Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las últimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las últimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las últimas vulnerabilidades incorporadas al repositorio.

CVE-2026-44375

Fecha de publicación:

14/05/2026

Idioma:

Inglés

*** Pendiente de traducción *** Nerdbank.MessagePack is a NativeAOT-compatible MessagePack serialization library. Prior to 1.1.62, Nerdbank.MessagePack contains an uncontrolled stack allocation vulnerability in DateTime decoding. A malicious MessagePack payload can declare an oversized timestamp extension length, causing the reader to allocate an attacker-controlled number of bytes on the stack. This can trigger a StackOverflowException, which is not catchable by user code and terminates the process. This vulnerability is fixed in 1.1.62.

Gravedad CVSS v3.1: ALTA

Última modificación:

14/05/2026

CVE-2026-44482

Fecha de publicación:

14/05/2026

Idioma:

Inglés

*** Pendiente de traducción *** soundcloud-rpc is a SoundCloud Client with Discord Rich Presence, Dark Mode, Last.fm and AdBlock support. Prior to 0.1.8, a track title containing an HTML payload executed locally in the Electron app. This means attacker-controlled SoundCloud track metadata can lead to local command execution on the user&#39;s machine. The application exposes a preload API (window.soundcloudAPI.sendTrackUpdate) to the remote SoundCloud page. Track metadata from SoundCloud is trusted and forwarded through IPC into the Electron main process. The app later renders that metadata as raw HTML inside privileged Electron views that have Node.js integration enabled. This vulnerability is fixed in 0.1.8.

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

14/05/2026

CVE-2026-44216

Fecha de publicación:

14/05/2026

Idioma:

Inglés

*** Pendiente de traducción *** Wasmtime is a runtime for WebAssembly. From 30.0.0 to 36.0.8, 43.0.2, and 44.0.1, Wasmtime&#39;s allocation logic for a WebAssembly table contained checked arithmetic which panicked on overflow. This overflow is possible to trigger, and thus panic, when a table with an extremely large size is allocated. This is possible with the WebAssembly memory64 proposal where tables can have sizes in the 64-bit range as opposed to the previous 32-bit range which would not overflow. The panic happens when attempting to create a very large table, such as when instantiating a WebAssembly module or component. This vulnerability is fixed in 36.0.8, 43.0.2, and 44.0.1.

Gravedad CVSS v4.0: MEDIA

Última modificación:

14/05/2026

CVE-2026-44308

Fecha de publicación:

14/05/2026

Idioma:

Inglés

*** Pendiente de traducción *** Spring Cloud AWS simplifies using AWS managed services in a Spring and Spring Boot applications. From 3.0.0 to 4.0.1, pplications using Spring Cloud AWS SNS HTTP/HTTPS endpoint support (@NotificationMessageMapping, @NotificationSubscriptionMapping, @NotificationUnsubscribeConfirmationMapping) did not verify the signature of incoming SNS messages. An unauthenticated attacker who knows the endpoint URL could send crafted HTTP POST requests mimicking SNS Notification or SubscriptionConfirmation messages. This vulnerability is fixed in 4.0.2.

Gravedad CVSS v4.0: MEDIA

Última modificación:

14/05/2026

CVE-2026-41935

Fecha de publicación:

14/05/2026

Idioma:

Inglés

*** Pendiente de traducción *** Vvveb before 1.0.8.3 contains an uncontrolled recursion vulnerability in the admin controller dispatch cycle where Base::init() repeatedly invokes permission() on error handlers, causing infinite recursion until PHP memory limits are exhausted. Attackers can send sustained requests to forbidden admin URLs from a low-privilege account to exhaust PHP memory on all workers and cause denial of service to legitimate traffic.

Gravedad CVSS v4.0: ALTA

Última modificación:

14/05/2026

CVE-2026-41937

Fecha de publicación:

14/05/2026

Idioma:

Inglés

*** Pendiente de traducción *** Vvveb before 1.0.8.3 contains an unrestricted file upload vulnerability in the plugin upload endpoint that allows super_admin users to execute arbitrary PHP code by uploading a malicious plugin ZIP file. Attackers can craft a ZIP containing a plugin.php with a valid Slug header and a public/index.php file with arbitrary PHP code, which executes as the web server user when accessed via unauthenticated HTTP requests to the plugin&#39;s public path.

