Data with Nested Payloads.<br /> <br /> This issue affects rlottie: before 8de0d9e6ca80ffef654965505981727b9fa06a51.

Gravedad CVSS v3.1: MEDIA

Última modificación:

31/08/2026

CVE-2026-82881

Fecha de publicación:

31/08/2026

Idioma:

Inglés

*** Pendiente de traducción *** Aix-DB through 1.2.4 renders markdown with raw HTML enabled into v-html bindings without sanitization, allowing stored cross-site scripting attacks. Attackers can inject malicious HTML and JavaScript through markdown content in chat responses, skill descriptions, or knowledge messages that execute in users&#39; browsers when viewed.

Gravedad CVSS v4.0: MEDIA

Última modificación:

31/08/2026

CVE-2026-82880

Fecha de publicación:

31/08/2026

Idioma:

Inglés

*** Pendiente de traducción *** YaCy Search Server through 1.941 contains an XML external entity injection vulnerability in SVG, FreeMind, and OpenSearch parsers that fail to disable external entity resolution. Attackers can publish malicious documents with DOCTYPE declarations containing SYSTEM entities pointing to local files, causing the crawler to exfiltrate file contents into the searchable index.

Gravedad CVSS v4.0: ALTA

Última modificación:

31/08/2026

CVE-2026-82879

Fecha de publicación:

31/08/2026

Idioma:

Inglés

*** Pendiente de traducción *** DataEase before 2.10.26 contains multiple access control defects in the sharing link module. Tickets are not bound to the target share UUID, so a valid ticket issued for one share can be reused against another (ShareTicketManage.validateTicket / POST /de2api/share/proxyInfo). The POST /de2api/share/validate endpoint issues a LinkToken after password verification without requiring a ticket, bypassing the &#39;ticket mandatory&#39; policy. Additionally, the ticket create and delete endpoints (POST /de2api/ticket/saveTicket, POST /de2api/ticket/delTicket) lack share-ownership checks, allowing an authenticated user who knows another user&#39;s ticket to modify, rebind, or delete it (denial of service), and GET /de2api/share/queryRelationByUserId/{uid} allows authenticated users to enumerate other users&#39; share mappings.

Gravedad CVSS v4.0: MEDIA

Última modificación:

31/08/2026

CVE-2026-82876

Fecha de publicación:

31/08/2026

Idioma:

Inglés

*** Pendiente de traducción *** Phison PS3111-S11 controller firmware verifies RSA signatures using a public modulus embedded within the firmware image itself rather than anchored in immutable storage. Attackers can generate arbitrary RSA key pairs, sign modified firmware with the private key, embed the matching modulus in the signature segment, and the controller accepts the tampered firmware as valid.

Gravedad CVSS v4.0: CRÍTICA

Última modificación:

31/08/2026

CVE-2026-82877

Fecha de publicación:

31/08/2026

Idioma:

Inglés

*** Pendiente de traducción *** ILIAS versions before 9.22, 10.0 through 10.9, and 11.0 through 11.2 contain an arbitrary file read vulnerability in the SOAP addFile method that allows authenticated users to read server files by supplying crafted XML with COPY-mode imports. Attackers can construct absolute file paths through an unsandboxed import directory and retrieve sensitive files including configuration files containing database credentials and setup passwords.

Gravedad CVSS v4.0: ALTA

Última modificación:

31/08/2026

CVE-2026-82878

Fecha de publicación:

31/08/2026

Idioma:

Inglés

*** Pendiente de traducción *** DataEase versions before 2.10.26 omit object-level authorization checks on geographic information, dashboard linkage, and chart detail REST endpoints, allowing authenticated users to access resources belonging to other users. Attackers can overwrite or delete map geometry, modify dashboard linkages, and retrieve chart metadata and configuration for resources they do not own by supplying arbitrary identifiers in requests.

Gravedad CVSS v4.0: MEDIA

Última modificación:

31/08/2026

CVE-2026-82680

Fecha de publicación:

31/08/2026

Idioma:

Inglés

*** Pendiente de traducción *** A weakness has been identified in D-Link DSM-G600 1.01. This affects an unknown function of the file /load_file.cgi of the component Multipart Handler. Executing a manipulation can lead to out-of-bounds write. The attack may be launched remotely. The exploit has been made available to the public and could be used for attacks.

Gravedad CVSS v4.0: ALTA

Última modificación:

31/08/2026

CVE-2026-82679

Fecha de publicación:

31/08/2026

Idioma:

Inglés

*** Pendiente de traducción *** A security flaw has been discovered in diem-project diem up to 5.1.3. The impacted element is an unknown function of the file dmFrontPlugin/lib/dmWidget/media/dmWidgetContentBaseMediaForm.php of the component Widget Editor. Performing a manipulation results in unrestricted upload. The attack may be initiated remotely. The exploit has been released to the public and may be used for attacks. The project was informed of the problem early through an issue report but has not responded yet.

Gravedad CVSS v4.0: BAJA

Última modificación:

31/08/2026

CVE-2026-82688

Fecha de publicación:

31/08/2026

Idioma:

Inglés

*** Pendiente de traducción *** A security vulnerability has been detected in D-Link DNS-340L and DNS-345 1.01B04/1.03B06/1.04.B02/1.05b04. This impacts an unknown function of the file /cgi-bin/virtual_vol.cgi of the component Virtual Volume Handler. The manipulation of the argument f_sharename/f_target/f_name leads to os command injection. Remote exploitation of the attack is possible. The exploit has been disclosed publicly and may be used.

Gravedad CVSS v4.0: ALTA

Última modificación:

31/08/2026

Suscribirse a Vulnerabilidades