Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las últimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las últimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las últimas vulnerabilidades incorporadas al repositorio.

CVE-2026-53599

Fecha de publicación:

31/07/2026

Idioma:

Inglés

*** Pendiente de traducción *** REDAXO is a PHP-based content management system. From 5.18.2 until 5.21.1, rex_mediapool::isAllowedExtension in redaxo/src/addons/mediapool/lib/mediapool.php lets an authenticated backend user with media[upload] permission upload a JPEG/PHP polyglot named shell.php.any.jpg, which web servers with multi-extension PHP handlers can execute as the web-server user. This issue is fixed in version 5.21.1.

Gravedad CVSS v3.1: ALTA

Última modificación:

31/07/2026

CVE-2026-38711

Fecha de publicación:

31/07/2026

Idioma:

Inglés

*** Pendiente de traducción *** TR1200 v2.4.15, TR3000 v2.4.21, WR300 v2.4.25, WR1200 v2.4.23, WR1300 v2.4.22, WR1500 v2.3.10, WR3000 v2.4.19, WR3600 v2.3.16, and WR6500 v2.3.15 were discovered to contain a command injection vulnerability in the system.upgrade_check interface. This vulnerability allows attackers to execute arbitrary commands as root via a crafted input.

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

03/08/2026

CVE-2026-18394

Fecha de publicación:

31/07/2026

Idioma:

Inglés

*** Pendiente de traducción *** Incorrect authorization in the http_request tool in Strands Agents Tools before 0.8.2 might allow remote attackers to obtain credentials configured via HTTP_REQUEST_TOKEN_CONFIG by influencing the LLM to route requests through actor-controlled proxy infrastructure. To remediate this issue, users should upgrade to version 0.8.2.

Gravedad CVSS v4.0: MEDIA

Última modificación:

04/08/2026

CVE-2026-57232

Fecha de publicación:

31/07/2026

Idioma:

Inglés

*** Pendiente de traducción *** Contao is an Open Source CMS. From 5.3.35 through 5.3.47 and from 5.7.0-RC1 through 5.7.8, the Feed Reader front-end module passes configured RSS feed URLs from FeedReaderController::getResponse() to feedIo->read() without scheme or private-address validation, allowing a backend user with module-edit permissions to make the server request internal network services, loopback addresses, or cloud metadata endpoints. In core-bundle/src/Controller/FrontendModule/FeedReaderController.php, the getResponse() function iterates over the configured feed URLs and passes each one directly to the HTTP client (via $this->feedIo->read($url, new Feed())) with no validation, while the DCA field definition for rss_feed in tl_module.php carries no URL scheme or host validation and the HTTP client is wired as @psr18.http_client (Symfony HttpClient) with no SSRF protection configured, since NoPrivateNetworkHttpClient is not used. This issue is fixed in versions 5.3.48.

Gravedad CVSS v3.1: BAJA

Última modificación:

03/08/2026

CVE-2026-55824

Fecha de publicación:

31/07/2026

Idioma:

Inglés

*** Pendiente de traducción *** Contao is an Open Source CMS. In versions 4.13.40 through 5.3.46 and 5.7.0-RC1 through 5.7.6, the crawler leaks auth credentials to external hosts. Contao&#39;s crawler tries to prevent confidential HTTP client options from being sent to external domains by creating a scoped client: full options for root page origins, cleaned options for everything else. The cleaner removes Cookie and Authorization headers, but it removes the non-Symfony option names basic_auth and bearer_auth instead of Symfony HttpClient&#39;s real auth_basic and auth_bearer options. When contao.crawl.default_http_client_options contains Basic or Bearer authentication for a protected staging/production site, those credentials remain in the "clean" client used for external links or configured additional URIs. An attacker who can get an external URL crawled, for example through a link on a crawled page while the broken-link checker is enabled, can receive the crawler credentials. This issue has been fixed in versions 5.3.47 and 5.7.7.

