Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las últimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las últimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las últimas vulnerabilidades incorporadas al repositorio.

CVE-2026-15426

Fecha de publicación:

11/08/2026

Idioma:

Inglés

*** Pendiente de traducción *** The AcyMailing – An Ultimate Newsletter Plugin and Marketing Automation Solution for WordPress plugin for WordPress is vulnerable to authorization bypass in all versions up to, and including, 10.11.1. This is due to the plugin not properly verifying that a user is authorized to perform an action. This makes it possible for authenticated attackers, with subscriber-level access and above, to overwrite the BCC field of the acy_notification_cms notification template, causing subsequent WordPress password-reset emails — including those targeting administrator accounts — to be silently copied to an attacker-controlled address, enabling account takeover via the captured reset link. Successful exploitation requires the site administrator to have enabled the "Send website emails with AcyMailing" option, which routes WordPress core notification emails through AcyMailing&#39;s templating system.

Gravedad CVSS v3.1: ALTA

Última modificación:

11/08/2026

CVE-2026-73216

Fecha de publicación:

11/08/2026

Idioma:

Inglés

*** Pendiente de traducción *** Coturn is a free open source implementation of TURN and STUN Server. Prior to 4.17.0, shutdown_client_connection() in src/server/ns_turn_server.c prematurely calls dec_quota() and releases bandwidth accounting during the first-stage close of a mobility-enabled allocation while preserving the allocation, relay socket, session, and mobility ticket, allowing an authenticated client to bypass --user-quota and --total-quota and exhaust relay ports. This issue is fixed in version 4.17.0.

Gravedad CVSS v3.1: MEDIA

Última modificación:

11/08/2026

CVE-2026-73217

Fecha de publicación:

11/08/2026

Idioma:

Inglés

*** Pendiente de traducción *** Cursor is a code editor built for programming with AI. Prior to 3.1.2, Cursor IDE for macOS allows an agent running in Auto-Run Sandbox mode to replace a virtual environment&#39;s Python executable with a malicious wrapper that the Microsoft Python extension invokes outside the sandbox, allowing arbitrary host commands with the user&#39;s privileges, including modifying files outside the workspace and launching applications. This issue is fixed in version 3.1.2.

Gravedad CVSS v4.0: ALTA

Última modificación:

11/08/2026

CVE-2026-73218

Fecha de publicación:

11/08/2026

Idioma:

Inglés

*** Pendiente de traducción *** Cursor is a code editor built for programming with AI. Prior to 3.0.0, Cursor IDE for macOS allows an agent running in Auto-Run Sandbox mode, when Docker Desktop and the Dev Containers CLI are installed, to launch a privileged container and mount Docker&#39;s virtiofs0, granting read and write access to the user&#39;s home directory and enabling host command execution with the user&#39;s privileges without an additional permission prompt. This issue is fixed in version 3.0.0.

Gravedad CVSS v4.0: ALTA

Última modificación:

11/08/2026

CVE-2026-73219

Fecha de publicación:

11/08/2026

Idioma:

Inglés

*** Pendiente de traducción *** CVAT is an open source interactive video and image annotation tool for computer vision. From 2.17.0 until 2.72.0, a user with write access to a CVAT job can submit a batch automatic annotation request to RequestViewSet.create with inconsistent task and job IDs, and because the task ID determines the single active request slot, block automatic annotation for another task whose ID is known. This issue is fixed in version 2.72.0.

Gravedad CVSS v4.0: MEDIA

Última modificación:

11/08/2026

CVE-2026-73211

Fecha de publicación:

11/08/2026

Idioma:

Inglés

*** Pendiente de traducción *** PeerTube is an ActivityPub-federated video streaming platform. Prior to 8.1.6, ActorFollowModel.updateScore() interpolates the attacker-controlled ActivityPub actor inboxUrl into an SQL query, allowing an unauthenticated remote server to read and write PeerTube database tables, including oAuthToken.accessToken, and take over administrator accounts. This issue is fixed in version 8.1.6.

