Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las últimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las últimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las últimas vulnerabilidades incorporadas al repositorio.

CVE-2026-73416

Fecha de publicación:

13/08/2026

Idioma:

Inglés

*** Pendiente de traducción *** jupyterlab is an extensible environment for interactive and reproducible computing, based on the Jupyter Notebook Architecture. From 4.5.0 until 4.5.10 and 4.6.2, in jupyterlab/extensions/manager.py and jupyterlab/extensions/pypi.py, JupyterLab&#39;s PyPI extension manager enforces blocked_extensions_uris by comparing requested install names to blocklist entries with custom normalization that is weaker than PyPI package-name canonicalization. An authenticated user can request a PyPI-equivalent spelling such as JupyterLab.Git for a blocklisted package such as jupyterlab-git, and JupyterLab accepts the install request even though pip resolves the variant to the same package. Security impact requires an allowlist or blocklist intended to restrict package installation, the PyPI Extension Manager, and kernels and terminals that are disabled or delegated to remote hosts. The bypass lets an authenticated user install a prohibited extension, defeat integrity restrictions, and affect availability without gaining new read access. This issue is fixed in versions 4.5.10 and 4.6.2.

Gravedad CVSS v4.0: MEDIA

Última modificación:

17/08/2026

CVE-2026-73305

Fecha de publicación:

13/08/2026

Idioma:

Inglés

*** Pendiente de traducción *** Budibase is an open-source low-code platform. Prior to 3.39.24, POST /api/public/v1/roles/assign called validateGlobalRoleUpdate without checking appBuilder.appId or role.appId in packages/server/src/api/controllers/public/globalRoleValidation.ts. An app-scoped builder could scope the request to an app they control and then grant themselves builder access or an arbitrary role in another app, exposing that app data, datasource configuration, and automations. This issue is fixed in version 3.39.24.

Gravedad CVSS v3.1: ALTA

Última modificación:

18/08/2026

CVE-2026-72850

Fecha de publicación:

13/08/2026

Idioma:

Inglés

*** Pendiente de traducción *** Budibase before 3.40.0 fails to properly sanitize S3 object keys, allowing authenticated builders to upload files with traversal sequences that are preserved during export. Attackers can craft filenames containing .. segments that escape the temporary directory during workspace export, writing arbitrary content to any path writable by the Budibase process.

Gravedad CVSS v4.0: CRÍTICA

Última modificación:

14/08/2026

CVE-2026-72855

Fecha de publicación:

13/08/2026

Idioma:

Inglés

*** Pendiente de traducción *** Budibase before 3.40.0 contains server-side request forgery vulnerabilities in OpenAPI query import and REST query execution that allow authenticated builder-level users to bypass DNS pinning protections through DNS rebinding attacks. Attackers can configure hostnames that resolve to public addresses during validation but resolve to loopback or private addresses during actual connection, allowing access to blocked internal HTTP services.

Gravedad CVSS v4.0: ALTA

Última modificación:

14/08/2026

CVE-2026-72851

Fecha de publicación:

13/08/2026

Idioma:

Inglés

*** Pendiente de traducción *** Budibase before 3.40.0 contains an unauthenticated SQL injection vulnerability in webhook-triggered automations with EXECUTE_QUERY steps. Attackers can POST attacker-controlled JSON to the webhook trigger endpoint to inject SQL payloads that execute with builder-configured database credentials, enabling data exfiltration, modification, and persistence in connected datasources like Snowflake.

Gravedad CVSS v4.0: CRÍTICA

Última modificación:

14/08/2026

CVE-2026-72849

Fecha de publicación:

13/08/2026

Idioma:

Inglés

*** Pendiente de traducción *** Budibase before 3.40.0 contains a cross-site request forgery vulnerability in the chat-link handoff endpoint that allows attackers to bind an external chat identity to a victim&#39;s account. Attackers can craft a phishing page that auto-submits a POST request with a leaked confirmation token to bind their chat identity to a victim user&#39;s account, enabling impersonation within agent operations and inheritance of victim permissions.

Gravedad CVSS v4.0: ALTA

Última modificación:

17/08/2026

CVE-2026-72856

Fecha de publicación:

13/08/2026

Idioma:

Inglés

*** Pendiente de traducción *** Budibase versions before 3.40.0 contain an authorization/authentication bypass in the PUT /api/global/users/tenant/owner (changeTenantOwnerEmail) endpoint. On self-hosted instances (SELF_HOSTED or DISABLE_ACCOUNT_PORTAL set), the cloudRestricted middleware is a no-op and the route is protected only by a general authentication check, so any authenticated user — including a lowest-privilege BASIC app user — can reassign the tenant account-holder (top-privilege admin) email to an attacker-controlled address. The attacker can then use the public password-reset flow to take over the admin account, leading to full administrative access.

Gravedad CVSS v4.0: ALTA

Última modificación:

17/08/2026

CVE-2026-72853

Fecha de publicación:

13/08/2026

Idioma:

Inglés

*** Pendiente de traducción *** Budibase before 3.40.0 contains a SQL injection vulnerability in the Oracle datasource connector&#39;s post-write row lookup that fails to escape table names in identifiers. Attackers with write permission on a table with a double-quote in its name can inject SQL that executes as the datasource&#39;s database user to read or modify arbitrary data.

Gravedad CVSS v4.0: ALTA

Última modificación:

18/08/2026

CVE-2026-72839

Fecha de publicación:

13/08/2026

Idioma:

Inglés

*** Pendiente de traducción *** filebrowser through 2.63.16 fails to properly restrict scope and permissions when self-signup is enabled with default CreateUserDir setting. Unauthenticated attackers can register accounts that inherit the server root scope with full create, modify, delete, rename, share, and download permissions, allowing unrestricted access to all files.

Gravedad CVSS v4.0: CRÍTICA

Última modificación:

14/08/2026

CVE-2026-72842

Fecha de publicación:

13/08/2026

Idioma:

Inglés

*** Pendiente de traducción *** luci-app-lxc contains an ACL inconsistency vulnerability that allows low-privileged authenticated LuCI users to access backend container management routes without proper authorization checks. Attackers can exploit path traversal via `/.%2E` in the `lxc_name` parameter to escape container directories and control host-side scripts executed through `lxc.hook.start-host`, achieving root code execution on the OpenWrt host.

Gravedad CVSS v4.0: CRÍTICA

Última modificación:

14/08/2026

CVE-2026-72840

Fecha de publicación:

13/08/2026

Idioma:

Inglés

*** Pendiente de traducción *** OpenWrt LuCI contains an overly permissive ACL definition in luci-mod-system-mounts that grants write access to /etc/crontabs/root to users intended only for mount configuration. Authenticated users with only the mount-configuration ACL group can append arbitrary cron entries via ubus file.write, which the default busybox crond daemon executes as root within one minute.

Gravedad CVSS v4.0: ALTA

Última modificación:

14/08/2026

CVE-2026-72776

Fecha de publicación:

13/08/2026

Idioma:

Inglés

*** Pendiente de traducción *** AgenticSeek (commit fc242c7) contains an unauthenticated remote code execution vulnerability that allows any network-adjacent attacker to execute arbitrary commands by submitting crafted queries to the unprotected POST /query API endpoint bound to 0.0.0.0:7777 with wildcard CORS. Attackers can send unauthenticated HTTP requests that cause the autonomous agent to generate and execute shell commands through BashInterpreter using subprocess.Popen with shell=True and safety=False, bypassing the incomplete command blocklist to achieve full host-level code execution.

Gravedad CVSS v4.0: CRÍTICA

Última modificación:

18/08/2026

Suscribirse a Vulnerabilidades