Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

017 - Ir a la línea de ayuda en Ciberseguridad    Ir a Agenda     Ir a Sala de prensa     Ir a suscripción de boletines

Ir al buscador

Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las últimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las últimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las últimas vulnerabilidades incorporadas al repositorio.

CVE-2026-15816
Fecha de publicación:
07/08/2026
Idioma:
Inglés
*** Pendiente de traducción *** A flaw was found in dracut. The die() error-handling function writes its message into a shell script under the initramfs emergency-hook directory without properly shell-quoting it. When the message contains data derived from the DHCP ROOT_PATH option, an attacker on the adjacent network who controls a rogue DHCP server can inject a command-substitution sequence that executes as root the next time dracut sources its emergency hook scripts during standard boot-failure handling.
Gravedad CVSS v3.1: ALTA
Última modificación:
07/08/2026

CVE-2026-54217
Fecha de publicación:
07/08/2026
Idioma:
Inglés
*** Pendiente de traducción *** Tobit Laboratories AG TeamDavid&amp;#39;s Webbox application is vulnerable to a stored XSS vulnerability. An <br /> attacker can send an email containing malicious JavaScript code. When a <br /> user accesses the email, the stored cross-site scripting is triggered. This issue affects TeamDavid through Rollout 524.
Gravedad CVSS v4.0: MEDIA
Última modificación:
07/08/2026

CVE-2026-54218
Fecha de publicación:
07/08/2026
Idioma:
Inglés
*** Pendiente de traducción *** Use of hard-coded cryptographic key vulnerability in Tobit Laboratories AG TeamDavid&amp;#39;s Webbox. For users created locally in David, passwords are stored in various <br /> files using only obfuscation. Any user with access to the server’s file <br /> system, or who can otherwise extract files from the server (see <br /> vulnerability “Random File Read”), can potentially obtain affected <br /> users’ passwords. This issue affects TeamDavid through Rollout 524.
Gravedad CVSS v4.0: ALTA
Última modificación:
07/08/2026

CVE-2026-71560
Fecha de publicación:
07/08/2026
Idioma:
Inglés
*** Pendiente de traducción *** Out-of-bounds Read vulnerability in Apache Fory C++ deserialization.<br /> <br /> This issue affects Apache Fory C++ versions from 0.14.0 before 1.5.0 when deserializing structs containing tagged integer fields. A crafted input payload may trigger an out-of-bounds heap read in the tagged integer fast-path deserializer, potentially causing information disclosure or denial of service.<br /> <br /> <br /> Users are recommended to upgrade to Apache Fory 1.5.0, which fixes this issue. Applications that do not use Apache Fory C++ or do not use tagged integer fields are not affected.
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
08/08/2026

CVE-2026-71558
Fecha de publicación:
07/08/2026
Idioma:
Inglés
*** Pendiente de traducción *** Heap type confusion vulnerability in Apache Fory C++ deserialization.<br /> <br /> This issue affects Apache Fory C++ versions from 0.14.0 before 1.5.0. A crafted input payload can bypass type compatibility checks during polymorphic smart-pointer deserialization, causing an object of an incompatible type to be treated as the declared base type. This may result in undefined behavior and potentially lead to denial of service or arbitrary code execution.<br /> <br /> <br /> Users are recommended to upgrade to Apache Fory 1.5.0, which fixes this issue. Applications not using Apache Fory C++ polymorphic smart-pointer deserialization are not affected.
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
08/08/2026

CVE-2026-71559
Fecha de publicación:
07/08/2026
Idioma:
Inglés
*** Pendiente de traducción *** Deserialization of Untrusted Data vulnerability in the Go implementation of Apache Fory allows an attacker to cause a denial of service by supplying crafted data containing malformed type metadata, which triggers an uncaught panic.<br /> <br /> This issue affects Apache Fory: from 0.16.0 before 1.5.0.  Users of other language implementations are not affected.<br /> <br /> Users are recommended to upgrade to version 1.5.0, which fixes the issue.
Gravedad CVSS v3.1: ALTA
Última modificación:
08/08/2026