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

11/08/2026

CVE-2026-73090

Fecha de publicación:

11/08/2026

Idioma:

Inglés

*** Pendiente de traducción *** PeerTube is an ActivityPub-federated video streaming platform. Prior to 8.2.2, processUpdateActivity and processUpdateVideo accept an ActivityPub Update containing a Video object without verifying that byActor.url is authorized for the host in videoObject.id, allowing a malicious federated server to rewrite another server&#39;s video metadata, visibility, media file, and HLS URLs. This issue is fixed in version 8.2.2.

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

11/08/2026

CVE-2026-73212

Fecha de publicación:

11/08/2026

Idioma:

Inglés

*** Pendiente de traducción *** Coturn is a free open source implementation of TURN and STUN Server. Prior to 4.13.1, good_peer_addr() in src/server/ns_turn_server.c uses ioa_addr_in_range() in src/client/ns_turn_ioaddr.c without canonicalizing IPv4-compatible, 6to4, and 64:ff9b::/96 NAT64 address forms, allowing an authenticated RFC 6062 TCP CONNECT relay client to bypass an IPv4 denied-peer-ip range when the Coturn host has a useful translation route. This issue is fixed in version 4.13.1.

Gravedad CVSS v4.0: MEDIA

Última modificación:

11/08/2026

CVE-2026-73213

Fecha de publicación:

11/08/2026

Idioma:

Inglés

*** Pendiente de traducción *** Coturn is a free open source implementation of TURN and STUN Server. Prior to 4.16.0, addr_less_eq() in src/client/ns_turn_ioaddr.c uses a component-wise comparison for native IPv6 min-max intervals in ioa_addr_in_range(), allowing an authenticated TURN client to relay to an IPv6 peer that is numerically within a configured non-prefix-aligned denied-peer-ip range but is classified as outside it. This issue is fixed in version 4.16.0.

Gravedad CVSS v4.0: MEDIA

Última modificación:

11/08/2026

CVE-2026-73214

Fecha de publicación:

11/08/2026

Idioma:

Inglés

*** Pendiente de traducción *** Coturn is a free open source implementation of TURN and STUN Server. Prior to 4.16.0, dtls_server_input_handler() and create_new_connected_udp_socket() in src/apps/relay/dtls_listener.c retain OpenSSL dtls1_reassemble_fragment() state for a 35-byte fragmented ClientHello declaring a 650,000-byte handshake before cookie validation, allowing an unauthenticated remote sender using fresh UDP tuples to exhaust memory without TURN credentials, a completed handshake, a valid cookie, or source spoofing. This issue is fixed in version 4.16.0.

Gravedad CVSS v4.0: ALTA

Última modificación:

11/08/2026

CVE-2026-73215

Fecha de publicación:

11/08/2026

Idioma:

Inglés

*** Pendiente de traducción *** Coturn is a free open source implementation of TURN and STUN Server. Prior to 4.17.0, turnports_allocate_even() in src/apps/relay/turn_ports.c marks the unused odd sibling port as TPS_TAKEN_ODD for an EVEN-PORT Allocate request with reservation bit R=0 even though no RTCP socket will release it, allowing an authenticated client to permanently exhaust the relay port pool and cause subsequent allocations to fail with STUN error 508. This issue is fixed in version 4.17.0.

Gravedad CVSS v4.0: ALTA

Última modificación:

11/08/2026

CVE-2026-72713

Fecha de publicación:

11/08/2026

Idioma:

Inglés

*** Pendiente de traducción *** XAgent contains a path traversal vulnerability in the workspace file endpoint that allows self-registered or default-credential users to read arbitrary files on the host by supplying parent-directory segments in the `file_name` form field with no path containment check. Attackers can register an account without email verification, then submit crafted `file_name` values such as parent-directory traversal sequences to the `/workspace/file` handler to read host files including application secrets, database credentials, and system files outside the Docker sandbox.

Gravedad CVSS v4.0: ALTA

Última modificación:

11/08/2026

Suscribirse a Vulnerabilidades