Gravedad CVSS v3.1: BAJA

Última modificación:

31/07/2026

CVE-2026-53505

Fecha de publicación:

31/07/2026

Idioma:

Inglés

*** Pendiente de traducción *** Thumbor is an open-source photo thumbnail service by globo.com. Prior to 7.8.0, Thumbor&#39;s filters:proportion() filter does not enforce an upper bound on and runs in the post-transform phase. An attacker can trigger extremely large resizes (CPU/memory exhaustion) and cause denial of service. This issue is fixed in 7.8.0.

Gravedad CVSS v3.1: ALTA

Última modificación:

03/08/2026

CVE-2026-53500

Fecha de publicación:

31/07/2026

Idioma:

Inglés

*** Pendiente de traducción *** Thumbor is an open-source photo thumbnail service by globo.com. Prior to 7.8.0, the ALLOWED_SOURCES configuration passes plain strings to re.match() without escaping dots, so a hostname differing at dot positions can match the allowlist. This issue is fixed in 7.8.0.

Gravedad CVSS v3.1: ALTA

Última modificación:

01/08/2026

CVE-2026-53504

Fecha de publicación:

31/07/2026

Idioma:

Inglés

*** Pendiente de traducción *** Thumbor is an open-source photo thumbnail service by globo.com. Prior to 7.8.0, the convolution filter regular expression performs exponential backtracking on crafted repeated numeric input, allowing a URL request to exhaust processing time. This issue is fixed in 7.8.0.

Gravedad CVSS v3.1: ALTA

Última modificación:

01/08/2026

CVE-2026-53501

Fecha de publicación:

31/07/2026

Idioma:

Inglés

*** Pendiente de traducción *** Thumbor is an open-source photo thumbnail service by globo.com. Prior to 7.8.0, Thumbor’s HMAC validation can be bypassed due to the use of Python’s .replace() when removing the signature from the URL before validation. Since .replace() removes all occurrences of the substring, an attacker can insert the same signature multiple times in the URL and manipulate the final URL used for validation. This allows crafting URLs where the validated string differs from the actual requested resource, enabling loading images from unintended domains or paths. This issue is fixed in 7.8.0.

Gravedad CVSS v3.1: ALTA

Última modificación:

31/07/2026

CVE-2026-53502

Fecha de publicación:

31/07/2026

Idioma:

Inglés

*** Pendiente de traducción *** Thumbor is an open-source photo thumbnail service by globo.com. Prior to 7.8.0, file_loader decodes percent-encoded path segments after its root-boundary validation, allowing traversal outside FILE_LOADER_ROOT_PATH through watermark or frame filter input. This issue is fixed in 7.8.0.

Gravedad CVSS v4.0: ALTA

Última modificación:

31/07/2026

CVE-2026-53503

Fecha de publicación:

31/07/2026

Idioma:

Inglés

*** Pendiente de traducción *** Thumbor is an open-source photo thumbnail service by globo.com. Prior to 7.8.0, Thumbor&#39;s filters:convolution(, , ) filter passes the user-controlled value to a C extension (thumbor/ext/filters/_convolution.c) where it is used as a divisor (for % and /) without validating columns > 0. When columns=0, the C code triggers undefined behavior; on x86_64 this reliably results in a fatal divide-by-zero trap (SIGFPE) and crashes the Thumbor process, causing a remote denial of service. This issue is fixed in 7.8.0.

Gravedad CVSS v3.1: ALTA

Última modificación:

31/07/2026

CVE-2026-18481

Fecha de publicación:

31/07/2026

Idioma:

Inglés

*** Pendiente de traducción *** Stored cross-site scripting in the participant URL handling in AWS Ops Wheel before PR #168 might allow an authenticated remote user to steal session tokens and escalate to full administrative control of the deployed instance via a crafted participant_url value containing a dangerous URI scheme. To remediate this issue, users should redeploy from the latest version of aws-ops-wheel.

Gravedad CVSS v4.0: MEDIA

Última modificación:

04/08/2026

Suscribirse a Vulnerabilidades