Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las últimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las últimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las últimas vulnerabilidades incorporadas al repositorio.

CVE-2026-40132

Fecha de publicación:

12/05/2026

Idioma:

Inglés

*** Pendiente de traducción *** Due to missing authorization check in SAP Strategic Enterprise Management (Scorecard Wizard in Business Server Pages), an authenticated attacker could access information that they are otherwise unauthorized to view. This vulnerability also enables the attacker to change the default settings and modify value fields, which will mislead risk evaluations and falsely lower assessed risk levels. This results in a low impact on the confidentiality and integrity of the data. There is no impact on the application�s availability.

Gravedad CVSS v3.1: MEDIA

Última modificación:

12/05/2026

CVE-2026-40133

Fecha de publicación:

12/05/2026

Idioma:

Inglés

*** Pendiente de traducción *** Due to missing authorization check in SAP S/4HANA Condition Maintenance, an authenticated attacker could gain unauthorized access to view and modify condition table records, resulting in low impact on the confidentiality and integrity of the data. Additionally, this vulnerability may prevent the legitimate user from accessing the records, causing low impact on application availability.

Gravedad CVSS v3.1: MEDIA

Última modificación:

12/05/2026

CVE-2026-40134

Fecha de publicación:

12/05/2026

Idioma:

Inglés

*** Pendiente de traducción *** Due to insufficient authorization checks in the SAP Incentive and Commission Management application, authenticated users could invoke a remote-enabled function module to perform table update operations. This vulnerability has a low impact on integrity with no impact on confidentiality and availability of the application.

Gravedad CVSS v3.1: MEDIA

Última modificación:

12/05/2026

CVE-2026-40135

Fecha de publicación:

12/05/2026

Idioma:

Inglés

*** Pendiente de traducción *** An OS Command Injection vulnerability exists in the SAP NetWeaver Application Server for ABAP and ABAP Platform that allows an authenticated attacker with administrative access to execute specially crafted shell commands on the server, bypassing the logging mechanism. This allows the execution of unintended OS commands without detection, potentially impacting the integrity and availability of the application, with no impact on confidentiality.

Gravedad CVSS v3.1: MEDIA

Última modificación:

12/05/2026

CVE-2026-40136

Fecha de publicación:

12/05/2026

Idioma:

Inglés

*** Pendiente de traducción *** SAP Financial Consolidation allows an authenticated attacker to disconnect other users by terminating their sessions temporarily preventing access. However, the application itself cannot be compromised resulting in a low impact on availability. There is no impact on confidentiality and integrity of the data

Gravedad CVSS v3.1: MEDIA

Última modificación:

12/05/2026

CVE-2026-40137

Fecha de publicación:

12/05/2026

Idioma:

Inglés

*** Pendiente de traducción *** SAP TAF_APPLAUNCHER within Business Server Pages allows an unauthenticated attacker to craft malicious links that, when clicked by a victim, redirects them to attacker?controlled sites, potentially exposing or altering sensitive information in the victim�s browser. This results in a low impact on confidentiality and integrity, with no impact on the availability of the application.

Gravedad CVSS v3.1: MEDIA

Última modificación:

12/05/2026

CVE-2026-27682

Fecha de publicación:

12/05/2026

Idioma:

Inglés

*** Pendiente de traducción *** Due to a reflected cross-site scripting (XSS) vulnerability in SAP NetWeaver Application Server ABAP (Applications based on Business Server Pages), an unauthenticated attacker could craft a URL that exploits an unprotected URL parameter to embed a malicious script. If a victim clicks the link, the injected input is processed during web page generation, resulting in the execution of malicious content in the victim�s browser context. This could allow the attacker to access and/or modify information, impacting the confidentiality and integrity of the application, with no impact to availability.

Gravedad CVSS v3.1: MEDIA

Última modificación:

12/05/2026

CVE-2026-34258

Fecha de publicación:

12/05/2026

Idioma:

Inglés

*** Pendiente de traducción *** SAPUI5 (Search UI) allows an unauthenticated attacker to manipulate specific URL parameters on the Search UI to include malicious content. Successful exploitation may mislead victim users into clicking and accessing attacker-controlled pages rendered by the application. This vulnerability has a low impact on confidentiality with no effect on the integrity and availability of the application.

Gravedad CVSS v3.1: MEDIA

Última modificación:

12/05/2026

CVE-2026-34259

Fecha de publicación:

12/05/2026

Idioma:

Inglés

*** Pendiente de traducción *** Due to an OS Command Execution vulnerability in SAP Forecasting & Replenishment, an authenticated attacker with administrative authorizations could abuse a non-remote-enabled function to execute arbitrary operating system commands. Successful exploitation could allow the attacker to read or modify any system data or shut down the system, resulting in a complete compromise of confidentiality, integrity, and availability.

Gravedad CVSS v3.1: ALTA

Última modificación:

12/05/2026

CVE-2026-34260

Fecha de publicación:

12/05/2026

Idioma:

Inglés

*** Pendiente de traducción *** SAP S/4HANA (SAP Enterprise Search for ABAP) contains a SQL injection vulnerability that allows an authenticated attacker to inject malicious SQL statements through user-controlled input. The application directly concatenates this malicious user input into SQL queries, which are then passed to the underlying database without proper validation or sanitization. Upon successful exploitation, an attacker may gain unauthorized access to sensitive database information and could potentially crash the application. This vulnerability has a high impact on the confidentiality and availability of the application, while integrity remains unaffected.

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

12/05/2026

CVE-2026-40129

Fecha de publicación:

12/05/2026

Idioma:

Inglés

*** Pendiente de traducción *** Due to a Code Injection vulnerability in SAP Application Server ABAP for SAP NetWeaver and ABAP Platform, an authenticated attacker could send specially crafted inputs to the application. If processed by the application, this input could be delivered to users subscribed to the channel and result in execution. Successful exploitation could enable the attacker to execute arbitrary code for other users, resulting in a low impact on the integrity, with no impact to the confidentiality and availability of the system.

Gravedad CVSS v3.1: MEDIA

Última modificación:

12/05/2026

CVE-2026-40131

Fecha de publicación:

12/05/2026

Idioma:

Inglés

*** Pendiente de traducción *** SQL injection vulnerability exists in @sap/hdi-deploy package, where SQL queries are dynamically constructed using user input without proper parameterization or prepared statements. Successful exploitation could allow the high privileged users to alter the SELECT statements impacting confidentiality and availability of the application. There is no impact on integrity.

Gravedad CVSS v3.1: BAJA

Última modificación:

12/05/2026

Suscribirse a Vulnerabilidades