Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las últimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las últimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las últimas vulnerabilidades incorporadas al repositorio.

CVE-2026-7432

Fecha de publicación:

12/05/2026

Idioma:

Inglés

*** Pendiente de traducción *** A race condition in Ivanti Secure Access Client before 22.8R6 allows a locally authenticated user to escalate privileges to SYSTEM

Gravedad CVSS v3.1: ALTA

Última modificación:

12/05/2026

CVE-2026-8043

Fecha de publicación:

12/05/2026

Idioma:

Inglés

*** Pendiente de traducción *** External control of a file name in Ivanti Xtraction before version 2026.2 allows a remote authenticated attacker to read sensitive files and write arbitrary HTML files to a web directory, leading to information disclosure and possible client-side attacks.

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

13/05/2026

CVE-2026-8051

Fecha de publicación:

12/05/2026

Idioma:

Inglés

*** Pendiente de traducción *** OS command injection in Ivanti Virtual Traffic Manager before version 22.9r4 allows a remote authenticated attacker with admin privileges to achieve remote code execution.

Gravedad CVSS v3.1: ALTA

Última modificación:

15/05/2026

CVE-2026-6866

Fecha de publicación:

12/05/2026

Idioma:

Inglés

*** Pendiente de traducción *** CWE-1188 Initialization of a Resource with an Insecure Default vulnerability exists that could cause unauthorized disclosure of sensitive information when credentials revert to initial settings in rare circumstances, enabling unauthorized authentication using known credentials.

Gravedad CVSS v4.0: ALTA

Última modificación:

12/05/2026

CVE-2026-7431

Fecha de publicación:

12/05/2026

Idioma:

Inglés

*** Pendiente de traducción *** An incorrect permission assignment for critical resource of Ivanti Secure Access Client before 22.8R6 allows a local authenticated user to read or modify sensitive log data via write access to a shared memory section.

Gravedad CVSS v3.1: MEDIA

Última modificación:

12/05/2026

CVE-2026-5061

Fecha de publicación:

12/05/2026

Idioma:

Inglés

*** Pendiente de traducción *** The consul-template library before version 0.42.0 is vulnerable to a sandbox path bypass in the file template helper that may allow reading an out-of-sandbox file. This vulnerability (CVE-2026-5061) is fixed in consul-template 0.42.0.

Gravedad CVSS v3.1: MEDIA

Última modificación:

13/05/2026

CVE-2026-43937

Fecha de publicación:

12/05/2026

Idioma:

Inglés

*** Pendiente de traducción *** YetAnotherForum.NET (YAF.NET) is a C# ASP.NET forum. Prior to 4.0.5, Any admin OnPost… handler executes its side effects before the ResultFilterAttribute rewrites the response to a 302 to /Info/4. The most impactful abuse is /Admin/RunSql, whose OnPostRunQuery binds Editor from the POST body and passes it straight to IDbAccess.RunSql with no caller check, yielding arbitrary SQL execution for any low-privileged user. This vulnerability is fixed in 4.0.5.

Gravedad CVSS v3.1: ALTA

Última modificación:

13/05/2026

CVE-2026-43938

Fecha de publicación:

12/05/2026

Idioma:

Inglés

*** Pendiente de traducción *** YetAnotherForum.NET (YAF.NET) is a C# ASP.NET forum. Prior to 4.0.5 and 3.2.12, the application&#39;s database logger (YAFNET.Core/Logger/DbLogger.cs) captures the incoming request&#39;s User-Agent header into a JObject, serializes it with JsonConvert, and stores the result in the EventLog.Description column whenever an event (e.g., an unhandled exception) is logged. The admin event-log page (YetAnotherForum.NET/Pages/Admin/EventLog.cshtml.cs) later deserializes that JSON in FormatStackTrace() and interpolates the UserAgent value directly into an HTML string with no encoding, and the Razor view EventLog.cshtml emits the result through @Html.Raw. This vulnerability is fixed in 4.0.5 and 3.2.12.

Gravedad CVSS v3.1: ALTA

Última modificación:

13/05/2026

CVE-2026-43939

Fecha de publicación:

12/05/2026

Idioma:

Inglés

*** Pendiente de traducción *** YetAnotherForum.NET (YAF.NET) is a C# ASP.NET forum. Prior to 4.0.5 and 3.2.12, the thread posting and reply feature accepts user-supplied content via a a post or reply that is stored server-side and later rendered back into the thread page without adequate HTML sanitization or contextual output encoding. This vulnerability is fixed in 4.0.5 and 3.2.12.

Gravedad CVSS v3.1: ALTA

Última modificación:

13/05/2026

CVE-2026-43983

Fecha de publicación:

12/05/2026

Idioma:

Inglés

*** Pendiente de traducción *** Pocket ID is an OIDC provider that allows users to authenticate with their passkeys to your services. Prior to 2.6.0, The createTokenFromRefreshToken function (oidc_service.go) validates the refresh token&#39;s cryptographic integrity but does not re-validate the user&#39;s current authorization state before issuing new tokens. This allows (1) the client to refresh the token indefinitely after authorization revocation, (2) the refresh token to continue to work after the account is disabled, and (3) the token to work after the client is removed from the group. This vulnerability is fixed in 2.6.0.

Gravedad CVSS v4.0: ALTA

Última modificación:

13/05/2026

CVE-2026-42260

Fecha de publicación:

12/05/2026

Idioma:

Inglés

*** Pendiente de traducción *** Open-WebSearch is a multi-engine MCP server, CLI, and local daemon for agent web search and content retrieval. Prior to 2.1.7, isPublicHttpUrl / assertPublicHttpUrl in src/utils/urlSafety.ts do not recognize bracketed IPv6 literals and do not resolve DNS, which combine to allow non-blind SSRF with the response body returned to the caller. This vulnerability is fixed in 2.1.7.

Gravedad CVSS v3.1: ALTA

Última modificación:

14/05/2026

CVE-2025-70842

Fecha de publicación:

12/05/2026

Idioma:

Inglés

*** Pendiente de traducción *** A Stored Cross-Site Scripting (XSS) vulnerability was discovered in the File Management module of FluentCMS 1.2.3. The flaw allows an authenticated administrator to upload crafted SVG files containing malicious JavaScript code. Once uploaded, the script executes in the browser of any user who accesses the direct URL of the image, including unauthenticated visitors.

Gravedad CVSS v3.1: MEDIA

Última modificación:

13/05/2026

Suscribirse a Vulnerabilidades