Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las últimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las últimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las últimas vulnerabilidades incorporadas al repositorio.

CVE-2026-73067

Fecha de publicación:

11/08/2026

Idioma:

Inglés

*** Pendiente de traducción *** Tesseract is an open source OCR engine. Prior to 5.5.3, a crafted .traineddata model loaded through TessBaseAPI::Init can cause SquishedDawg::read_squished_dawg in src/dict/dawg.cpp to accept an unterminated forward-edge run, after which SquishedDawg::Load calls num_forward_edges(0) and last_edge in src/dict/dawg.h reads beyond edges_, causing a heap out-of-bounds read and process crash before image processing. This issue is fixed in version 5.5.3.

Gravedad CVSS v4.0: MEDIA

Última modificación:

11/08/2026

CVE-2026-72925

Fecha de publicación:

11/08/2026

Idioma:

Inglés

*** Pendiente de traducción *** SWC is a TypeScript / JavaScript compiler written in Rust. Prior to @swc/html 1.15.47-nightly-20260729.1 and swc_html_minifier 59.0.0, the minifyJson processing in crates/swc_html_minifier/src/lib.rs parsed and serialized attacker-controlled JSON in application/json and application/ld+json script elements without the escape_json_for_html_script behavior to re-escape less-than signs, allowing a closing script sequence to terminate the element early and execute script in the generated page&#39;s origin. This issue is fixed in @swc/html 1.15.47-nightly-20260729.1 and swc_html_minifier 59.0.0.

Gravedad CVSS v3.1: MEDIA

Última modificación:

11/08/2026

CVE-2026-72922

Fecha de publicación:

11/08/2026

Idioma:

Inglés

*** Pendiente de traducción *** AutoGPT is a workflow automation platform for creating, deploying, and managing continuous artificial intelligence agents. Prior to 0.6.70, AutoGPT&#39;s autogpt_platform/backend/backend/api/features/integrations/router.py webhook_ingress_generic route selected get_webhook_manager(provider) from the untrusted provider URL segment without verifying webhook.provider, allowing a request to /compass/webhooks/{webhook_id}/ingress to use CompassWebhookManager&#39;s inherited no-op BaseWebhooksManager.verify_signature instead of GenericWebhooksManager.verify_signature, bypass X-Webhook-Secret for a configured secret_token, and execute a generic webhook graph as its owner. This issue is fixed in version 0.6.70.

Gravedad CVSS v3.1: ALTA

Última modificación:

13/08/2026

CVE-2026-72921

Fecha de publicación:

11/08/2026

Idioma:

Inglés

*** Pendiente de traducción *** SeaweedFS is a distributed storage system. Prior to 4.24, the weed/server/filer_server_handlers.go allowed_prefixes authorization check used strings.HasPrefix on raw path strings, so a filer JWT scoped to /tenant1 also authorized sibling paths such as /tenant1234, /tenant1-old, and /tenant1backup, enabling cross-tenant reads and writes with a valid scoped token. This issue is fixed in version 4.24.

Gravedad CVSS v3.1: ALTA

Última modificación:

13/08/2026

CVE-2026-47702

Fecha de publicación:

11/08/2026

Idioma:

Inglés

*** Pendiente de traducción *** TypeBot is a chatbot builder tool. In version 3.16.1, API tokens (bearer credentials used to authenticate against the builder API) are stored in the database as cleartext strings. An attacker who gains read access to the database (e.g., via SQL injection, backup exposure, or insider access) can extract all API tokens and impersonate any user without requiring a password or multi-factor authentication. Version 3.17.0 fixes the issue.

Gravedad CVSS v4.0: CRÍTICA

Última modificación:

11/08/2026

CVE-2026-18125

Fecha de publicación:

11/08/2026

Idioma:

Inglés

*** Pendiente de traducción *** An out-of-bounds read in the Agent of Ivanti Endpoint Manager before version 2024 SU7 allows a remote unauthenticated attacker to crash an agent service.

Gravedad CVSS v3.1: ALTA

Última modificación:

11/08/2026

CVE-2026-18127

Fecha de publicación:

11/08/2026

Idioma:

Inglés

*** Pendiente de traducción *** External control of a filename in the Core of Ivanti Endpoint Manager before version 2024 SU7 allows a remote authenticated attacker full write control over an S3 bucket configured for session recording storage.

Gravedad CVSS v3.1: ALTA

Última modificación:

11/08/2026

CVE-2026-18636

Fecha de publicación:

11/08/2026

Idioma:

Inglés

*** Pendiente de traducción *** The Velociraptor gRPC API has a VFSGetBuffer endpoint which allows reading files from the datastore. To prevent users from reading sensitive files or accessing other orgs, the requested path is prefix checked against a list of denied prefixes. This prefix check can be bypassed allowing a user to access usually denied files. If the user has read permission in the ROOT org, this allows access to other orgs, in which the user may not have permission.

Gravedad CVSS v3.1: MEDIA

Última modificación:

11/08/2026

CVE-2026-18860

Fecha de publicación:

11/08/2026

Idioma:

Inglés

*** Pendiente de traducción *** Velociraptor allows multi-tenant deployments named "Orgs". By default Velociraptor, uses the ROOT org, but users can create child orgs for other tenants within the same deployment. Users can have different permissions in each org. To manage Orgs, Velociraptor usually examines the ORG_ADMIN permission on the ROOT org. This issue results from the Velociraptor server allowing for the deletion of Orgs by incorrectly checking the ORG_ADMIN permission of callers within the calling ORG instead of the ROOT org. However, Org admins of child orgs were able to add this permission to their ACL token within their own org. This allows an administrator in a child org, which is not also an administrator in the ROOT org, to delete other orgs.

Gravedad CVSS v3.1: ALTA

Última modificación:

11/08/2026

CVE-2026-18635

Fecha de publicación:

11/08/2026

Idioma:

Inglés

*** Pendiente de traducción *** Velociraptor&#39;s VQL has a query() plugin which allows running a VQL query in a different org or user context. To be able to run as a different user, the calling user needs to have the IMPERSONATE permission (usually only given to administrators). Velociraptor versions prior to 0.77.2 evaluate this permission against the caller&#39;s org instead of against the target org. This allows an administrator in one org to impersonate another user in another org, in which they may not have the IMPERSONATE permission.

Gravedad CVSS v3.1: ALTA

Última modificación:

12/08/2026

CVE-2026-18129

Fecha de publicación:

11/08/2026

Idioma:

Inglés

*** Pendiente de traducción *** Cleartext transmission of sensitive information in the Core of Ivanti Endpoint Manager before version 2024 SU7 allows a remote unauthenticated attacker in a MITM position to leak credentials for external SQL connections.

Gravedad CVSS v3.1: ALTA

Última modificación:

12/08/2026

CVE-2026-17061

Fecha de publicación:

11/08/2026

Idioma:

Inglés

*** Pendiente de traducción *** A Deserialization of Untrusted Data vulnerability affecting SIMULIA Execution Engine from Release 2023 through Release 2026 could lead to an unauthenticated remote code execution.

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

11/08/2026

Suscribirse a Vulnerabilidades