Gravedad CVSS v4.0: ALTA

Última modificación:

14/05/2026

CVE-2026-42186

Fecha de publicación:

14/05/2026

Idioma:

Inglés

*** Pendiente de traducción *** OpenBao is an open source identity-based secrets management system. Prior to 2.5.3, when OpenBao&#39;s initial namespace deletion fails, subsequent retries fail to properly remove all data before marking the namespace as deleted. This can affect any outstanding leases as well as potentially leaving unrelated storage entries around. This vulnerability is fixed in 2.5.3.

Gravedad CVSS v4.0: BAJA

Última modificación:

14/05/2026

CVE-2026-42457

Fecha de publicación:

14/05/2026

Idioma:

Inglés

*** Pendiente de traducción *** vCluster Platform provides a Kubernetes platform for managing virtual clusters, multi-tenancy, and cluster sharing. Prior to 4.4.3, 4.5.5, 4.6.2, 4.7.1, and 4.8.0, there is a Stored XSS attack vulnerability via the name field of a templateRef. This can lead to the execution of arbitrary external scripts within the platform&#39;s browser context. In the worst case, a malicious user could potentially create a new Global-Admin user, bypassing other security restrictions. The attacker needs the ability to create namespaces. This vulnerability is fixed in 4.4.3, 4.5.5, 4.6.2, 4.7.1, and 4.8.0.

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

14/05/2026

CVE-2026-42559

Fecha de publicación:

14/05/2026

Idioma:

Inglés

*** Pendiente de traducción *** RMCP is an official Rust SDK for the Model Context Protocol. Prior to version 1.4.0, the rmcp crate&#39;s Streamable HTTP server transport (crates/rmcp/src/transport/streamable_http_server/) did not validate the incoming Host header. This allowed a malicious public website, via a DNS rebinding attack, to send authenticated requests to an MCP server running on the victim&#39;s loopback or private-network interface. This vulnerability is fixed in 1.4.0.

Gravedad CVSS v3.1: ALTA

Última modificación:

14/05/2026

CVE-2026-42881

Fecha de publicación:

14/05/2026

Idioma:

Inglés

*** Pendiente de traducción *** STIGQter is an open-source reimplementation of DISA&#39;s STIG Viewer. From 0.1.2 to before 1.2.7, an attacker can achieve local code execution (LCE) with the privileges of the user running STIGQter. This requires user interaction: the victim must open the malicious .stigqter file and explicitly run the "Export HTML" action. This vulnerability is fixed in 1.2.7.

Gravedad CVSS v4.0: ALTA

Última modificación:

14/05/2026

CVE-2026-41932

Fecha de publicación:

14/05/2026

Idioma:

Inglés

*** Pendiente de traducción *** Vvveb before 1.0.8.3 contains a stored cross-site scripting vulnerability in the customer signup flow where the Signup::addUser() controller copies raw POST username values into the display_name field before sanitization occurs. Attackers can submit HTML and script markup in the username field during signup, which gets stripped from the username column but persisted verbatim in the display_name column, allowing stored XSS execution when display_name is rendered without encoding in vulnerable views.

Gravedad CVSS v4.0: MEDIA

Última modificación:

14/05/2026

CVE-2026-41933

Fecha de publicación:

14/05/2026

Idioma:

Inglés

*** Pendiente de traducción *** Vvveb before 1.0.8.3 contains a directory listing information disclosure vulnerability that allows unauthenticated attackers to enumerate files and directories by accessing multiple paths lacking proper index directives in .htaccess files. Attackers can access directories such as admin asset paths, plugins, themes, and media folders to view filenames, file sizes, modification timestamps, and unrendered admin templates containing sensitive route maps.

Gravedad CVSS v4.0: MEDIA

Última modificación:

14/05/2026

Suscribirse a Vulnerabilidades