Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las últimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las últimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las últimas vulnerabilidades incorporadas al repositorio.

CVE-2026-32687

Fecha de publicación:

12/05/2026

Idioma:

Inglés

*** Pendiente de traducción *** Improper Neutralization of Special Elements used in an SQL Command (&#39;SQL Injection&#39;) vulnerability in elixir-ecto postgrex (&#39;Elixir.Postgrex.Notifications&#39; module) allows SQL Injection. The channel argument passed to &#39;Elixir.Postgrex.Notifications&#39;:listen/3 and &#39;Elixir.Postgrex.Notifications&#39;:unlisten/3 is interpolated directly into LISTEN "..." / UNLISTEN "..." SQL statements without escaping the " character. An attacker who can influence the channel name can inject a " to break out of the quoted identifier and append arbitrary SQL. Because the notifications connection uses the PostgreSQL simple query protocol, multi-statement payloads are accepted, allowing DDL and DML commands to be chained (e.g. ; DROP TABLE ...; --). The same unsanitized interpolation also occurs in handle_connect/1 when replaying LISTEN commands after a reconnect. This vulnerability is associated with program file lib/postgrex/notifications.ex and program routines &#39;Elixir.Postgrex.Notifications&#39;:listen/3, &#39;Elixir.Postgrex.Notifications&#39;:unlisten/3, &#39;Elixir.Postgrex.Notifications&#39;:handle_connect/1. This issue affects postgrex: from 0.16.0 before 0.22.2, from pkg:github/elixir-ecto/postgrex@266b530faf9bde094e31e0e4ab851f933fadc0f5 before 0.22.2.

Gravedad CVSS v4.0: ALTA

Última modificación:

13/05/2026

CVE-2026-8391

Fecha de publicación:

12/05/2026

Idioma:

Inglés

*** Pendiente de traducción *** Other issue in the JavaScript Engine component. This vulnerability was fixed in Firefox 150.0.3.

Gravedad CVSS v3.1: MEDIA

Última modificación:

13/05/2026

CVE-2026-8390

Fecha de publicación:

12/05/2026

Idioma:

Inglés

*** Pendiente de traducción *** Use-after-free in the JavaScript: WebAssembly component. This vulnerability was fixed in Firefox 150.0.3.

Gravedad CVSS v3.1: ALTA

Última modificación:

14/05/2026

CVE-2026-8388

Fecha de publicación:

12/05/2026

Idioma:

Inglés

*** Pendiente de traducción *** Incorrect boundary conditions in the JavaScript Engine: JIT component. This vulnerability was fixed in Firefox 150.0.3.

Gravedad CVSS v3.1: MEDIA

Última modificación:

12/05/2026

CVE-2026-8389

Fecha de publicación:

12/05/2026

Idioma:

Inglés

*** Pendiente de traducción *** JIT miscompilation in the JavaScript Engine: JIT component. This vulnerability was fixed in Firefox 150.0.3.

Gravedad CVSS v3.1: ALTA

Última modificación:

13/05/2026

CVE-2026-6865

Fecha de publicación:

12/05/2026

Idioma:

Inglés

*** Pendiente de traducción *** CWE-22: Improper Limitation of a Pathname to a Restricted Directory (“Path Traversal”) vulnerability that could cause unauthorized access to sensitive files when user-supplied input is improperly handled during server-side file path processing.

Gravedad CVSS v4.0: ALTA

Última modificación:

12/05/2026

CVE-2026-43930

Fecha de publicación:

12/05/2026

Idioma:

Inglés

*** Pendiente de traducción *** Parse Server is an open source backend that can be deployed to any infrastructure that can run Node.js. Prior to 8.6.76 and 9.9.0-alpha.2, a race condition in the MFA SMS one-time password (OTP) login path allows two concurrent /login requests carrying the same OTP to both succeed and both receive valid session tokens, breaking the single-use property of the OTP. The vulnerability requires the attacker to already possess the victim&#39;s password and intercept the active SMS OTP (e.g. via SIM swap, network mirror, or phishing relay) and to race the legitimate login request, so the practical attack surface is narrow. This vulnerability is fixed in 8.6.76 and 9.9.0-alpha.2.

Gravedad CVSS v4.0: BAJA

Última modificación:

13/05/2026

CVE-2026-43916

Fecha de publicación:

12/05/2026

Idioma:

Inglés

*** Pendiente de traducción *** pam_authnft is a PAM session module binding nftables firewall rules to authenticated sessions via cgroupv2 inodes. Prior to 0.2.0-alpha, a heap buffer over-read in peer_lookup_tcp (src/peer_lookup.c:134, prior to the fix) allowed a crafted NETLINK_SOCK_DIAG reply to slip past the message-size check, then dereference past the end of the allocation. This vulnerability is fixed in 0.2.0-alpha.

Gravedad CVSS v4.0: ALTA

Última modificación:

13/05/2026

CVE-2026-45091

Fecha de publicación:

12/05/2026

Idioma:

Inglés

*** Pendiente de traducción *** sealed-env is a cross-stack, zero-trust secret management library for Node.js and Java/Spring Boot. In sealed-env enterprise mode, versions 0.1.0-alpha.1 through 0.1.0-alpha.3 embedded the operator&#39;s literal TOTP secret in the JWS payload of every minted unseal token. JWS payload is base64-encoded JSON, NOT encrypted. Any party who could observe a minted token (CI build logs, container env dumps, kubectl describe pod, Sentry/Rollbar stack traces, log aggregators) could decode the payload and extract the TOTP secret in plaintext. This vulnerability is fixed in 0.1.0-alpha.4.

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

13/05/2026

CVE-2026-40638

Fecha de publicación:

12/05/2026

Idioma:

Inglés

*** Pendiente de traducción *** Dell PowerScale InsightIQ, versions 5.0.0 through 6.2.0, contains an execution with unnecessary privileges vulnerability. A high privileged attacker with local access could potentially exploit this vulnerability, leading to elevation of privileges.

Gravedad CVSS v3.1: MEDIA

Última modificación:

12/05/2026

CVE-2026-42006

Fecha de publicación:

12/05/2026

Idioma:

Inglés

*** Pendiente de traducción *** An attacker can cause uncontrolled memory usage with excessive bracing over IMAP. The fix in CVE-2026-27857 was incomplete, only blocking one way of doing this, so there was still another way left open. In particular, the fix was for closing braces, but you could still use open braces to bypass the limit. Using excessive bracing, attacker can cause memory usage up to configured memory limit. Install fixed version, or configure vsz_limit for imap process to low value. No publicly available exploits are known.

Gravedad CVSS v3.1: MEDIA

Última modificación:

18/05/2026

CVE-2026-40016

Fecha de publicación:

12/05/2026

Idioma:

Inglés

*** Pendiente de traducción *** Attacker can upload a malicious Sieve script over ManageSieve service (or locally) to bypass configured CPU time limits for Sieve up to 130 times of the configured limit. Attacker can use this to degrade server performance and bypass configured CPU time limits for Sieve scripts. Install fixed version, or alternatively prevent direct access to Sieve scripts via ManageSieve or local access. No publicly available exploits are known.

Gravedad CVSS v3.1: MEDIA

Última modificación:

18/05/2026

Suscribirse a Vulnerabilidades