Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las últimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las últimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las últimas vulnerabilidades incorporadas al repositorio.

CVE-2026-67530

Fecha de publicación:

30/07/2026

Idioma:

Inglés

*** Pendiente de traducción *** WACRM is a self-hostable CRM template for WhatsApp. In 0.7.0 and earlier, the automation send_webhook action in src/lib/automations/engine.ts and its validation in src/lib/automations/validate.ts allowed an authenticated user with automation privileges to submit an arbitrary webhook URL that the server fetched without the existing isDeliverableUrl SSRF guard in src/lib/webhooks/ssrf.ts, allowing requests to private, loopback, link-local, or cloud metadata addresses such as the cloud metadata endpoint at 169.254.169.254. This vulnerability is fixed with commit 23838a9959550e975d732ae08a44a3a2f0cc084b.

Gravedad CVSS v3.1: MEDIA

Última modificación:

30/07/2026

CVE-2026-66755

Fecha de publicación:

30/07/2026

Idioma:

Inglés

*** Pendiente de traducción *** Relative Path Traversal in the ISA-Tab parser in Apache Software Foundation Apache Tika from 1.8 through 3.3.1, and 4.0.0-alpha-1, allows an attacker who can place files in a directory that the application subsequently parses to read arbitrary files accessible to the Tika process and have their contents emitted into the extracted text output, via a "Study Assay File Name" value in the ISA-Tab investigation file that traverses outside the dataset directory. Users are recommended to upgrade to version 3.3.2 or 4.0.0-beta-1, which fixes this issue.

Gravedad CVSS v4.0: MEDIA

Última modificación:

30/07/2026

CVE-2026-66756

Fecha de publicación:

30/07/2026

Idioma:

Inglés

*** Pendiente de traducción *** Improper Protection of Alternate Path vulnerability in Apache Tika.<br /> <br /> This issue affects Apache Tika: from 4.0.0-alpha-1 before 4.0.0-beta-1.<br /> <br /> Users are recommended to upgrade to version 4.0.0-beta-1, which fixes the issue.

Gravedad CVSS v4.0: MEDIA

Última modificación:

30/07/2026

CVE-2026-65834

Fecha de publicación:

30/07/2026

Idioma:

Inglés

*** Pendiente de traducción *** Capsule is a multi-tenancy and policy-based framework for Kubernetes. Prior to 0.13.8, CapsuleConfiguration.Spec.NodeMetadata.ForbiddenLabels.Regex and CapsuleConfiguration.Spec.NodeMetadata.ForbiddenAnnotations.Regex were not validated by the configuration admission webhook, allowing a Cluster Admin to store a malformed regex that later reached regexp.MustCompile in pkg/api/forbidden_list.go through internal/webhook/node/user_metadata.go and crashed the node admission webhook on Node create, update, or patch requests. This issue is fixed in version 0.13.8.

Gravedad CVSS v3.1: MEDIA

Última modificación:

30/07/2026

CVE-2026-65835

Fecha de publicación:

30/07/2026

Idioma:

Inglés

*** Pendiente de traducción *** Capsule is a multi-tenancy and policy-based framework for Kubernetes. From 0.13.0 until 0.13.8, after the incomplete CVE-2026-22872 fix, TenantResource RawItems and Generators in internal/controllers/resources/collect.go, including handleRawItem and handleGeneratorItem, did not apply the ResourceReference.LoadResources and IsNamespacedGVK cluster-scoped resource rejection guard used by NamespacedItems, allowing a Tenant Owner to create cluster-scoped resources such as ClusterRole or ValidatingWebhookConfiguration through the cluster-admin controller client. This issue is fixed in version 0.13.8.

Gravedad CVSS v3.1: MEDIA

Última modificación:

30/07/2026

CVE-2026-11536

Fecha de publicación:

30/07/2026

Idioma:

Inglés

*** Pendiente de traducción *** IBM WebSphere Application Server 9.0, and 8.5 is affected by a remote code execution vulnerability in the SOAP/JMX connector.

Gravedad CVSS v3.1: ALTA

Última modificación:

31/07/2026

CVE-2026-12946

Fecha de publicación:

30/07/2026

Idioma:

Inglés

*** Pendiente de traducción *** IBM Langflow OSS 1.0.0 through 1.10.0 could allow a remote attacker to inject arbitrary code on the system, due to the improper control of user input code.

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

31/07/2026

CVE-2025-51684

Fecha de publicación:

30/07/2026

Idioma:

Inglés

*** Pendiente de traducción *** CleverTap Web SDK v1.15.1 is vulnerable to Cross Site Scripting (XSS). The application does not sanitize untrusted data received via window.postMessage before injecting it into the page DOM. An attacker can craft a malicious message that, when processed by renderCustomHtml, results in execution of arbitrary JavaScript in the context of the hosting site.

Gravedad: Pendiente de análisis

Última modificación:

30/07/2026

CVE-2026-10569

Fecha de publicación:

30/07/2026

Idioma:

Inglés

*** Pendiente de traducción *** IBM UCD - IBM UrbanCode Deploy 7.2 through 7.2.3.23, and 7.3 through 7.3.2.18 and IBM UCD - IBM DevOps Deploy 8.0 through 8.0.1.13, 8.1 through 8.1.2.6, and 8.2 through 8.2.1.0 is susceptible to an Exposure of Sensitive Information Vulnerability in plugin output logs. This exposure could allow an attacker with access to the logs to potentially obtain senstive values related to that step.

Gravedad CVSS v3.1: MEDIA

Última modificación:

30/07/2026

CVE-2026-66415

Fecha de publicación:

30/07/2026

Idioma:

Inglés

*** Pendiente de traducción *** Leantime 3.6.2 contains a server-side request forgery and local file inclusion vulnerability that allows authenticated attackers to read internal resources by passing unsanitized user-supplied filenames to file_get_contents() in the Blueprints::import() method without path validation. Attackers can submit crafted filenames containing URL wrappers or path traversal sequences through the JSON-RPC API endpoint to access cloud metadata services or read arbitrary files from the server filesystem.

Gravedad CVSS v4.0: ALTA

Última modificación:

30/07/2026

CVE-2026-66416

Fecha de publicación:

30/07/2026

Idioma:

Inglés

*** Pendiente de traducción *** Leantime 3.6.2 contains a cross-site request forgery vulnerability that allows unauthenticated attackers to perform state-changing actions on behalf of authenticated users by excluding the Laravel VerifyCsrfToken middleware from the global middleware stack in app/Http/Kernel.php. Attackers can craft malicious pages delivered via phishing emails or malicious websites to trigger unauthorized POST, PUT, and DELETE requests that create or delete projects, modify settings, and change permissions as any authenticated user.

Gravedad CVSS v4.0: ALTA

Última modificación:

30/07/2026

CVE-2026-64870

Fecha de publicación:

30/07/2026

Idioma:

Inglés

*** Pendiente de traducción *** MaxKB is an open-source AI assistant for enterprise. In versions 2.0.0 through 2.10.4-lts, UpdateStoreTool.update_tool passes caller-supplied download_url and download_callback_url values to requests.get without equivalent trusted-host and redirect validation, allowing an authenticated workspace user to make the server request internal, loopback, link-local, or cloud metadata URLs. A fix is present on the v2 branch but has not yet been included in a published release.

Gravedad CVSS v4.0: MEDIA

Última modificación:

30/07/2026

Suscribirse a Vulnerabilidades