Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las últimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las últimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las últimas vulnerabilidades incorporadas al repositorio.

CVE-2026-47429

Fecha de publicación:

14/07/2026

Idioma:

Inglés

*** Pendiente de traducción *** Vitest is a testing framework powered by Vite. Prior to 3.2.5 and 4.1.0, the Vitest UI/API server on Windows used isFileServingAllowed incorrectly for /__vitest_attachment__, allowing \\?\\..\\ path traversal to read files outside the project; exposed API write and rerun features such as saveTestFile and rerun could also allow arbitrary script execution. This issue is fixed in versions 3.2.5 and 4.1.0.

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

14/07/2026

CVE-2026-47428

Fecha de publicación:

14/07/2026

Idioma:

Inglés

*** Pendiente de traducción *** Vitest is a testing framework powered by Vite. From 4.0.17 until 4.1.6 and 5.0.0-beta.3, Vitest Browser Mode served /__vitest_test__/ with the otelCarrier query parameter inserted directly into an inline module script, allowing a crafted browser-runner URL to execute arbitrary JavaScript in the Vitest server origin and recover VITEST_API_TOKEN for authenticated API calls. This issue is fixed in versions 4.1.6 and 5.0.0-beta.3.

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

15/07/2026

CVE-2026-47476

Fecha de publicación:

14/07/2026

Idioma:

Inglés

*** Pendiente de traducción *** NVIDIA Triton Inference Server for Linux contains a vulnerability where an attacker can cause uncontrolled resource consumption. A successful exploit of this vulnerability might lead to denial of service.

Gravedad CVSS v3.1: ALTA

Última modificación:

15/07/2026

CVE-2026-47212

Fecha de publicación:

14/07/2026

Idioma:

Inglés

*** Pendiente de traducción *** Symfony is a PHP framework for web and console applications and a set of reusable PHP components. Prior to 6.4.40, 7.4.12, and 8.0.12, TwilioRequestParser::doParse() received the configured webhook secret but ignored the X-Twilio-Signature HMAC header, allowing unauthenticated POST requests to inject forged Twilio status payloads. This issue is fixed in versions 6.4.40, 7.4.12, and 8.0.12.

Gravedad CVSS v4.0: MEDIA

Última modificación:

15/07/2026

CVE-2026-45068

Fecha de publicación:

14/07/2026

Idioma:

Inglés

*** Pendiente de traducción *** Symfony is a PHP framework for web and console applications and a set of reusable PHP components. Prior to 5.4.52, 6.4.40, 7.4.12, and 8.0.12, SendmailTransport in -t mode appended recipient addresses to the sendmail command line without a -- end-of-options separator, allowing an address beginning with - to be interpreted as a sendmail command-line option instead of an address. This issue is fixed in versions 5.4.52, 6.4.40, 7.4.12, and 8.0.12.

Gravedad CVSS v4.0: ALTA

Última modificación:

15/07/2026

CVE-2026-45071

Fecha de publicación:

14/07/2026

Idioma:

Inglés

*** Pendiente de traducción *** Symfony is a PHP framework for web and console applications and a set of reusable PHP components. Prior to 5.4.52, 6.4.40, 7.4.12, and 8.0.12, Crawler::addXmlContent() set DOMDocument::$validateOnParse = true before loadXML(), re-enabling external entity resolution and allowing attacker-supplied XML to expand file:// entities such as local files. This issue is fixed in versions 5.4.52, 6.4.40, 7.4.12, and 8.0.12.

Gravedad CVSS v4.0: ALTA

Última modificación:

15/07/2026

CVE-2026-15711

Fecha de publicación:

14/07/2026

Idioma:

Inglés

*** Pendiente de traducción *** A vulnerability was found in libsoup&#39;s WebSocket frame parsing implementation. The library fails to validate length rules specified in RFC 6455 §5.5, which mandates that all WebSocket control frames (e.g., PING, PONG, CLOSE) contain a payload of 125 bytes or less. A remote, unauthenticated attacker can exploit this by sending a non-compliant, oversized control frame. Because the parser handles this protocol violation improperly instead of throwing an immediate connection termination error, it triggers a internal processing crash, resulting in a remote denial of service (DoS) for applications utilizing libsoup WebSockets.

Gravedad CVSS v3.1: ALTA

Última modificación:

14/07/2026

CVE-2026-15714

Fecha de publicación:

14/07/2026

Idioma:

Inglés

*** Pendiente de traducción *** An out-of-bounds read vulnerability was found in libsoup&#39;s multipart processing subsystem. The flaw exists in the soup_multipart_input_stream_read_headers() function inside soup-multipart-input-stream.c, which does not adequately restrict or validate the size of incoming multipart boundary strings. When processing a crafted HTTP response containing a malformed or oversized boundary parameter, the internal stream reader reads past the allocated buffer bounds. A remote, unauthenticated attacker can exploit this behavior to cause a service denial (DoS) through application failure or potentially read fragments of unauthorized memory metadata.

Gravedad CVSS v3.1: MEDIA

Última modificación:

14/07/2026

CVE-2026-15713

Fecha de publicación:

14/07/2026

Idioma:

Inglés

*** Pendiente de traducción *** A vulnerability was found in libsoup&#39;s HTTP/2 protocol implementation. The library fails to correctly release memory context blocks under specific stream termination conditions, such as when an HTTP/2 connection encounters window exhaustion or explicit stream resets. A remote, unauthenticated attacker acting as a malicious network peer can trick the connection engine into allocating stream states that are subsequently leaked during cleanup. Over a sustained period, this flaw allows the remote attacker to consume the system&#39;s heap allocations incrementally, triggering a denial of service (DoS) through an ultimate Out-of-Memory (OOM) application crash.

Gravedad CVSS v3.1: MEDIA

Última modificación:

14/07/2026

CVE-2026-15709

Fecha de publicación:

14/07/2026

Idioma:

Inglés

*** Pendiente de traducción *** A flaw was found in libsoup&#39;s WebSocket implementation when using the permessage-deflate extension. The extension&#39;s decompression loop (inflate()) processes data in chunks without enforcing an upper boundary limit on the output buffer size. While libsoup limits the incoming compressed frame size via max_incoming_payload_size, it fails to track or limit memory allocation during decompression. A separate check for decompressed size (max_total_message_size) exists but executes only after inflation is complete, and it is entirely disabled by default for client connections. A remote, unauthenticated attacker can exploit this by sending a small, highly compressed payload (a decompression bomb), causing unbounded memory allocation that triggers an Out-of-Memory (OOM) crash and a Denial of Service (DoS).

Gravedad CVSS v3.1: ALTA

Última modificación:

15/07/2026

CVE-2026-13001

Fecha de publicación:

14/07/2026

Idioma:

Inglés

*** Pendiente de traducción *** The Podlove Podcast Publisher plugin for WordPress is vulnerable to arbitrary file uploads due to missing file type validation in the &#39;podlove_handle_cache_files&#39; function in all versions up to, and including, 4.5.1. This makes it possible for unauthenticated attackers to upload arbitrary files on the affected site&#39;s server which may make remote code execution possible.

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

14/07/2026

CVE-2026-15409

Fecha de publicación:

14/07/2026

Idioma:

Inglés

*** Pendiente de traducción *** A Server-side request forgery (SSRF) vulnerability has been identified in the SMA1000 Appliance Work Place interface. A remote unauthenticated attacker could potentially cause the appliance to make requests to unintended location.

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

15/07/2026

Suscribirse a Vulnerabilidades