Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las últimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las últimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las últimas vulnerabilidades incorporadas al repositorio.

CVE-2026-19037

Fecha de publicación:

06/08/2026

Idioma:

Inglés

*** Pendiente de traducción *** A weakness has been identified in WonderTrader up to 0.9.9. This vulnerability affects the function MatchEngine::update_lob of the file src/WtBtCore/MatchEngine.cpp of the component Internal Limit Order Book Cache Handler. This manipulation causes enforcement of behavioral workflow. Remote exploitation of the attack is possible. The exploit has been made available to the public and could be used for attacks. The vendor was contacted early about this disclosure but did not respond in any way.

Gravedad CVSS v4.0: BAJA

Última modificación:

12/08/2026

CVE-2026-19038

Fecha de publicación:

06/08/2026

Idioma:

Inglés

*** Pendiente de traducción *** A security vulnerability has been detected in MonomythDevelopment la-forge-mcp 1.0.0. This issue affects the function screenshotElement of the file src/index.ts of the component screenshot_element Tool. Such manipulation of the argument output_name leads to path traversal. The attack can be executed remotely. Upgrading to version 1.1.1 is capable of addressing this issue. The name of the patch is 1102172c9adec4a619e241efd6bfb74f5b1f4332. Upgrading the affected component is advised. The vendor was contacted early, responded in a very professional manner and quickly released a fixed version of the affected product.

Gravedad CVSS v4.0: BAJA

Última modificación:

12/08/2026

CVE-2026-19039

Fecha de publicación:

06/08/2026

Idioma:

Inglés

*** Pendiente de traducción *** A vulnerability was detected in Kino-Kafkaesque ssh-mcp-server up to 8ebbbb99b26f80ff6162fe00957c6dec73fbc5a5. Impacted is the function ssh_exec of the file src/index.ts of the component SSH Command Handler. Performing a manipulation of the argument host/username results in command injection. The attack requires a local approach. The actual existence of this vulnerability is currently in question. This product adopts a rolling release strategy to maintain continuous delivery. Therefore, version details for affected or updated releases cannot be specified. The project maintainer explains: "The intended threat model is that this MCP server is a local/trusted tool for an agent to execute commands over SSH, so callers already have meaningful execution capability through the exposed shell."

Gravedad CVSS v4.0: BAJA

Última modificación:

12/08/2026

CVE-2026-15599

Fecha de publicación:

06/08/2026

Idioma:

Inglés

*** Pendiente de traducción *** Unverified ownership vulnerability in TÜBİTAK BİLGEM Software Technologies Research Institute pardus-domain-joiner allows Privilege Abuse.<br /> <br /> This issue affects pardus-domain-joiner: before 0.5.5.

Gravedad CVSS v3.1: BAJA

Última modificación:

06/08/2026

CVE-2026-0673

Fecha de publicación:

06/08/2026

Idioma:

Inglés

*** Pendiente de traducción *** The Element Pack Addons for Elementor plugin for WordPress is vulnerable to Email Header Injection in all versions up to, and including, 8.3.15 via the `element_pack_contact_form` AJAX action. This is due to insufficient sanitization of newline characters in user-supplied input that gets concatenated into email headers. This makes it possible for unauthenticated attackers to inject arbitrary email headers into emails sent by the contact form.

Gravedad CVSS v3.1: MEDIA

Última modificación:

12/08/2026

CVE-2026-8166

Fecha de publicación:

06/08/2026

Idioma:

Inglés

*** Pendiente de traducción *** Improper neutralization of input during web page generation (&#39;cross-site scripting&#39;) vulnerability in Logo Software Industry and Trade Inc. E-Logo Purchasing Portal allows Stored XSS.<br /> <br /> This issue affects e-Logo Purchasing Portal: before 1.52.

Gravedad CVSS v3.1: MEDIA

Última modificación:

06/08/2026

CVE-2026-68079

Fecha de publicación:

06/08/2026

Idioma:

Inglés

*** Pendiente de traducción *** In Apache CXF&#39;s DefaultEncryptingCodeDataProvider, a captured authorization code can be redeemed an unlimited number of times due to a flaw in the implementation of the removeCodeGrant functionality. This violates the RFC requirement that "The authorization code MUST NOT be used more than once." Users are recommended to upgrade to versions 4.2.3 or 4.1.8 or 3.6.12, which fix this issue.

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

07/08/2026

CVE-2026-68481

Fecha de publicación:

06/08/2026

Idioma:

Inglés

*** Pendiente de traducción *** In Apache CXF&#39;s DefaultEncryptingOAuthDataProvider, revoked access tokens still decrypt successfully, and TokenIntrospectionService reports active:true. The same applies to refresh tokens. This violates the RFC stipulations that &#39;The authorization server MUST invalidate the token.&#39; and &#39;introspection of a revoked token MUST return {"active":false}&#39;. Users are recommended to upgrade to versions 4.2.3 or 4.1.8 or 3.6.12, which fix this issue.

Gravedad CVSS v3.1: ALTA

Última modificación:

07/08/2026

CVE-2026-57818

Fecha de publicación:

06/08/2026

Idioma:

Inglés

*** Pendiente de traducción *** A race condition in JCacheCodeDataProvider allows an attacker to redeem a single authorization code multiple times via concurrent requests, resulting in the issuance of multiple distinct, valid access tokens. Users are recommended to upgrade to versions 4.2.3, 4.1.8 or 3.6.12, which fix this issue.

Gravedad CVSS v3.1: ALTA

Última modificación:

07/08/2026

CVE-2026-61466

Fecha de publicación:

06/08/2026

Idioma:

Inglés

*** Pendiente de traducción *** In Apache CXF&#39;s OAuth2 Dynamic Client Registration endpoint, the authorization server accepts and stores the `scope` value supplied in the client registration request verbatim, without validating it against an AS-defined allowlist. This could lead to a client self-assigning privileged scopes at registration time. Users are recommended to upgrade to versions 4.2.3 or 4.1.8 or 3.6.12, which fix this issue.

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

07/08/2026

CVE-2026-63687

Fecha de publicación:

06/08/2026

Idioma:

Inglés

*** Pendiente de traducción *** Apache CXF&#39;s JwtRequestCodeFilter copies all claims from a signed request JWT into the authorization parameter map without excluding security-sensitive parameters. A client that can produce a validly-signed request JWT (e.g., one whose client_secret is known or compromised) can thereby substitute the code_challenge, code_challenge_method, nonce, and state values that were set in the outer HTTP request, undermining PKCE integrity and OpenID Connect replay protection. Users are recommended to upgrade to versions 4.2.3 or 4.1.8 or 3.6.12, which fix this issue.

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

07/08/2026

CVE-2026-65583

Fecha de publicación:

06/08/2026

Idioma:

Inglés

*** Pendiente de traducción *** Apache CXF’s OIDC relying-party token validation could accept self-issued ID tokens without enforcing required claim checks (issuer/subject/audience/time and sub_jwk binding), enabling authentication bypass with crafted tokens. However, note that self-issued ID tokens are not accepted by default in the validator. Users are recommended to upgrade to versions 4.2.3 or 4.1.8 or 3.6.12, which fixes this issue.

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

07/08/2026

Suscribirse a Vulnerabilidades