Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las ultimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las ultimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las ultimas vulnerabilidades incorporadas al repositorio.

CVE-2026-40451

Fecha de publicación:
22/04/2026
Idioma:
Inglés
*** Pendiente de traducción *** DeepL Chrome browser extension versions from v1.22.0 to v.1.23.0 contain a cross-site scripting vulnerability, which allows an attacker to execute arbitrary script in a user's browser, and inject malicious HTML into web pages viewed by the user.
Gravedad CVSS v4.0: MEDIA
Última modificación:
22/04/2026

CVE-2026-6834

Fecha de publicación:
22/04/2026
Idioma:
Inglés
*** Pendiente de traducción *** The a+HRD developed by aEnrich has a Missing Authorization vulnerability, allowing authenticated remote attackers to arbitrarily read database contents through a specific API method.
Gravedad CVSS v4.0: ALTA
Última modificación:
22/04/2026

CVE-2026-6835

Fecha de publicación:
22/04/2026
Idioma:
Inglés
*** Pendiente de traducción *** The a+HCM developed by aEnrich has an Arbitrary File Upload vulnerability, allowing unauthenticated remote attackers to upload arbitrary files to any path, including HTML documents, which may result in a XSS-like effect.
Gravedad CVSS v4.0: MEDIA
Última modificación:
22/04/2026

CVE-2026-6833

Fecha de publicación:
22/04/2026
Idioma:
Inglés
*** Pendiente de traducción *** The a+HRD developed by aEnrich has a SQL Injection vulnerability, allowing authenticated remote attackers to inject arbitrary SQL commands to read database contents.
Gravedad CVSS v4.0: ALTA
Última modificación:
22/04/2026

CVE-2026-41458

Fecha de publicación:
22/04/2026
Idioma:
Inglés
*** Pendiente de traducción *** OwnTone Server versions 28.4 through 29.0 contain a race condition vulnerability in the DAAP login handler that allows unauthenticated attackers to crash the server by exploiting unsynchronized access to the global DAAP session list. Attackers can flood the DAAP /login endpoint with concurrent requests to trigger a remote denial of service condition without requiring authentication.
Gravedad CVSS v4.0: ALTA
Última modificación:
22/04/2026

CVE-2026-5398

Fecha de publicación:
22/04/2026
Idioma:
Inglés
*** Pendiente de traducción *** The implementation of TIOCNOTTY failed to clear a back-pointer from the structure representing the controlling terminal to the calling process&amp;#39; session. If the invoking process then exits, the terminal structure may end up containing a pointer to freed memory.<br /> <br /> A malicious process can abuse the dangling pointer to grant itself root privileges.
Gravedad CVSS v3.1: ALTA
Última modificación:
22/04/2026

CVE-2026-6386

Fecha de publicación:
22/04/2026
Idioma:
Inglés
*** Pendiente de traducción *** In order to apply a particular protection key to an address range, the kernel must update the corresponding page table entries. The subroutine which handled this failed to take into account the presence of 1GB largepage mappings created using the shm_create_largepage(3) interface. In particular, it would always treat a page directory page entry as pointing to another page table page.<br /> <br /> The bug can be abused by an unprivileged user to cause pmap_pkru_update_range() to treat userspace memory as a page table page, and thus overwrite memory to which the application would otherwise not have access.
Gravedad CVSS v3.1: MEDIA
Última modificación:
22/04/2026

CVE-2026-6392

Fecha de publicación:
22/04/2026
Idioma:
Inglés
*** Pendiente de traducción *** Tanium addressed an information disclosure vulnerability in Threat Response.
Gravedad CVSS v3.1: BAJA
Última modificación:
22/04/2026

CVE-2026-6408

Fecha de publicación:
22/04/2026
Idioma:
Inglés
*** Pendiente de traducción *** Tanium addressed an information disclosure vulnerability in Tanium Server.
Gravedad CVSS v3.1: BAJA
Última modificación:
22/04/2026

CVE-2026-6416

Fecha de publicación:
22/04/2026
Idioma:
Inglés
*** Pendiente de traducción *** Tanium addressed an uncontrolled resource consumption vulnerability in Interact.
Gravedad CVSS v3.1: BAJA
Última modificación:
22/04/2026

CVE-2026-41457

Fecha de publicación:
22/04/2026
Idioma:
Inglés
*** Pendiente de traducción *** OwnTone Server versions 28.4 through 29.0 contain a SQL injection vulnerability in DAAP query and filter handling that allows attackers to inject arbitrary SQL expressions by supplying malicious values through the query= and filter= parameters for integer-mapped DAAP fields. Attackers can exploit insufficient sanitization of these parameters to bypass filters and gain unauthorized access to media library data.
Gravedad CVSS v4.0: MEDIA
Última modificación:
22/04/2026

CVE-2026-41146

Fecha de publicación:
22/04/2026
Idioma:
Inglés
*** Pendiente de traducción *** facil.io is a C micro-framework for web applications. Prior to commit 5128747363055201d3ecf0e29bf0a961703c9fa0, `fio_json_parse` can enter an infinite loop when it encounters a nested JSON value starting with `i` or `I`. The process spins in user space and pegs one CPU core at ~100% instead of returning a parse error. Because `iodine` vendors the same parser code, the issue also affects `iodine` when it parses attacker-controlled JSON. The smallest reproducer I found is `[i`. The quoted-value form that originally exposed the issue, `[""i`, reaches the same bug because the parser tolerates missing commas and then treats the trailing `i` as the start of another value. Commit 5128747363055201d3ecf0e29bf0a961703c9fa0 fixes the issue.
Gravedad CVSS v4.0: ALTA
Última modificación:
22/04/2026