Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

017 - Ir a la línea de ayuda en Ciberseguridad    Ir a Agenda     Ir a Sala de prensa     Ir a suscripción de boletines

Ir al buscador

Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las últimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las últimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las últimas vulnerabilidades incorporadas al repositorio.

CVE-2026-24468
Fecha de publicación:
20/04/2026
Idioma:
Inglés
*** Pendiente de traducción *** OpenAEV is an open source platform allowing organizations to plan, schedule and conduct cyber adversary simulation campaign and tests. Starting in version 1.11.0 and prior to version 2.0.13, the /api/reset endpoint behaves differently depending on whether the supplied username exists in the system. When a non-existent email is provided in the login parameter, the endpoint returns an HTTP 400 response (Bad Request). When a valid email is supplied, the endpoint responds with HTTP 200. This difference in server responses creates an observable discrepancy that allows an attacker to reliably determine which emails are registered in the application. By automating requests with a list of possible email addresses, an attacker can quickly build a list of valid accounts without any authentication. The endpoint should return a consistent response regardless of whether the username exists in order to prevent account enumeration. Version 2.0.13 fixes this issue.
Gravedad CVSS v3.1: MEDIA
Última modificación:
20/04/2026

CVE-2026-23774
Fecha de publicación:
20/04/2026
Idioma:
Inglés
*** Pendiente de traducción *** Dell PowerProtect Data Domain with Data Domain Operating System (DD OS) of Feature Release versions 7.7.1.0 through 8.5, LTS2025 release version 8.3.1.0 through 8.3.1.10, LTS2024 release versions 7.13.1.0 through 7.13.1.40, contain an OS command injection vulnerability. A high privileged attacker with remote access could potentially exploit this vulnerability, leading to arbitrary command execution.
Gravedad CVSS v3.1: ALTA
Última modificación:
23/04/2026

CVE-2026-25883
Fecha de publicación:
20/04/2026
Idioma:
Inglés
*** Pendiente de traducción *** Vexa is an open-source, self-hostable meeting bot API and meeting transcription API. Prior to 0.10.0-260419-1910, the Vexa webhook feature allows authenticated users to configure an arbitrary URL that receives HTTP POST requests when meetings complete. The application performs no validation on the webhook URL, enabling Server-Side Request Forgery (SSRF). An authenticated attacker can set their webhook URL to target internal services (Redis, databases, admin panels), cloud metadata endpoints (AWS/GCP credential theft), and/or localhost services. Version 0.10.0-260419-1910 patches the issue.
Gravedad CVSS v3.1: MEDIA
Última modificación:
23/04/2026

CVE-2026-25058
Fecha de publicación:
20/04/2026
Idioma:
Inglés
*** Pendiente de traducción *** Vexa is an open-source, self-hostable meeting bot API and meeting transcription API. Prior to 0.10.0-260419-1910, the Vexa transcription-collector service exposes an internal endpoint `GET /internal/transcripts/{meeting_id}` that returns transcript data for any meeting without any authentication or authorization checks. An unauthenticated attacker can enumerate all meeting IDs, access any user's meeting transcripts without credentials, and steal confidential business conversations, passwords, and/or PII. Version 0.10.0-260419-1910 patches the issue.
Gravedad CVSS v3.1: ALTA
Última modificación:
23/04/2026

CVE-2026-6649
Fecha de publicación:
20/04/2026
Idioma:
Inglés
*** Pendiente de traducción *** A vulnerability was determined in Qibo CMS 1.0. Affected by this issue is some unknown functionality of the file /index/image/headers. Executing a manipulation of the argument starts can lead to server-side request forgery. The attack can be launched remotely. The exploit has been publicly disclosed and may be utilized. The vendor was contacted early about this disclosure but did not respond in any way.
Gravedad CVSS v4.0: BAJA
Última modificación:
29/04/2026

