Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las últimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las últimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las últimas vulnerabilidades incorporadas al repositorio.

CVE-2026-44705

Fecha de publicación:

11/06/2026

Idioma:

Inglés

*** Pendiente de traducción *** tmp is a temporary file and directory creator for node.js. Prior to 0.2.6, the tmp npm package contains a path traversal vulnerability that allows escaping the intended temporary directory when untrusted data flows into the prefix, postfix, or dir options. By embedding traversal sequences (e.g., ../) or path separators in these parameters, attackers can cause files to be created outside the configured temporary base directory at attacker-controlled locations with the privileges of the running process. This vulnerability affects applications that pass user-controlled data to tmp&#39;s file/directory creation functions without proper input sanitization. This vulnerability is fixed in 0.2.6.

Gravedad CVSS v4.0: ALTA

Última modificación:

11/06/2026

CVE-2026-44486

Fecha de publicación:

11/06/2026

Idioma:

Inglés

*** Pendiente de traducción *** Axios is a promise based HTTP client for the browser and Node.js. Prior to 0.32.0 and 1.16.0, Axios’ Node.js HTTP adapter can leak proxy credentials to a redirect target in affected versions. When a request is sent through an authenticated proxy, Axios may add a Proxy-Authorization header. If Axios then follows a redirect and the redirected request is no longer sent through that proxy, the stale Proxy-Authorization header can remain on the redirected request and be sent to the redirect target. This affects Node.js&#39;s use of Axios with automatic redirects enabled and an authenticated proxy configuration. Browser adapters are not affected. This vulnerability is fixed in 0.32.0 and 1.16.0.

Gravedad CVSS v3.1: ALTA

Última modificación:

11/06/2026

CVE-2026-44487

Fecha de publicación:

11/06/2026

Idioma:

Inglés

*** Pendiente de traducción *** Axios is a promise based HTTP client for the browser and Node.js. Prior to 0.32.0 and 1.16.0, Axios’s Node.js HTTP adapter may forward a Proxy-Authorization header to a redirected origin during specific proxy-to-direct redirect flows. This affects Node.js usage, where an initial HTTP request is sent through an authenticated HTTP proxy, redirects are followed, and the redirected URL is no longer proxied. Under affected redirect shapes, the final origin can receive the proxy credential that was intended only for the outbound proxy. This vulnerability is fixed in 0.32.0 and 1.16.0.

Gravedad CVSS v4.0: ALTA

Última modificación:

11/06/2026

CVE-2026-44488

Fecha de publicación:

11/06/2026

Idioma:

Inglés

*** Pendiente de traducción *** Axios is a promise based HTTP client for the browser and Node.js. Axios versions 1.7.0 through 1.15.x did not enforce configured request and response size limits when requests were sent with the fetch adapter. Applications that selected adapter: &#39;fetch&#39;, or ran in environments where axios resolved to the fetch adapter, could receive or send bodies larger than maxContentLength or maxBodyLength despite those limits being explicitly configured. This can cause resource exhaustion in server-side usage when a malicious or compromised server returns an oversized response, when an attacker can supply a large data: URL, or when an application forwards attacker-controlled request bodies through axios while relying on maxBodyLength as a boundary. This vulnerability is fixed in 0.32.0 and 1.16.0.

Gravedad CVSS v3.1: ALTA

Última modificación:

11/06/2026

CVE-2026-44489

Fecha de publicación:

11/06/2026

Idioma:

Inglés

*** Pendiente de traducción *** Axios is a promise based HTTP client for the browser and Node.js. From 1.15.2 to before 1.16.0, nested objects created by utils.merge() (e.g., config.proxy) are still constructed as plain {} with Object.prototype in their chain. The setProxy() function at lib/adapters/http.js:209-223 reads proxy.username, proxy.password, and proxy.auth without hasOwnProperty checks. When Object.prototype.username is polluted, setProxy() constructs a Proxy-Authorization header with attacker-controlled credentials and injects it into every proxied HTTP request. This vulnerability is fixed in 1.16.0.

Gravedad CVSS v3.1: BAJA

Última modificación:

11/06/2026

CVE-2026-11945

Fecha de publicación:

11/06/2026

Idioma:

Inglés

*** Pendiente de traducción *** PostgreSQL Anonymizer contains a vulnerability that allows a user to gain superuser privileges by creating a JSON document and placing malicious code inside a particular key-value pair. If a superuser calls the import_database_rules() or import_roles_rules() functions, the malicious code is executed with superuser privileges. The problem is resolved in PostgreSQL Anonymizer 3.1.1 and further versions

Gravedad CVSS v3.1: MEDIA

Última modificación:

11/06/2026

CVE-2026-7787

Fecha de publicación:

11/06/2026

Idioma:

Inglés

*** Pendiente de traducción *** IBM Langflow OSS 1.0.0 through 1.9.1 could allow an authenticated user to read or modify sensitive information by bypassing authentication using insecure direct object references.

Gravedad CVSS v3.1: ALTA

Última modificación:

11/06/2026

CVE-2026-7870

Fecha de publicación:

11/06/2026

Idioma:

Inglés

*** Pendiente de traducción *** IBM i 7.6, 7.5, 7.4, and 7.3 could allow a user to gain elevated privileges due to an unqualified library call. A malicious actor could cause user-controlled code to run with administrator privilege.

Gravedad CVSS v3.1: ALTA

Última modificación:

11/06/2026

CVE-2026-9648

Fecha de publicación:

11/06/2026

Idioma:

Inglés

*** Pendiente de traducción *** The crypton-x509-validation Haskell library fails to enforce X.509 NameConstraints, allowing TLS clients to accept certificates whose Subject Alternative Names fall outside the issuing CA’s permitted subtrees. This oversight enables an attacker who compromises a name-constrained sub-CA to impersonate domains beyond its intended scope.

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

11/06/2026

CVE-2026-4096

Fecha de publicación:

11/06/2026

Idioma:

Inglés

*** Pendiente de traducción *** IBM DevOps Plan 3.0.0 through 3.0.6 is vulnerable to HTTP header injection, caused by improper validation of input by the HOST headers. This could allow an attacker to conduct various attacks against the vulnerable system, including cross-site scripting, cache poisoning or session hijacking

Gravedad CVSS v3.1: MEDIA

Última modificación:

11/06/2026

CVE-2026-53777

Fecha de publicación:

11/06/2026

Idioma:

Inglés

*** Pendiente de traducción *** Perry before 0.5.1159 contains a path traversal vulnerability that allows a malicious build server to write arbitrary content to any location writable by the running process by supplying unsanitized path components in the artifact_name field of ArtifactReady WebSocket messages. Attackers controlling the server URL can deliver traversal payloads through the artifact_name or download_path fields, causing the client to overwrite sensitive files or expose arbitrary local files to an attacker-accessible location.

Gravedad CVSS v4.0: ALTA

Última modificación:

11/06/2026

CVE-2026-11839

Fecha de publicación:

11/06/2026

Idioma:

Inglés

*** Pendiente de traducción *** Unrestricted upload of file with dangerous type vulnerability in Başarsoft Information Technologies Inc. Rotaban allows Upload a Web Shell to a Web Server.<br /> <br /> This issue affects Rotaban: from V2026.06.002 before V2026.06.003.

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

11/06/2026

Suscribirse a Vulnerabilidades