Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las últimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las últimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las últimas vulnerabilidades incorporadas al repositorio.

CVE-2026-76157

Fecha de publicación:
21/08/2026
Idioma:
Inglés
*** Pendiente de traducción *** Missing authentication for a critical function in the upload API endpoint of Datiphy Data Management Center from v8.3.0 through v8.5.1 allows an unauthenticated remote attacker to upload arbitrary files to the server's configured upload directory.
Gravedad CVSS v4.0: ALTA
Última modificación:
21/08/2026

CVE-2026-77391

Fecha de publicación:
21/08/2026
Idioma:
Inglés
*** Pendiente de traducción *** A security flaw has been discovered in SourceCodester Dynamic Input Field Generator Using HTML, CSS, and PHP 1.0. This affects an unknown function. The manipulation results in cross-site request forgery. The attack can be launched remotely. The exploit has been released to the public and may be used for attacks.
Gravedad CVSS v4.0: BAJA
Última modificación:
21/08/2026

CVE-2026-76155

Fecha de publicación:
21/08/2026
Idioma:
Inglés
*** Pendiente de traducción *** Use of default credentials in Datiphy Data Management Center from v8.3.0 through v8.5.1 allows a remote attacker to gain administrative access to the management platform by logging in with default administrator credentials.
Gravedad CVSS v4.0: CRÍTICA
Última modificación:
21/08/2026

CVE-2026-77651

Fecha de publicación:
21/08/2026
Idioma:
Inglés
*** Pendiente de traducción *** The arrayref crate 0.3.10 for Rust can trigger execution of malicious code when compiling a project that uses the crate, because it has a rogue dependency that registers with a command-and-control server to offer arbitrary code execution.
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
21/08/2026

CVE-2026-43679

Fecha de publicación:
21/08/2026
Idioma:
Inglés
*** Pendiente de traducción *** This issue was addressed with improved permissions checking. This issue is fixed in watchOS 26.4. An attacker with physical access to a locked Apple Watch may be able to view user contacts.
Gravedad: Pendiente de análisis
Última modificación:
21/08/2026

CVE-2026-77649

Fecha de publicación:
21/08/2026
Idioma:
Inglés
*** Pendiente de traducción *** The internment crate 0.8.7 for Rust can trigger execution of malicious code when compiling a project that uses the crate, because it has a rogue dependency that registers with a command-and-control server to offer arbitrary code execution.
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
21/08/2026

CVE-2026-77650

Fecha de publicación:
21/08/2026
Idioma:
Inglés
*** Pendiente de traducción *** The append-only-vec crate 0.1.9 for Rust can trigger execution of malicious code when compiling a project that uses the crate, because it has a rogue dependency that registers with a command-and-control server to offer arbitrary code execution.
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
21/08/2026

CVE-2026-20679

Fecha de publicación:
21/08/2026
Idioma:
Inglés
*** Pendiente de traducción *** The issue was addressed with improved checks. This issue is fixed in macOS Sequoia 15.7.5, macOS Sonoma 14.8.5, macOS Tahoe 26.4. Processing a maliciously crafted file may lead to unexpected app termination.
Gravedad: Pendiente de análisis
Última modificación:
21/08/2026

CVE-2026-16520

Fecha de publicación:
21/08/2026
Idioma:
Inglés
*** Pendiente de traducción *** Improper input validation and Exposure of sensitive information through data queries vulnerability in Genians Genian NAC V4.0, Genians Genian NAC V5.0, and Genians Genian ZTNA V6.0 allows SQL Injection and Authentication Bypass.<br /> <br /> This issue affects Genian NAC V4.0: from 4.0.0 before 4.0.175(Revision 150340); <br /> Genian NAC V5.0: from 5.0.0 before 5.0.65 LTS(Revision 150331), from 5.0.0 before 5.0.75 LTS(Revision 150330), from 5.0.0 before 5.0.87 Release Stable(Revision 150329), and from 5.0.0 before 5.0.88(Revision 150328); <br /> Genian ZTNA V6.0: from 6.0.0 before 6.0.26 LTS(Revision 150337), from 6.0.0 before 6.0.35 LTS(Revision 150336), from 6.0.0 before 6.0.47 Release Stable(Revision 150334), and from 6.0.0 before 6.0.48(Revision 150333).
Gravedad CVSS v4.0: ALTA
Última modificación:
21/08/2026

CVE-2026-77113

Fecha de publicación:
20/08/2026
Idioma:
Inglés
*** Pendiente de traducción *** Path traversal in apport-unpack in Canonical Apport before 2.36.0, 2.34.2, and 2.28.4 on Linux allows an attacker to create or overwrite arbitrary files with the privileges of the executing user via an attacker controlled key names in crash report files.
Gravedad CVSS v4.0: MEDIA
Última modificación:
20/08/2026

CVE-2026-77647

Fecha de publicación:
20/08/2026
Idioma:
Inglés
*** Pendiente de traducción *** SPIP before 4.4.20 allows unauthenticated remote attackers to execute arbitrary code, as exploited in the wild in August 2026. This is related to incorrect identification of
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
20/08/2026

CVE-2026-77648

Fecha de publicación:
20/08/2026
Idioma:
Inglés
*** Pendiente de traducción *** In OpenStack Glance through 32.0.0, the /v2/tasks API accepts type=import tasks that<br /> bypass import_filtering_opts, allowing an admin to fetch internal<br /> URLs from the Glance service network (aka SSRF), as long as https:// or http:// is used. This API has been available only to admins since Xena, and it has been deprecated for several releases.
Gravedad CVSS v3.1: BAJA
Última modificación:
20/08/2026