Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las últimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las últimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las últimas vulnerabilidades incorporadas al repositorio.

CVE-2026-68502

Fecha de publicación:

30/07/2026

Idioma:

Inglés

*** Pendiente de traducción *** LazyOwn RedTeam/APT Framework is an AI-powered C2 and red-team operations framework. Prior to 0.2.154, LazyOwn&#39;s lazyc2.py registers an unauthenticated Socket.IO input event handler that dispatches data.get(&#39;value&#39;) to LazyOwnShell.one_cmd, reaching LazyOwnShell.do_cmd and subprocess.call(command, shell=True), allowing unauthenticated remote code execution in the C2 process. This issue is fixed in 0.2.154.

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

31/07/2026

CVE-2026-68501

Fecha de publicación:

30/07/2026

Idioma:

Inglés

*** Pendiente de traducción *** Sylius Mollie Plugin provides Mollie payment integration for Sylius applications. Prior to 2.2.8, 3.2.4, and 3.3.1, Sylius Mollie Plugin&#39;s GET /{_locale}/thank-you PageRedirectController::thankYouAction and GET /{_locale}/get-code QrCodeAction::fetchQrCodeFromOrder endpoints look up sequential orderId values without ownership or session checks, exposing order tokenValue values that can be used with GET /{_locale}/register-after-checkout/{tokenValue} to view customer first name, last name, and email. This issue is fixed in 2.2.8, 3.2.4, and 3.3.1.

Gravedad CVSS v3.1: MEDIA

Última modificación:

31/07/2026

CVE-2026-68503

Fecha de publicación:

30/07/2026

Idioma:

Inglés

*** Pendiente de traducción *** LazyOwn RedTeam/APT Framework is an AI-powered C2 and red-team operations framework. Prior to 0.2.154, LazyOwn ships default C2 credentials LazyOwn and LazyOwn in payload.json and core/payload_schema.py and passes them unchanged to lazyc2.py HTTP Basic authentication, allowing any network-reachable attacker who knows the defaults to authenticate to the C2 dashboard with operator-level access. This issue is fixed in 0.2.154.

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

31/07/2026

CVE-2026-66803

Fecha de publicación:

30/07/2026

Idioma:

Inglés

*** Pendiente de traducción *** Improper access control in Azure Cosmos DB allows an unauthorized attacker to execute code over a network.

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

04/08/2026

CVE-2026-61526

Fecha de publicación:

30/07/2026

Idioma:

Inglés

*** Pendiente de traducción *** AdonisJS HTTP Server is a package for handling HTTP requests in the AdonisJS framework. In versions 8.0.0-next.0 through 8.2.0 and 9.0.0 through 9.0.2, the error.message is interpolated into the default HTML exception response without escaping, allowing a crafted missing-route URL to execute attacker-controlled JavaScript when a victim opens it and no custom status page or JSON response handles the error. When debug mode is disabled and no custom status page handles the error, the default HTML renderer interpolates error.message directly into an HTML response. This issue is fixed in versions 8.2.1 and 9.1.0.

Gravedad CVSS v3.1: MEDIA

Última modificación:

31/07/2026

CVE-2026-68499

Fecha de publicación:

30/07/2026

Idioma:

Inglés

*** Pendiente de traducción *** re2 provides Node.js bindings for Google&#39;s RE2 regular expression engine. Prior to 1.25.2, re2&#39;s String.prototype.match implementation with a global RE2 pattern that can match the empty string fails to advance its native matching cursor in lib/match.cc, causing an infinite loop and unbounded native memory growth that blocks the event loop and can exhaust host memory. This issue is fixed in 1.25.2.

Gravedad CVSS v3.1: MEDIA

Última modificación:

31/07/2026

CVE-2026-66418

Fecha de publicación:

30/07/2026

Idioma:

Inglés

*** Pendiente de traducción *** OpenClaw Dashboard v3.0.0 contains a stored cross-site scripting vulnerability that allows unauthenticated remote attackers to inject arbitrary HTML and script payloads by submitting a crafted username in a failed login POST request, which is recorded verbatim in the audit log. When an administrator opens the notification panel, the unescaped log entry is rendered via innerHTML with a permissive Content-Security-Policy allowing inline event handlers, enabling the attacker-supplied payload to execute in the administrator&#39;s session and interact with authenticated endpoints including agent instruction file editing and configuration changes.

Gravedad CVSS v4.0: CRÍTICA

Última modificación:

31/07/2026

CVE-2026-55777

Fecha de publicación:

30/07/2026

Idioma:

Inglés

*** Pendiente de traducción *** GoAccess is a real-time web log analyzer and interactive viewer that runs in a terminal in *nix systems or through the browser. Prior to 1.11, the parse_ios() function uses an attacker-controlled keyword-to-OS offset as both the source offset and copy length for memmove, allowing a crafted User-Agent in a processed access log to read up to approximately 4 KB beyond the heap allocation and conditionally crash GoAccess. This issue is fixed in version 1.11.

Gravedad CVSS v4.0: MEDIA

Última modificación:

31/07/2026

CVE-2026-55768

Fecha de publicación:

30/07/2026

Idioma:

Inglés

*** Pendiente de traducción *** GoAccess is a real-time web log analyzer and interactive viewer that runs in a terminal in *nix systems or through the browser. Prior to version 1.11, the built-in WebSocket server narrows a 64-bit extended frame length into the signed 32-bit WSFrame.payloadlen field before enforcing the maximum frame size, allowing an unauthenticated remote client to bypass the guard and force an approximately 18-exabyte allocation request that terminates the process. This issue is fixed in version 1.11.

Gravedad CVSS v4.0: ALTA

Última modificación:

31/07/2026

CVE-2026-54715

Fecha de publicación:

30/07/2026

Idioma:

Inglés

*** Pendiente de traducción *** GoAccess is a real-time web log analyzer and interactive viewer that runs in a terminal in *nix systems or through the browser. In version 1.10.2, parse_browser assumes the matched browser token begins with Opera and moves a trailing version substring to match plus five, allowing a crafted User-Agent in a processed access log to write one to four attacker-influenced bytes beyond the heap allocation and corrupt or crash GoAccess. This issue is fixed in version 1.11.

Gravedad CVSS v4.0: ALTA

Última modificación:

31/07/2026

CVE-2026-52539

Fecha de publicación:

30/07/2026

Idioma:

Inglés

*** Pendiente de traducción *** Outstatic CMS

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

31/07/2026

CVE-2026-35847

Fecha de publicación:

30/07/2026

Idioma:

Inglés

*** Pendiente de traducción *** An issue in dnsmgr v.2.15 and before allows a local attacker to execute arbitrary code via the ping function of the CheckUils.php file

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

31/07/2026

Suscribirse a Vulnerabilidades