Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las últimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las últimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las últimas vulnerabilidades incorporadas al repositorio.

CVE-2026-73240

Fecha de publicación:
12/08/2026
Idioma:
Inglés
*** Pendiente de traducción *** Specifically crafted inputs may lead to git argument injection in Apache Allura.<br /> <br /> This issue affects Apache Allura: before 1.19.1.<br /> <br /> Users are recommended to upgrade to version 1.19.1, which fixes the issue.
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
17/08/2026

CVE-2026-73239

Fecha de publicación:
12/08/2026
Idioma:
Inglés
*** Pendiente de traducción *** Insecure Direct Object Reference (IDOR) due to missing permission checks for multiple Artifact types in Apache Allura.<br /> <br /> This issue affects Apache Allura: before 1.19.1.<br /> <br /> Users are recommended to upgrade to version 1.19.1, which fixes the issue.
Gravedad CVSS v3.1: MEDIA
Última modificación:
17/08/2026

CVE-2026-73238

Fecha de publicación:
12/08/2026
Idioma:
Inglés
*** Pendiente de traducción *** XSS vulnerability in code display in Apache Allura.<br /> <br /> This issue affects Apache Allura: before 1.19.1.<br /> <br /> Users are recommended to upgrade to version 1.19.1, which fixes the issue.
Gravedad CVSS v3.1: MEDIA
Última modificación:
17/08/2026

CVE-2026-73237

Fecha de publicación:
12/08/2026
Idioma:
Inglés
*** Pendiente de traducción *** XSS vulnerability in Markdown handling in Apache Allura.<br /> <br /> This issue affects Apache Allura: from 1.10.0 before 1.19.1.<br /> <br /> Users are recommended to upgrade to version 1.19.1, which fixes the issue.
Gravedad CVSS v3.1: MEDIA
Última modificación:
17/08/2026

CVE-2026-48552

Fecha de publicación:
12/08/2026
Idioma:
Inglés
*** Pendiente de traducción *** Nagios Core before 4.5.14 and Nagios XI before 2026R1.7 are vulnerable to DOM-based cross-site scripting in jsonquery.js. Unencoded JSON string values reflected from stored fields are inserted into the DOM without sanitization, allowing attackers to run arbitrary JavaScript in the victim&amp;#39;s browser.
Gravedad CVSS v4.0: MEDIA
Última modificación:
12/08/2026

CVE-2026-48554

Fecha de publicación:
12/08/2026
Idioma:
Inglés
*** Pendiente de traducción *** Nagios Core before 4.5.14 and Nagios XI before 2026R1.7 are vulnerable to authenticated remote code execution via unfiltered NOTIFICATION-family macro substitution through the com_data parameter. When a notification command references $NOTIFICATIONCOMMENT$ or $NOTIFICATIONAUTHOR$ in a shell-reachable position, authenticated UI users can run arbitrary commands as the nagios user. Exploitation requires a non-default configuration in which a notification command references these macros in a shell-executed command line.
Gravedad CVSS v4.0: ALTA
Última modificación:
12/08/2026

CVE-2026-48550

Fecha de publicación:
12/08/2026
Idioma:
Inglés
*** Pendiente de traducción *** Nagios Core before 4.5.14 and Nagios XI before 2026R1.7 are vulnerable to reflected cross-site scripting in cmd.cgi via the NagFormId parameter. An unauthenticated remote attacker can craft a malicious link that, when followed by an authenticated user, executes arbitrary JavaScript in the victim&amp;#39;s browser.
Gravedad CVSS v4.0: MEDIA
Última modificación:
12/08/2026

CVE-2026-48553

Fecha de publicación:
12/08/2026
Idioma:
Inglés
*** Pendiente de traducción *** Nagios Core before 4.5.13 and Nagios XI before 2026R1.5 are vulnerable to authenticated remote code execution via custom-variable macro injection through the Nagios Remote Data Processor (NRDP). When a custom variable defined on a host, service, or contact is referenced in a shell-executed command line, an authenticated attacker with NRDP access can inject OS commands through the macro value. Exploitation requires a non-default configuration in which a custom variable is defined and referenced in a shell-executed command.
Gravedad CVSS v4.0: ALTA
Última modificación:
12/08/2026

CVE-2026-48551

Fecha de publicación:
12/08/2026
Idioma:
Inglés
*** Pendiente de traducción *** Nagios Core before 4.5.14 and Nagios XI before 2026R1.7 contain a cross-site request forgery protection bypass via a self-supplied double-submit cookie. An attacker can supply matching cookie and request parameter values to bypass CSRF protection, enabling unauthenticated attackers to run commands as authorized users via malicious links.
Gravedad CVSS v4.0: MEDIA
Última modificación:
13/08/2026

CVE-2026-18499

Fecha de publicación:
12/08/2026
Idioma:
Inglés
*** Pendiente de traducción *** IBM WebSphere Application Server - Liberty 17.0.0.3 through 26.0.0.8 is vulnerable to a privilege escalation when using Liberty collectives.
Gravedad CVSS v3.1: ALTA
Última modificación:
17/08/2026

CVE-2026-18847

Fecha de publicación:
12/08/2026
Idioma:
Inglés
*** Pendiente de traducción *** IBM i 7.6, 7.5, 7.4, and 7.3 could allow a remote unauthenticated attacker to harvest credentials due to spoofing of Navigator for i.
Gravedad CVSS v3.1: ALTA
Última modificación:
17/08/2026

CVE-2026-18106

Fecha de publicación:
12/08/2026
Idioma:
Inglés
*** Pendiente de traducción *** IBM i 7.6, 7.5, 7.4, and 7.3 could allow a remote authenticated attacker to obtain sensitive information due to improper validation of user-supplied path input.
Gravedad CVSS v3.1: MEDIA
Última modificación:
17/08/2026