Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las últimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las últimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las últimas vulnerabilidades incorporadas al repositorio.

CVE-2026-15617

Fecha de publicación:

23/07/2026

Idioma:

Inglés

*** Pendiente de traducción *** Logto performs principal lookup without normalizing email and identifier strings, enabling principal collision and unauthorized account access via case- or Unicode-different identities.

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

27/07/2026

CVE-2026-15612

Fecha de publicación:

23/07/2026

Idioma:

Inglés

*** Pendiente de traducción *** Logto bypasses OIDC nonce validation when the nonce claim is absent from the id_token, enabling replay of authentication tokens and weakening session-binding.

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

27/07/2026

CVE-2026-11804

Fecha de publicación:

23/07/2026

Idioma:

Inglés

*** Pendiente de traducción *** Improper handling of insufficient permissions or privileges vulnerability in Tridium Niagara Framework on Windows, Linux, QNX, Tridium Niagara Enterprise Security on Windows, Linux, QNX allows Privilege Abuse.<br /> <br /> This issue affects Niagara Framework: before 4.14.6, before 4.15.5; Niagara Enterprise Security: before 4.14.6, before 4.15.5.

Gravedad CVSS v3.1: MEDIA

Última modificación:

23/07/2026

CVE-2026-15611

Fecha de publicación:

23/07/2026

Idioma:

Inglés

*** Pendiente de traducción *** Logto allows unverified email-based SSO account linking, enabling an attacker to register an identity at a permissive IdP using a victim’s email and gain unauthorized access to the victim’s account.

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

27/07/2026

CVE-2026-43823

Fecha de publicación:

23/07/2026

Idioma:

Inglés

*** Pendiente de traducción *** When initializing an RSA public key from DER or PEM bytes throws an error, the EVP_PKEY* is double-freed: first in the catch block, then in the deinit. This can lead to a crash on future memory allocations. This double-free manifests when BoringSSL cannot decode the public key from the bytes provided. This vulnerability is addressed in swift-crypto version 4.5.1.

Gravedad CVSS v3.1: ALTA

Última modificación:

23/07/2026

CVE-2026-43820

Fecha de publicación:

23/07/2026

Idioma:

Inglés

*** Pendiente de traducción *** NIOSSLCertificate._subjectAlternativeNames provides access to the raw bytes for a cert&#39;s SANs. NIOSSL provides access to a buffer assumed to be backed by an ASN1_STRING, but not all SANs are backed by ASN1_STRING, so accessing the buffer for such a type can lead to out-of-bounds memory access. This vulnerability is addressed in swift-nio-ssl version 2.37.2.

Gravedad CVSS v3.1: ALTA

Última modificación:

24/07/2026

CVE-2026-8287

Fecha de publicación:

23/07/2026

Idioma:

Inglés

*** Pendiente de traducción *** Allocation of resources without limits or throttling vulnerability in BizimHesap Information Systems Industry and Trade Inc. Online Pre-Accounting Software allows Excessive Allocation.<br /> <br /> This issue affects Online Pre-Accounting Software: through 17072026.

Gravedad CVSS v3.1: MEDIA

Última modificación:

23/07/2026

CVE-2026-65914

Fecha de publicación:

23/07/2026

Idioma:

Inglés

*** Pendiente de traducción *** DOMPurify before 3.3.2 contains a mutation-XSS vulnerability when sanitized HTML is reinserted into special parsing contexts using innerHTML with wrappers like script, xmp, iframe, noembed, noframes, or noscript. Attackers can craft payloads with closing sequences that break out of the wrapper context during reparsing, reactivating dangerous markup with event handlers to execute JavaScript.

Gravedad CVSS v4.0: MEDIA

Última modificación:

28/07/2026

CVE-2026-65913

Fecha de publicación:

23/07/2026

Idioma:

Inglés

*** Pendiente de traducción *** DOMPurify before 3.3.2 contains a prototype pollution vulnerability in USE_PROFILES mode that allows attackers to bypass attribute filtering by polluting Array.prototype properties. Attackers can set Array.prototype properties like onclick to true, causing DOMPurify to accept event handlers as allowlisted attributes and resulting in DOM-based XSS when sanitized markup is rendered.

Gravedad CVSS v4.0: MEDIA

Última modificación:

28/07/2026

CVE-2026-65912

Fecha de publicación:

23/07/2026

Idioma:

Inglés

*** Pendiente de traducción *** DOMPurify before 3.3.2 contains a URI validation bypass vulnerability when ADD_ATTR is provided as a predicate function via EXTRA_ELEMENT_HANDLING.attributeCheck. Attackers can supply a predicate that accepts specific attribute and tag combinations to bypass URI-safe validation, allowing unsafe protocols like javascript: to survive sanitization and execute as DOM-based XSS when the link is activated.

Gravedad CVSS v4.0: MEDIA

Última modificación:

28/07/2026

CVE-2026-65911

Fecha de publicación:

23/07/2026

Idioma:

Inglés

*** Pendiente de traducción *** In DOMPurify through 3.3.3, function predicates supplied via ADD_ATTR or ADD_TAGS to DOMPurify.sanitize() persist in internal state (EXTRA_ELEMENT_HANDLING) across subsequent sanitize() calls on the same instance. If a later call on the same instance provides ADD_ATTR or ADD_TAGS as an array rather than a function, the previously set function handler is neither cleared nor overwritten, so it continues to approve attacker-controlled attributes or tags. This can allow dangerous event-handler attributes or forbidden tags (bypassing FORBID_TAGS) to survive sanitization, resulting in cross-site scripting. The vendor (Cure53) considers this an edge case outside DOMPurify&#39;s threat model; the referenced advisory lists 3.4.0 as the patched version.

Gravedad CVSS v4.0: MEDIA

Última modificación:

28/07/2026

CVE-2026-65904

Fecha de publicación:

23/07/2026

Idioma:

Inglés

*** Pendiente de traducción *** DOMPurify through 3.3.3 fails to sanitize DOM elements passed via IN_PLACE mode when the element originates from a different window/realm (e.g., an iframe&#39;s contentDocument). A cross-realm instanceof check in the private _isNode() function returns false for foreign-realm nodes, causing DOMPurify to stringify the element (yielding &#39;[object HTMLDivElement]&#39;), silently reset IN_PLACE to false, and return the unsanitized element unchanged with any XSS payloads intact.

Gravedad CVSS v4.0: BAJA

Última modificación:

28/07/2026

Suscribirse a Vulnerabilidades