Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las últimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las últimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las últimas vulnerabilidades incorporadas al repositorio.

CVE-2026-79781

Fecha de publicación:

25/08/2026

Idioma:

Inglés

*** Pendiente de traducción *** rclone serve s3 before 1.74.4 contains a path traversal vulnerability that allows attackers to read and overwrite root-level files by using dot-dot segments in S3 object keys. Attackers can send requests with object keys like ../root-secret.txt to escape the bucket namespace and access files in the serve root directory.

Gravedad CVSS v4.0: MEDIA

Última modificación:

25/08/2026

CVE-2026-79785

Fecha de publicación:

25/08/2026

Idioma:

Inglés

*** Pendiente de traducción *** X-AnyLabeling&#39;s model downloader disabled TLS certificate verification. download_with_retry in anylabeling/services/auto_labeling/model.py built a context with ssl._create_unverified_context() and passed it to urllib.request.urlopen, so neither the certificate chain nor the hostname was checked on any model download, and models are fetched over HTTPS from the project&#39;s release host. Any party positioned to intercept that connection could therefore answer it with content of their own choosing. The response is written to a .part file and moved into place with os.replace, and the only post-download check, safe_check_model, validates the file&#39;s format rather than its provenance: no hash or signature is compared against an expected value. For an ONNX target the substituted file passes onnx.checker.check_model and is then used for inference, so the attacker chooses the model that produces the application&#39;s annotations. For a .pth or .pt target, which the shipped SAM2 video, YOLOE, UPN and open_vision configurations use, the check worker calls torch.load without weights_only, so a substituted file is unpickled and executes code of the attacker&#39;s choosing on PyTorch releases predating the weights_only default.

Gravedad CVSS v4.0: ALTA

Última modificación:

25/08/2026

CVE-2026-79784

Fecha de publicación:

25/08/2026

Idioma:

Inglés

*** Pendiente de traducción *** Vocos instantiates a class named by a configuration file without restricting which class may be named. instantiate_class in vocos/pretrained.py takes the class_path value from the configuration, splits it into a module and an attribute, imports the module with __import__, resolves the attribute with getattr, and calls the result as args_class(*args, **kwargs) where kwargs is the config&#39;s own init_args mapping. No allowlist constrains the dotted path, so a configuration may name any importable callable and supply the arguments it is called with. Vocos.from_hparams reaches this for each of the feature_extractor, backbone and head entries, and Vocos.from_pretrained reaches it with a remote file: it downloads config.yaml from a caller-named Hugging Face repository and passes it straight to from_hparams. Loading a model from a repository the user does not control therefore executes code of the repository owner&#39;s choosing in the loading process. The neighbouring torch.load of the downloaded weights is a separate matter and is constrained on PyTorch releases that default weights_only to true, which leaves this path as the reachable one.

Gravedad CVSS v4.0: ALTA

Última modificación:

26/08/2026

CVE-2026-79777

Fecha de publicación:

25/08/2026

Idioma:

Inglés

*** Pendiente de traducción *** rclone before v1.75.0 includes full Go stack traces in RC API error responses when panics occur. Attackers can trigger panics to leak internal file paths, module versions, goroutine states, and memory addresses.

Gravedad CVSS v4.0: MEDIA

Última modificación:

25/08/2026

CVE-2026-79779

Fecha de publicación:

25/08/2026

Idioma:

Inglés

*** Pendiente de traducción *** rclone versions before v1.75.0 fail to reject transport downgrades in redirect handling, allowing Basic authorization and Cookie headers to be replayed over plaintext HTTP after same-host HTTPS-to-HTTP redirects. An on-path attacker observing the plaintext hop can capture and reuse credentials to perform WebDAV operations with the compromised account&#39;s permissions.

Gravedad CVSS v4.0: MEDIA

Última modificación:

25/08/2026

CVE-2026-79775

Fecha de publicación:

25/08/2026

Idioma:

Inglés

*** Pendiente de traducción *** rclone versions >= v1.72.0 and

Gravedad CVSS v4.0: ALTA

Última modificación:

25/08/2026

CVE-2026-79778

Fecha de publicación:

25/08/2026

Idioma:

Inglés

*** Pendiente de traducción *** rclone before v1.75.0 contains a denial of service vulnerability in the WebDAV TUS creation handler that dereferences a nil response before checking for transport errors. A malicious or compromised configured endpoint can reset connections during TUS uploads to trigger a panic that terminates unrecovered goroutines and halts unrelated work in long-lived processes.

Gravedad CVSS v4.0: MEDIA

Última modificación:

25/08/2026

CVE-2026-79780

Fecha de publicación:

25/08/2026

Idioma:

Inglés

*** Pendiente de traducción *** rclone before v1.75.0 fails to sanitize IBM IAM bearer tokens and SSE-C encryption keys during S3 redirect callbacks, allowing credentials to be preserved across scheme or host changes. Attackers observing network traffic from a trusted endpoint can capture reusable IBM IAM tokens on same-host HTTPS-to-HTTP downgrades or SSE-C keys on cross-origin redirects to access protected S3 objects.

Gravedad CVSS v4.0: MEDIA

Última modificación:

25/08/2026

CVE-2026-79776

Fecha de publicación:

25/08/2026

Idioma:

Inglés

*** Pendiente de traducción *** rclone before 1.75.0 mounts the pprof debug handler as its own router route, bypassing the fail-closed authentication rule in the main handler. Attackers can access the /debug/pprof/cmdline endpoint unauthenticated to retrieve the full process argv including backend credentials.

Gravedad CVSS v4.0: MEDIA

Última modificación:

25/08/2026

CVE-2026-79774

Fecha de publicación:

25/08/2026

Idioma:

Inglés

*** Pendiente de traducción *** Winter CMS versions before 1.2.13 contain an incomplete fix for a Twig sandbox escape vulnerability in System\\Twig\\SecurityPolicy that allows authenticated backend users with template-editing permissions to bypass sandbox restrictions. Attackers can exploit method forwarding through Eloquent models and query builders using methods like saveQuietly(), deleteQuietly(), increment(), decrement(), and newQuery() to read and modify arbitrary database records, execute arbitrary SQL, and achieve remote code execution by injecting PHP into template code sections.

Gravedad CVSS v4.0: CRÍTICA

Última modificación:

26/08/2026

CVE-2026-79772

Fecha de publicación:

25/08/2026

Idioma:

Inglés

*** Pendiente de traducción *** Nokogiri versions before 1.19.1 fail to check the return value from xmlC14NExecute in the canonicalize method, returning an empty string on failure instead of raising an exception. Attackers can exploit this to bypass signature validation in downstream SAML libraries by providing invalid canonicalized XML that is incorrectly accepted as valid.

Gravedad CVSS v4.0: MEDIA

Última modificación:

25/08/2026

CVE-2026-79676

Fecha de publicación:

25/08/2026

Idioma:

Inglés

*** Pendiente de traducción *** NLTK versions before 3.10.3 contain a path traversal vulnerability in corpus readers that reopen root-derived paths using built-in open() instead of nltk.pathsec.open(), allowing symlinks to escape trusted roots. Attackers who stage symlinked corpus files under a trusted data root can disclose outside-root content through normal corpus reader methods like channels(), domains(), and synonyms().

Gravedad CVSS v4.0: ALTA

Última modificación:

25/08/2026

Suscribirse a Vulnerabilidades