Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las últimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las últimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las últimas vulnerabilidades incorporadas al repositorio.

CVE-2026-44651

Fecha de publicación:

29/05/2026

Idioma:

Inglés

*** Pendiente de traducción *** SillyTavern is a locally installed user interface that allows users to interact with text generation large language models, image generation engines, and text-to-speech voice models. Prior to 1.18.0, when fetch(url) throws, the code sends: res.status(500).send(&#39;Error occurred while trying to proxy to: &#39; + url + &#39; &#39; + error). The url value is attacker-controlled (req.params.url) and is not HTML-escaped before rendering. This vulnerability is fixed in 1.18.0.

Gravedad CVSS v4.0: MEDIA

Última modificación:

29/05/2026

CVE-2026-40425

Fecha de publicación:

29/05/2026

Idioma:

Inglés

*** Pendiente de traducción *** The administrator account for the Danelec MacGregor Voyage Data Recorder web interface can directly edit sensitive files related to authentication, potentially changing the root password.

Gravedad CVSS v4.0: MEDIA

Última modificación:

29/05/2026

CVE-2026-42929

Fecha de publicación:

29/05/2026

Idioma:

Inglés

*** Pendiente de traducción *** Danelec MacGregor Voyage Data Recorder includes default accounts with hard-coded credentials.

Gravedad CVSS v4.0: ALTA

Última modificación:

29/05/2026

CVE-2026-42941

Fecha de publicación:

29/05/2026

Idioma:

Inglés

*** Pendiente de traducción *** The Danelec MacGregor Voyage Data Recorder device includes a default username and password, with no enforced password change.

Gravedad CVSS v4.0: ALTA

Última modificación:

29/05/2026

CVE-2026-6824

Fecha de publicación:

29/05/2026

Idioma:

Inglés

*** Pendiente de traducción *** A stored cross-site scripting (XSS) vulnerability exists in certain 1xxx series NVR devices due to insufficient sanitization of user-supplied input in specific functional modules. Attackers can inject malicious scripts, which are then persistently stored on the device backend. When administrators or users access affected pages, the stored scripts are executed in their browsers, leading to potential session hijacking, unauthorized actions, or data theft.

Gravedad CVSS v3.1: ALTA

Última modificación:

29/05/2026

CVE-2026-7786

Fecha de publicación:

29/05/2026

Idioma:

Inglés

*** Pendiente de traducción *** Jinan USR IOT Technology Limited (PUSR) USR-W610 RS232/485 to Wi-Fi/Ethernet Converter device firmware contains plaintext administrative credentials embedded in the firmware image. These credentials can be extracted through firmware analysis and used to authenticate to device services.

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

29/05/2026

CVE-2026-5386

Fecha de publicación:

29/05/2026

Idioma:

Inglés

*** Pendiente de traducción *** The affected KMW CCTV Security Cameras are vulnerable to a critical unauthenticated password reset. This flaw allows an attacker to remotely reset the administrator password to a known value without authentication, granting full access to the camera feeds and settings.

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

29/05/2026

CVE-2026-5768

Fecha de publicación:

29/05/2026

Idioma:

Inglés

*** Pendiente de traducción *** The Frontier X2 device allows unauthenticated BLE read/write access to critical GATT characteristics without enforcing pairing authentication or authorization. This allows attackers within BLE range to perform unauthorized control of device functions, including starting/stopping activities, triggering vibrations, causing denial-of-service conditions, and fuzzing characteristic values to induce unexpected behavior. Additionally, the Frontier X mobile application lacks proper BLE device authentication, allowing attackers to impersonate a legitimate Frontier X2 device and connect to the application. By cloning BLE advertisements and exposing expected GATT characteristics, attackers can manipulate activity states and inject fabricated health telemetry such as breathing rate, heart rate, strain, and other health-related data into the mobile application.

Gravedad CVSS v3.1: ALTA

Última modificación:

29/05/2026

CVE-2026-47125

Fecha de publicación:

29/05/2026

Idioma:

Inglés

*** Pendiente de traducción *** Arcane is an interface for managing Docker containers, images, networks, and volumes. Prior to 1.19.2, the PUT /api/environments/{id}/templates/variables endpoint, which writes the system-wide .env.global file used for variable substitution in every project&#39;s compose file, is missing an admin authorization check. Any authenticated non-admin user can call this endpoint with their bearer token or API key and overwrite the global environment variables that are merged into every project deployment. By overriding values like REGISTRY, IMAGE, DATABASE_URL, or SECRET_KEY that other users reference via ${VAR} in compose files, an attacker can redirect image pulls to attacker-controlled registries (supply-chain RCE on the Docker host), exfiltrate database credentials, or disrupt all projects. This vulnerability is fixed in 1.19.2.

Gravedad CVSS v3.1: ALTA

Última modificación:

29/05/2026

CVE-2026-47179

Fecha de publicación:

29/05/2026

Idioma:

Inglés

*** Pendiente de traducción *** Arcane is an interface for managing Docker containers, images, networks, and volumes. Prior to 1.19.4, ProjectService.GetProjectFileContent returns the contents of any Docker Compose include directive declared in a project&#39;s compose file before any path-traversal validation runs. Because ProjectService.CreateProject writes attacker-supplied compose content to disk without validating include paths, an authenticated user can create a project whose compose file declares include: [&#39;../../../../etc/passwd&#39;], then read the include via the project file API. The result is arbitrary read of any file readable by the Arcane backend process, including /app/data/arcane.db (the SQLite database containing every user&#39;s password hash and API key), enabling escalation to admin and, via Arcane&#39;s Docker control plane, RCE on the host. This vulnerability is fixed in 1.19.4.

Gravedad CVSS v3.1: ALTA

Última modificación:

29/05/2026

CVE-2026-45660

Fecha de publicación:

29/05/2026

Idioma:

Inglés

*** Pendiente de traducción *** Statamic is a Laravel and Git powered content management system (CMS). Prior to 5.73.22 and 6.18.1, the Glide image proxy&#39;s URL validation could be bypassed using an IP representation that wasn&#39;t normalized before the public-IP check. An unauthenticated user could cause the server to make HTTP requests to internal addresses — including loopback, private network, and cloud metadata endpoints. This affects sites that pass user-supplied URLs to Glide. Sites running PHP 8.3 or newer are not affected. This vulnerability is fixed in 5.73.22 and 6.18.1.

Gravedad CVSS v3.1: MEDIA

Última modificación:

29/05/2026

CVE-2026-45668

Fecha de publicación:

29/05/2026

Idioma:

Inglés

*** Pendiente de traducción *** Trilium Notes is a cross-platform, hierarchical note taking application focused on building large personal knowledge bases. Prior to 0.102.2, a malicious ZIP archive imported with safe import enabled achieves RCE via #docName path traversal and XSS by combining a payload note (type: code, mime: text/plain) containing raw HTML/JS and a trigger note (type: doc or type: launcher) with a #docName label that uses ../ path traversal to point at the payload note&#39;s API endpoint. The desktop client Electron renderer runs with nodeIntegration enabled, so an RCE is triggered once the payload is executed. This vulnerability is fixed in 0.102.2.

Gravedad CVSS v4.0: CRÍTICA

Última modificación:

29/05/2026

Suscribirse a Vulnerabilidades