Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

017 - Ir a la línea de ayuda en Ciberseguridad    Ir a Agenda     Ir a Sala de prensa     Ir a suscripción de boletines

Ir al buscador

Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las últimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las últimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las últimas vulnerabilidades incorporadas al repositorio.

CVE-2026-19957
Fecha de publicación:
16/08/2026
Idioma:
Inglés
*** Pendiente de traducción *** A vulnerability was identified in graphlit graphlit-mcp-server 1.0.1. This affects the function fetch of the file src/tools.ts of the component ssrf-test Endpoint. Such manipulation of the argument url leads to server-side request forgery. The attack may be launched remotely. The exploit is publicly available and might be used. The project was informed of the problem early through an issue report but has not responded yet.
Gravedad CVSS v4.0: BAJA
Última modificación:
16/08/2026

CVE-2026-19956
Fecha de publicación:
16/08/2026
Idioma:
Inglés
*** Pendiente de traducción *** A vulnerability has been found in gomarble-ai facebook-ads-mcp-server 0.1.0. The impacted element is the function fetch_pagination_url of the file server.py. Such manipulation leads to server-side request forgery. The attack can be launched remotely. The name of the patch is 4e53875aa22e8991c2fa4a7660d86e1caba66659. Applying a patch is advised to resolve this issue.
Gravedad CVSS v4.0: MEDIA
Última modificación:
16/08/2026

CVE-2026-19955
Fecha de publicación:
16/08/2026
Idioma:
Inglés
*** Pendiente de traducción *** A vulnerability was detected in TrailDB 0.6. Impacted is the function tdb_open of the file /src/tdb.c of the component TOC Validation. The manipulation results in out-of-bounds read. It is possible to launch the attack remotely. The exploit is now public and may be used. The project was informed of the problem early through an issue report but has not responded yet.
Gravedad CVSS v4.0: BAJA
Última modificación:
16/08/2026

CVE-2026-74790
Fecha de publicación:
16/08/2026
Idioma:
Inglés
*** Pendiente de traducción *** Scriban before 7.0.0 caches TypedObjectAccessor by Type only without considering MemberFilter changes, allowing reused TemplateContext instances to expose members that should be hidden. Attackers can access filtered properties and fields by reusing a TemplateContext after tightening its MemberFilter, bypassing sandbox policies across requests or tenants.
Gravedad CVSS v4.0: CRÍTICA
Última modificación:
16/08/2026

CVE-2026-74791
Fecha de publicación:
16/08/2026
Idioma:
Inglés
*** Pendiente de traducción *** Scriban before 7.0.0 fails to clear the CachedTemplates dictionary when TemplateContext.Reset() is called, allowing cached templates to persist across reused contexts. Attackers can exploit request-dependent ITemplateLoader implementations to access previously authorized template content from earlier renders without triggering TemplateLoader.Load() again.
Gravedad CVSS v4.0: CRÍTICA
Última modificación:
16/08/2026

CVE-2026-74792
Fecha de publicación:
16/08/2026
Idioma:
Inglés
*** Pendiente de traducción *** Scriban before 7.0.0 (affected versions
Gravedad CVSS v4.0: ALTA
Última modificación:
16/08/2026

CVE-2026-74794
Fecha de publicación:
16/08/2026
Idioma:
Inglés
*** Pendiente de traducción *** Scriban before 6.6.0 contains an infinite recursion vulnerability in object rendering when the ObjectRecursionLimit property defaults to unlimited. Attackers can supply circular reference objects to the template context, exhausting stack space and triggering an uncatchable StackOverflowException that terminates the hosting process.
Gravedad CVSS v4.0: ALTA
Última modificación:
16/08/2026

CVE-2026-74795
Fecha de publicación:
16/08/2026
Idioma:
Inglés
*** Pendiente de traducción *** Scriban before 6.6.0 contains an uncontrolled recursion vulnerability in its recursive-descent parser. The parser does not enforce a default expression depth limit (the ExpressionDepthLimit property in ParserOptions defaults to null/disabled), so an attacker who controls template input can supply a deeply nested template (e.g., thousands of nested parentheses or blocks) that exhausts thread stack space and raises a StackOverflowException. Because a StackOverflowException cannot be caught in .NET, this causes immediate, unrecoverable termination of the hosting process, resulting in a denial of service. Applications that process untrusted or user-supplied templates can be exploited remotely without authentication.
Gravedad CVSS v4.0: ALTA
Última modificación:
16/08/2026

CVE-2026-74796
Fecha de publicación:
16/08/2026
Idioma:
Inglés
*** Pendiente de traducción *** OpenTofu before 1.11.7 fails to validate existing symlinks in the provider cache directory during initialization. Attackers can place a malicious symlink in a trusted working directory to cause tofu init to write provider package contents to arbitrary filesystem locations outside the working tree.
Gravedad CVSS v4.0: ALTA
Última modificación:
16/08/2026

CVE-2026-74797
Fecha de publicación:
16/08/2026
Idioma:
Inglés
*** Pendiente de traducción *** OpenTofu versions before 1.11.4 contain a denial of service vulnerability in the tofu init command when processing maliciously-crafted .zip archives for provider or module packages. Attackers can cause excessive CPU usage by controlling .zip archive content served during dependency installation, degrading system performance and preventing timely completion of the init process.
Gravedad CVSS v4.0: BAJA
Última modificación:
16/08/2026

CVE-2026-74783
Fecha de publicación:
16/08/2026
Idioma:
Inglés
*** Pendiente de traducción *** Scriban versions 6.6.0 through 7.2.0 contain a non-enforcing ExpressionDepthLimit guard that fails to stop recursive descent parsing of deeply nested expressions. Attackers can supply templates with deeply nested parentheses, array initializers, object initializers, or unary operators to trigger an uncatchable StackOverflowException that immediately terminates the host process.
Gravedad CVSS v4.0: ALTA
Última modificación:
16/08/2026

CVE-2026-74784
Fecha de publicación:
16/08/2026
Idioma:
Inglés
*** Pendiente de traducción *** Scriban before 7.2.0 contains a denial of service vulnerability in the array.insert_at function that allocates unbounded null entries without respecting LoopLimit or LimitToString constraints. Attackers can supply a large index parameter to trigger OutOfMemoryException and crash the host process in under a second.
Gravedad CVSS v4.0: ALTA
Última modificación:
16/08/2026
Suscribirse a Vulnerabilidades