CVE-2026-54214
Fecha de publicación:
07/08/2026
Idioma:
Inglés
*** Pendiente de traducción *** Tobit Laboratories AG TeamDavid&amp;#39;s Webbox application is vulnerable to HTTP header injection through the <br /> “cType” URL parameter, which allows arbitrary modification of the <br /> Content-Type header in HTTP responses. Because the parameter does not <br /> properly restrict control characters such as URL-encoded newlines <br /> (“%0a”) or colons, attackers can inject additional headers including <br /> extra Location headers into the server’s response. This results e.g. in <br /> an open redirect vulnerability. This issue affects TeamDavid through Rollout 524.
Gravedad CVSS v4.0: MEDIA
Última modificación:
07/08/2026

CVE-2026-54215
Fecha de publicación:
07/08/2026
Idioma:
Inglés
*** Pendiente de traducción *** Tobit Laboratories AG TeamDavid&amp;#39;s Webbox contains an open redirect vulnerability via the <br /> “replyUrl” parameter. An attacker can exploit this vulnerability to <br /> craft a URL within the application that, when visited, redirects the <br /> user’s browser to an arbitrary third-party site. This can be abused for <br /> phishing attacks, where users receive a trusted domain link but are <br /> redirected to a phishing website. This issue affects TeamDavid through Rollout 524.
Gravedad CVSS v4.0: MEDIA
Última modificación:
07/08/2026

CVE-2026-54216
Fecha de publicación:
07/08/2026
Idioma:
Inglés
*** Pendiente de traducción *** Tobit Laboratories AG TeamDavid&amp;#39;s Webbox application contains a reflected cross-site scripting (XSS) <br /> vulnerability. By sending a specially crafted link including an <br /> arbitrary path, an XSS payload or the parameter “EntryInfo”, and the <br /> parameter “!templateName=entryMail”, an attacker can cause the payload <br /> to execute in the victim’s browser when they click the link. This issue affects TeamDavid through Rollout 524.
Gravedad CVSS v4.0: MEDIA
Última modificación:
07/08/2026

CVE-2026-54213
Fecha de publicación:
07/08/2026
Idioma:
Inglés
*** Pendiente de traducción *** Tobit Laboratories AG TeamDavid&amp;#39;s Webbox application exposes a functionality that allows the server to be <br /> shut down when a specific endpoint (/internalRestart) is accessed. This <br /> endpoint is accessible to unauthenticated users over the public <br /> Internet. Instead of “restarting”, the server shuts completely down. As a<br /> result, a remote attacker can trigger a persistent denial of service by<br /> shutting down the web server without requiring authentication. Recovery<br /> requires manual administrator intervention to restart the service. This issue affects TeamDavid through Rollout 524.
Gravedad CVSS v4.0: CRÍTICA
Última modificación:
07/08/2026

CVE-2026-54210
Fecha de publicación:
07/08/2026
Idioma:
Inglés
*** Pendiente de traducción *** Tobit Laboratories AG TeamDavid&amp;#39;s Webbox application implements various file upload functionalities that are <br /> vulnerable to a buffer overflow condition. By specifying an excessively <br /> long filename in a file upload request, an unauthenticated attacker can <br /> trigger a crash of the server, resulting in a denial of service. <br /> Depending on the stack state or if a stack canary can be disclosed <br /> through another vulnerability, this buffer overflow could potentially be<br /> exploited for remote code execution, leading to full compromise of the <br /> server. This issue affects TeamDavid through Rollout 524.
Gravedad CVSS v4.0: CRÍTICA
Última modificación:
07/08/2026

CVE-2026-54211
Fecha de publicación:
07/08/2026
Idioma:
Inglés
*** Pendiente de traducción *** Tobit Laboratories AG TeamDavid&amp;#39;s Webbox application’s endpoint “//serverClient_close.html” is vulnerable to a<br /> buffer overflow vulnerability in multiple form data parameters. By <br /> submitting excessively long values in these parameters, an authenticated<br /> attacker can trigger a server crash, resulting in denial of service. <br /> Depending on the stack state or if a stack canary can be disclosed <br /> through another vulnerability, this buffer overflow could potentially be<br /> exploited for remote code execution, leading to full compromise of the <br /> server. This issue affects TeamDavid through Rollout 524.
Gravedad CVSS v4.0: CRÍTICA
Última modificación:
07/08/2026
Suscribirse a Vulnerabilidades