Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las últimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las últimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las últimas vulnerabilidades incorporadas al repositorio.

CVE-2026-31221

Fecha de publicación:

12/05/2026

Idioma:

Inglés

*** Pendiente de traducción *** PyTorch-Lightning versions 2.6.0 and earlier contain an insecure deserialization vulnerability (CWE-502) in the checkpoint loading mechanism. The LightningModule.load_from_checkpoint() method, which is commonly used to load saved model states, internally calls torch.load() without setting the security-restrictive weights_only=True parameter. This default behavior allows the deserialization of arbitrary Python objects via the Pickle module. A remote attacker can exploit this by providing a maliciously crafted checkpoint file, leading to arbitrary code execution on the victim&#39;s system when the file is loaded.

Gravedad CVSS v3.1: ALTA

Última modificación:

15/05/2026

CVE-2026-31222

Fecha de publicación:

12/05/2026

Idioma:

Inglés

*** Pendiente de traducción *** The snorkel library thru v0.10.0 contains an insecure deserialization vulnerability (CWE-502) in the Trainer.load() method of the Trainer class. The method loads model checkpoint files using torch.load() without enabling the security-restrictive weights_only=True parameter. This default behavior allows the deserialization of arbitrary Python objects via the Pickle module. A remote attacker can exploit this by providing a maliciously crafted model file, leading to arbitrary code execution on the victim&#39;s system when the file is loaded via the vulnerable method.

Gravedad CVSS v3.1: ALTA

Última modificación:

15/05/2026

CVE-2026-31223

Fecha de publicación:

12/05/2026

Idioma:

Inglés

*** Pendiente de traducción *** The snorkel library thru v0.10.0 contains a critical insecure deserialization vulnerability (CWE-502) in the BaseLabeler.load() method of the BaseLabeler class. The method loads serialized labeler models using the unsafe pickle.load() function on user-supplied file paths without any validation or security controls. Python&#39;s pickle module is inherently dangerous for deserializing untrusted data, as it can execute arbitrary code during the deserialization process. A remote attacker can exploit this by providing a maliciously crafted pickle file, leading to arbitrary code execution on the victim&#39;s system when the file is loaded via the vulnerable method.

Gravedad CVSS v3.1: ALTA

Última modificación:

15/05/2026

CVE-2026-30810

Fecha de publicación:

12/05/2026

Idioma:

Inglés

*** Pendiente de traducción *** Server-Side Request Forgery vulnerability allows Privilege Escalation via API Checker extension. This issue affects Pandora FMS: from 777 through 800

Gravedad CVSS v4.0: ALTA

Última modificación:

13/05/2026

CVE-2026-31214

Fecha de publicación:

12/05/2026

Idioma:

Inglés

*** Pendiente de traducción *** The torch-checkpoint-shrink.py script in the ml-engineering project in commit 0099885db36a8f06556efe1faf552518852cb1e0 (2025-20-27) contains an insecure deserialization vulnerability (CWE-502). The script uses torch.load() to process PyTorch checkpoint files (.pt) without enabling the security-restrictive weights_only=True parameter. This oversight allows the deserialization of arbitrary Python objects via the pickle module. A remote attacker can exploit this by providing a maliciously crafted checkpoint file, leading to arbitrary code execution in the context of the user running the script.

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

13/05/2026

CVE-2026-31215

Fecha de publicación:

12/05/2026

Idioma:

Inglés

*** Pendiente de traducción *** The nexent v1.7.5.2 backend service contains an unauthorized arbitrary file deletion vulnerability in its ElasticSearch service interface. The DELETE /{index_name}/documents endpoint lacks proper authentication and authorization controls and does not validate the user-supplied path_or_url parameter. This allows unauthenticated remote attackers to send crafted requests that trigger the deletion of arbitrary documents from ElasticSearch indices and corresponding files from the MinIO storage system. Successful exploitation leads to data destruction and denial of service.

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

13/05/2026

CVE-2026-31216

Fecha de publicación:

12/05/2026

Idioma:

Inglés

*** Pendiente de traducción *** The nexent v1.7.5.2 backend service contains an unauthorized arbitrary storage file deletion vulnerability in its file management API. The DELETE /storage/{object_name:path} endpoint lacks authentication, authorization, and input validation mechanisms. Unauthenticated remote attackers can send crafted requests with a user-controlled object_name path parameter to delete arbitrary files from the underlying MinIO storage system. Successful exploitation leads to data loss and denial of service.

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

13/05/2026

CVE-2026-31217

Fecha de publicación:

12/05/2026

Idioma:

Inglés

*** Pendiente de traducción *** The _load_model() function in the neural_magic_training.py script of the optimate project in commit a6d302f912b481c94370811af6b11402f51d377f (2024-07-21) allows arbitrary code execution. When a user supplies a directory path via the --model command-line argument, the function reads a module.py file from that directory and executes its contents directly using Python&#39;s exec() function. This design does not validate or sanitize the file&#39;s content, allowing an attacker who controls the input directory to execute arbitrary Python code in the context of the process running the script.

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

13/05/2026

CVE-2026-31218

Fecha de publicación:

12/05/2026

Idioma:

Inglés

*** Pendiente de traducción *** The _load_model() function in the neural_magic_training.py script of the optimate project in commit a6d302f912b481c94370811af6b11402f51d377f (2024-07-21) is vulnerable to insecure deserialization (CWE-502). When loading a model state dictionary from a state_dict.pt file via torch.load(), the function does not enable the weights_only=True security parameter. This allows the deserialization of arbitrary Python objects through the Pickle module. A remote attacker can exploit this by providing a maliciously crafted state_dict.pt file within a directory specified via the --model argument, leading to arbitrary code execution during the deserialization process on the victim&#39;s system.

Gravedad CVSS v3.1: ALTA

Última modificación:

15/05/2026

CVE-2026-31219

Fecha de publicación:

12/05/2026

Idioma:

Inglés

*** Pendiente de traducción *** The _load_model() function in the neural_magic_training.py script of the optimate project in commit a6d302f912b481c94370811af6b11402f51d377f (2024-07-21) is vulnerable to insecure deserialization (CWE-502). When a user provides a single model file path (e.g., .pt or .pth) via the --model command-line argument, the function loads the file using torch.load() without enabling the weights_only=True security parameter. This allows the deserialization of arbitrary Python objects through the Pickle module. A remote attacker can exploit this by providing a maliciously crafted model file, leading to arbitrary code execution during deserialization on the victim&#39;s system.

Gravedad CVSS v3.1: ALTA

Última modificación:

15/05/2026

CVE-2026-31220

Fecha de publicación:

12/05/2026

Idioma:

Inglés

*** Pendiente de traducción *** PySyft (Syft Datasite/Server) versions 0.9.5 and earlier are vulnerable to remote code execution due to insufficient validation and sandboxing of user-submitted code. The system allows low-privileged users to submit Python functions (via @sy.syft_function()) for remote execution on the server. While a code approval mechanism exists, the submitted code undergoes no security checks for dangerous operations (e.g., file access, command execution). Once approved, the code is executed within the server process using exec() and eval() functions without proper isolation. A remote attacker can leverage this to execute arbitrary Python code on the server, leading to complete compromise of the server environment.

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

15/05/2026

CVE-2026-30808

Fecha de publicación:

12/05/2026

Idioma:

Inglés

*** Pendiente de traducción *** Session Fixation vulnerability allows Session Hijacking via crafted session ID. This issue affects Pandora FMS: from 777 through 800

Gravedad CVSS v4.0: ALTA

Última modificación:

13/05/2026

Suscribirse a Vulnerabilidades