Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las últimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las últimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las últimas vulnerabilidades incorporadas al repositorio.

CVE-2026-9177

Fecha de publicación:

29/07/2026

Idioma:

Inglés

*** Pendiente de traducción *** A Server-Side Template Injection (SSTI) vulnerability was identified in the mail template functionality of the Axway SecureTransport product in version 5.5-20260326. This flaw allows an attacker with admin privileges to inject arbitrary Java code expressions, which are executed server-side when the template is rendered (i.e., during email sending). Successful exploitation of this flaw allows an attacker to execute arbitrary code on the server that results in full host compromise. This issue affects all Axway SecureTransport versions prior 5.5-20260528 update.

Gravedad CVSS v4.0: CRÍTICA

Última modificación:

30/07/2026

CVE-2026-67217

Fecha de publicación:

29/07/2026

Idioma:

Inglés

*** Pendiente de traducción *** cJSON through 1.7.19 applies RFC 6902 JSON Patch operations non-atomically in apply_patch() in cJSON_Utils.c. For a replace operation that is missing its value member, or a move operation whose destination path cannot be resolved, the existing target member is detached and deleted before the operation is fully validated, so the target document is mutated while cJSONUtils_ApplyPatches() or cJSONUtils_ApplyPatchesCaseSensitive() returns a failure status. An attacker who can supply the patch document can destroy addressable members of the target document even though the API reports that the patch failed, defeating the all-or-nothing behavior callers rely on to reject bad patches.

Gravedad CVSS v4.0: MEDIA

Última modificación:

04/08/2026

CVE-2026-67216

Fecha de publicación:

29/07/2026

Idioma:

Inglés

*** Pendiente de traducción *** cJSON through 1.7.19 contains an inefficient algorithmic complexity flaw in cJSON_Compare(). When comparing objects, the function recurses into each shared subtree twice, once in each direction, with no depth guard, making the running time exponential in nesting depth. A small, deeply nested document of a few hundred bytes (depth around 40) compared for equality consumes hours of CPU, and the cost roughly doubles with each additional level of nesting. An application that calls cJSON_Compare() on attacker-influenced JSON that is structurally equal to a reference document is exposed to a denial-of-service condition.

Gravedad CVSS v4.0: ALTA

Última modificación:

04/08/2026

CVE-2026-67215

Fecha de publicación:

29/07/2026

Idioma:

Inglés

*** Pendiente de traducción *** cJSON through 1.7.19 is vulnerable to uncontrolled recursion leading to stack exhaustion when an untrusted RFC 6902 JSON Patch is applied via cJSONUtils_ApplyPatches() or cJSONUtils_ApplyPatchesCaseSensitive(). A patch containing add and copy operations grafts duplicated subtrees to amplify document depth beyond the parser&#39;s nesting limit: cJSON_Delete() recurses with no depth bound, and the cJSON_Duplicate() guard CJSON_CIRCULAR_LIMIT is set to 10000, ten times the parser&#39;s 1000-level nesting limit and high enough to overflow a default thread stack. An attacker who can supply the patch document can crash the process, resulting in denial of service.

Gravedad CVSS v4.0: ALTA

Última modificación:

04/08/2026

CVE-2026-66400

Fecha de publicación:

29/07/2026

Idioma:

Inglés

*** Pendiente de traducción *** Grav Login Plugin versions before 3.8.13 contain an insufficient session expiration vulnerability in TokenStorage.php where the findTriplet() method fails to properly validate Remember Me token timestamps. Attackers with a captured Remember Me cookie can authenticate indefinitely instead of the configured timeout period, as the expiry check compares an array to a scalar value which always evaluates incorrectly in PHP.

Gravedad CVSS v4.0: MEDIA

Última modificación:

30/07/2026

CVE-2026-67213

Fecha de publicación:

29/07/2026

Idioma:

Inglés

*** Pendiente de traducción *** nanoid (Nano ID) before 5.1.6 contains an infinite loop in the customAlphabet and customRandom functions. When these functions are configured with a size of 0, the internal generation loop never satisfies its exit condition and spins indefinitely, hanging the calling thread. An application that passes an unvalidated, attacker-controlled size of 0 to these functions is exposed to a denial-of-service condition.

Gravedad CVSS v4.0: ALTA

Última modificación:

30/07/2026

CVE-2026-66490

Fecha de publicación:

29/07/2026

Idioma:

Inglés

*** Pendiente de traducción *** Joomla Extension - balbooa.com - Stored cross-site scripting via a comment avatar in Gridbox

Gravedad CVSS v3.1: MEDIA

Última modificación:

05/08/2026

CVE-2026-66489

Fecha de publicación:

29/07/2026

Idioma:

Inglés

*** Pendiente de traducción *** Joomla Extension - balbooa.com - Various unauthenticated file system disclosure in Gridbox

Gravedad CVSS v3.1: MEDIA

Última modificación:

05/08/2026

CVE-2026-66488

Fecha de publicación:

29/07/2026

Idioma:

Inglés

*** Pendiente de traducción *** Joomla Extension - balbooa.com - Payment bypass in Gridbox

Gravedad CVSS v3.1: MEDIA

Última modificación:

05/08/2026

CVE-2026-65890

Fecha de publicación:

29/07/2026

Idioma:

Inglés

*** Pendiente de traducción *** Joomla Extension - balbooa.com - Unauthenticated SQL injection in Gridbox

Gravedad CVSS v4.0: CRÍTICA

Última modificación:

05/08/2026

CVE-2026-65889

Fecha de publicación:

29/07/2026

Idioma:

Inglés

*** Pendiente de traducción *** Joomla Extension - balbooa.com - Unauthenticated recursive directory deletion

Gravedad CVSS v4.0: CRÍTICA

Última modificación:

05/08/2026

CVE-2026-55995

Fecha de publicación:

29/07/2026

Idioma:

Inglés

*** Pendiente de traducción *** A Double Free vulnerability in open-iscsi allows an unauthenticated MITM attacker to cause DoS. This issue affects open-iscsi: from ? through 56718d4e9d1a4f51c30697b5c0534144bb41c9bb.

Gravedad CVSS v4.0: ALTA

Última modificación:

30/07/2026

Suscribirse a Vulnerabilidades