CVE-2026-6369
Fecha de publicación:
20/04/2026
Idioma:
Inglés
*** Pendiente de traducción *** An improper access control vulnerability in the canonical-livepatch snap client prior to version 10.15.0 allows a local unprivileged user to obtain a sensitive, root-level authentication token by sending an unauthenticated request to the livepatchd.sock Unix domain socket. This vulnerability is exploitable on systems where an administrator has already enabled the Livepatch client with a valid Ubuntu Pro subscription. This token allows an attacker to access Livepatch services using the victim's credentials, as well as potentially cause issues to the Livepatch server.
Gravedad CVSS v4.0: MEDIA
Última modificación:
20/04/2026

CVE-2026-5760
Fecha de publicación:
20/04/2026
Idioma:
Inglés
*** Pendiente de traducción *** SGLang's reranking endpoint (/v1/rerank) achieves Remote Code Execution (RCE) when a model file containing a malcious tokenizer.chat_template is loaded, as the Jinja2 chat templates are rendered using an unsandboxed jinja2.Environment().
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
29/04/2026

CVE-2026-4048
Fecha de publicación:
20/04/2026
Idioma:
Inglés
*** Pendiente de traducción *** OS Command Injection Remote Code Execution Vulnerability in UI in Progress ADC Products allows an authenticated attacker with “All” permissions to execute arbitrary commands on the LoadMaster appliance by exploiting unsanitized input in a custom WAF rule file during the file upload process.
Gravedad CVSS v3.1: ALTA
Última modificación:
01/05/2026

CVE-2026-33558
Fecha de publicación:
20/04/2026
Idioma:
Inglés
*** Pendiente de traducción *** Information exposure vulnerability has been identified in Apache Kafka.<br /> <br /> The NetworkClient component will output entire requests and responses information in the DEBUG log level in the logs. By default, the log level is set to INFO level. If the DEBUG level is enabled, the sensitive information will be exposed via the requests and responses output log. The entire lists of impacted requests and responses are:<br /> <br /> <br /> * AlterConfigsRequest<br /> <br /> * AlterUserScramCredentialsRequest<br /> <br /> * ExpireDelegationTokenRequest<br /> <br /> * IncrementalAlterConfigsRequest<br /> <br /> * RenewDelegationTokenRequest<br /> <br /> * SaslAuthenticateRequest<br /> <br /> * createDelegationTokenResponse<br /> <br /> * describeDelegationTokenResponse<br /> <br /> * SaslAuthenticateResponse<br /> <br /> <br /> This issue affects Apache Kafka: from any version supported the listed API above through v3.9.1, v4.0.0. We advise the Kafka users to upgrade to v3.9.2, v4.0.1, or later to avoid this vulnerability.
Gravedad CVSS v3.1: MEDIA
Última modificación:
22/04/2026

CVE-2026-3519
Fecha de publicación:
20/04/2026
Idioma:
Inglés
*** Pendiente de traducción *** OS Command Injection Remote Code Execution Vulnerability in API in Progress ADC Products allows an authenticated attacker with “VS Administration” permissions to execute arbitrary commands on the LoadMaster appliance by exploiting unsanitized input in the &amp;#39;aclcontrol&amp;#39; command
Gravedad CVSS v3.1: ALTA
Última modificación:
01/05/2026

CVE-2026-3518
Fecha de publicación:
20/04/2026
Idioma:
Inglés
*** Pendiente de traducción *** OS Command Injection Remote Code Execution Vulnerability in API in Progress ADC Products allows an authenticated attacker with “All” permissions to execute arbitrary commands on the LoadMaster appliance by exploiting unsanitized input in the &amp;#39;killsession&amp;#39; command
Gravedad CVSS v3.1: ALTA
Última modificación:
01/05/2026

CVE-2026-3517
Fecha de publicación:
20/04/2026
Idioma:
Inglés
*** Pendiente de traducción *** OS Command Injection Remote Code Execution Vulnerability in API in Progress ADC Products allows an authenticated attacker with “Geo Administration” permissions to execute arbitrary commands on the LoadMaster appliance by exploiting unsanitized input in the &amp;#39;addcountry&amp;#39; command
Gravedad CVSS v3.1: ALTA
Última modificación:
01/05/2026
Suscribirse a Vulnerabilidades