Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las últimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las últimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las últimas vulnerabilidades incorporadas al repositorio.

CVE-2026-51274

Fecha de publicación:

28/07/2026

Idioma:

Inglés

*** Pendiente de traducción *** Rejected reason: DO NOT USE THIS CVE RECORD. ConsultIDs: none. Reason: This record was withdrawn by its CNA. Further investigation showed that it was not a security issue. Notes: none.

Gravedad CVSS v3.1: ALTA

Última modificación:

31/07/2026

CVE-2026-51275

Fecha de publicación:

28/07/2026

Idioma:

Inglés

Gravedad CVSS v3.1: ALTA

Última modificación:

31/07/2026

CVE-2026-18085

Fecha de publicación:

28/07/2026

Idioma:

Inglés

*** Pendiente de traducción *** An Improper Input Validation in the BlackBerry UEM Management Console of BlackBerry UEM 12.23.0 QF8 and earlier allows Arbitrary File Download and Potential Denial of Service.

Gravedad CVSS v4.0: MEDIA

Última modificación:

30/07/2026

CVE-2026-18084

Fecha de publicación:

28/07/2026

Idioma:

Inglés

*** Pendiente de traducción *** Improper Neutralization of Input During Web Page Generation vulnerability in BlackBerry UEM Management Console of BlackBerry UEM allows Cross-Site Scripting (XSS).<br /> <br /> This issue affects UEM: 12.23.0 QF8 or earlier.

Gravedad CVSS v4.0: ALTA

Última modificación:

30/07/2026

CVE-2026-16313

Fecha de publicación:

28/07/2026

Idioma:

Inglés

*** Pendiente de traducción *** A flaw was found in sg3_utils. The sg_inq command, when invoked with the --export option, outputs device identification data without sanitizing control characters in SCSI name string fields. A newline character embedded in a device-supplied name string can inject arbitrary properties into the udev device database. This could allow an attacker who can present a crafted SCSI device to execute arbitrary commands as root when the device is disconnected.

Gravedad CVSS v3.1: ALTA

Última modificación:

04/08/2026

CVE-2026-7868

Fecha de publicación:

28/07/2026

Idioma:

Inglés

*** Pendiente de traducción *** IBM OPENBMC FW1110.00 through FW1110.20, and FW1060.00 through FW1060.71 allows ReadOnly users to escalate privileges and give themselves administrator privileges.

Gravedad CVSS v3.1: MEDIA

Última modificación:

28/07/2026

CVE-2026-8058

Fecha de publicación:

28/07/2026

Idioma:

Inglés

*** Pendiente de traducción *** IBM OPENBMC FW1110.00 through FW1110.20, and FW1060.00 through FW1060.71 allows a user to supply a password with a resource dump request stores that password into the BMC audit log where an admin user can see it.

Gravedad CVSS v3.1: MEDIA

Última modificación:

28/07/2026

CVE-2026-7775

Fecha de publicación:

28/07/2026

Idioma:

Inglés

*** Pendiente de traducción *** IBM Sterling B2B Integrator 6.2.0.0 through 6.2.0.6, 6.2.1.0 through 6.2.1.1_2, and 6.2.2.0 through 6.2.2.0_1 and IBM Sterling File Gateway 6.2.0.0 through 6.2.0.6, 6.2.1.0 through 6.2.1.1_2, and 6.2.2.0 through 6.2.2.0_1 is vulnerable to stored cross-site scripting. This vulnerability allows a privileged user to embed arbitrary JavaScript code in the Web UI thus altering the intended functionality potentially leading to credentials disclosure within a trusted session.

Gravedad CVSS v3.1: MEDIA

Última modificación:

05/08/2026

CVE-2026-67181

Fecha de publicación:

28/07/2026

Idioma:

Inglés

*** Pendiente de traducción *** Rouille 0.3.3 through 3.6.2 contains an HTTP request smuggling vulnerability that allows remote attackers to desynchronize HTTP message boundaries by exploiting improper header forwarding in the proxy implementation. The proxy in src/proxy.rs forwards the client&#39;s Transfer-Encoding header to upstream backends unchanged while transmitting a body already de-chunked by tiny_http, enabling CL.TE desynchronization attacks where attackers control where the backend believes the request body ends.

Gravedad CVSS v4.0: MEDIA

Última modificación:

30/07/2026

CVE-2026-66754

Fecha de publicación:

28/07/2026

Idioma:

Inglés

*** Pendiente de traducción *** Rouille 0.1.6 through 3.6.2 contains a reachable assertion vulnerability in the Request::remove_prefix function that allows remote unauthenticated attackers to crash the server by sending a crafted percent-encoded URL. Attackers can send a request whose decoded path matches a configured prefix while the raw percent-encoded path does not, causing the assert! to fail and triggering either a 500 error or full process termination depending on the panic configuration.

Gravedad CVSS v4.0: ALTA

Última modificación:

30/07/2026

CVE-2026-66753

Fecha de publicación:

28/07/2026

Idioma:

Inglés

*** Pendiente de traducción *** tiny-http through 0.12.0 contains an HTTP header injection vulnerability that allows attackers to inject carriage return (0x0D) and line feed (0x0A) bytes into HTTP header values on both request and response sides due to insufficient validation in header parsing and serialization. Attackers can exploit this injection primitive to perform response splitting, cache poisoning, session fixation via Set-Cookie injection, security header override, and request smuggling against line-feed-tolerant backends.

Gravedad CVSS v4.0: MEDIA

Última modificación:

30/07/2026

CVE-2026-66746

Fecha de publicación:

28/07/2026

Idioma:

Inglés

*** Pendiente de traducción *** Rouille 0.4.0 through 3.6.2 contains an HTTP response splitting vulnerability that allows remote attackers to inject arbitrary response headers by embedding carriage return (0x0D) or line feed (0x0A) bytes into attacker-controlled input. Attackers can exploit percent-decoded query parameters reflected into response headers or inject bare LF characters into Cookie header values that are interpolated directly into Set-Cookie response headers, enabling cache poisoning, session fixation, and security header override attacks such as bypassing CSP or CORS policies.

Gravedad CVSS v4.0: MEDIA

Última modificación:

30/07/2026

Suscribirse a Vulnerabilidades