Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las últimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las últimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las últimas vulnerabilidades incorporadas al repositorio.

CVE-2026-26396

Fecha de publicación:

13/07/2026

Idioma:

Inglés

*** Pendiente de traducción *** OpenBMB XAgent v1.0.0 and before is vulnerable to path traversal in the file() function in XAgent/XAgentServer/application/routers/workspace.py. The input parameter “filename” is user-controllable and is concatenated into the file path to be read without proper validation, leading to a directory traversal vulnerability that may result in sensitive information disclosure.

Gravedad CVSS v3.1: ALTA

Última modificación:

13/07/2026

CVE-2026-14906

Fecha de publicación:

13/07/2026

Idioma:

Inglés

*** Pendiente de traducción *** Pages with malicious titles could potentially allow saved PDF content to overwrite PDF files or bundled content within the Firefox for iOS application sandbox. This vulnerability was fixed in Firefox for iOS 152.4.

Gravedad CVSS v3.1: MEDIA

Última modificación:

13/07/2026

CVE-2025-45869

Fecha de publicación:

13/07/2026

Idioma:

Inglés

*** Pendiente de traducción *** LogicalDOC Enterprise Version up to and before v9.1.1 is vulnerable to Server-Side Request Forgery (SSRF). An unauthenticated attacker can exploit the ShareFileCallback servlet by manipulating input parameters to trigger a server-side request to an attacker-controlled host.

Gravedad CVSS v3.1: ALTA

Última modificación:

13/07/2026

CVE-2026-61501

Fecha de publicación:

13/07/2026

Idioma:

Inglés

*** Pendiente de traducción *** Rejetto HFS 3.0.0 through 3.2.0 renders log entries in the administration panel as HTML without sanitization. A remote unauthenticated attacker can submit a failed login with a crafted username that is written to the error log and executes JavaScript in an administrator&#39;s browser when the logs are viewed, allowing the attacker to create accounts or execute code on the server with the administrator&#39;s privileges.

Gravedad CVSS v4.0: MEDIA

Última modificación:

13/07/2026

CVE-2026-61502

Fecha de publicación:

13/07/2026

Idioma:

Inglés

*** Pendiente de traducción *** Rejetto HFS 3.0.0 through 3.2.0 accepts state-changing API requests via the GET method and exempts GET requests from its anti-CSRF header check. A remote attacker can perform administrative actions including account creation and configuration changes leading to code execution - by causing a logged-in administrator&#39;s browser to navigate to a crafted URL, or without any credentials against default installations when the attack originates from the server&#39;s own machine.

Gravedad CVSS v4.0: MEDIA

Última modificación:

13/07/2026

CVE-2026-61503

Fecha de publicación:

13/07/2026

Idioma:

Inglés

*** Pendiente de traducción *** Rejetto HFS 3.0.0 through 3.2.0 returns observably different responses from its login endpoint depending on whether the submitted username exists. A remote unauthenticated attacker can use this to confirm valid account names, including the default admin account, facilitating password-guessing and session-forgery attacks.

Gravedad CVSS v4.0: MEDIA

Última modificación:

13/07/2026

CVE-2026-61504

Fecha de publicación:

13/07/2026

Idioma:

Inglés

*** Pendiente de traducción *** Rejetto HFS 3.0.0 through 3.2.0 does not escape file names in its fallback "basic" web listing, and this listing can be forced by any browser via the ?get=basic parameter. A user with upload permission - or an anonymous user on servers with an open upload folder - can store a file whose name contains script that executes in the browser of anyone viewing the listing.

Gravedad CVSS v4.0: MEDIA

Última modificación:

13/07/2026

CVE-2026-61505

Fecha de publicación:

13/07/2026

Idioma:

Inglés

*** Pendiente de traducción *** Rejetto HFS 3.0.0 through 3.2.0 allows path traversal through the lang query parameter, permitting a remote unauthenticated attacker to read certain JSON files outside the shared folders. Exploitation is constrained to files matching a narrow naming and format pattern, limiting practical impact.

Gravedad CVSS v4.0: MEDIA

Última modificación:

13/07/2026

CVE-2026-61500

Fecha de publicación:

13/07/2026

Idioma:

Inglés

*** Pendiente de traducción *** Rejetto HFS 3.0.0 through 3.2.0 derives its session-cookie signing key from the non-cryptographic Math.random() generator and discloses outputs of the same generator to unauthenticated clients during login. A remote attacker can collect a small number of login responses, reconstruct the generator&#39;s state, recover the signing key, and forge a valid administrator session cookie, leading to full administrative access and remote code execution via the server_code configuration feature.

Gravedad CVSS v4.0: CRÍTICA

Última modificación:

13/07/2026

CVE-2026-60103

Fecha de publicación:

13/07/2026

Idioma:

Inglés

*** Pendiente de traducción *** Blender 3.0.0 through 5.1.2 contains an out-of-bounds read vulnerability that allows attackers to trigger a crash or read adjacent heap memory by supplying a crafted .blend file with a malicious signed short member_index value in the SDNA block. The member_index field is used as an array index into the sdna->members[] array in sdna_expand_names() without bounds validation, allowing any value outside the allocated range to produce an invalid pointer subsequently passed to strlen(), resulting in a SIGSEGV crash or unintended heap memory disclosure.

Gravedad CVSS v4.0: MEDIA

Última modificación:

13/07/2026

CVE-2026-61463

Fecha de publicación:

13/07/2026

Idioma:

Inglés

*** Pendiente de traducción *** Shiori contains a privilege escalation vulnerability in the account update endpoint that allows authenticated users to modify the owner field without authorization checks. Attackers can escalate to administrator by submitting a crafted PATCH request with owner: true, then re-authenticate to obtain an admin JWT token granting full system access.

Gravedad CVSS v4.0: ALTA

Última modificación:

13/07/2026

CVE-2026-61462

Fecha de publicación:

13/07/2026

Idioma:

Inglés

*** Pendiente de traducción *** mcp-gitlab contains a path traversal vulnerability in the job_id parameter of build/index.js that allows attackers to redirect GitLab API requests to arbitrary endpoints. Attackers can supply crafted job_id values like ../../../user to escape the intended path prefix and access arbitrary GitLab API resources using the operator&#39;s personal access token.

Gravedad CVSS v4.0: CRÍTICA

Última modificación:

13/07/2026

Suscribirse a Vulnerabilidades