Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las últimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las últimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las últimas vulnerabilidades incorporadas al repositorio.

CVE-2026-17078

Fecha de publicación:

13/08/2026

Idioma:

Inglés

*** Pendiente de traducción *** IBM i 7.6, 7.5, 7.4, and 7.3 could allow a remote attacker to cause a denial of service due to resource exhaustion.

Gravedad CVSS v3.1: MEDIA

Última modificación:

19/08/2026

CVE-2026-17077

Fecha de publicación:

13/08/2026

Idioma:

Inglés

*** Pendiente de traducción *** IBM i 7.6, 7.5, 7.4, and 7.3 could allow a remote attacker to cause a denial of service due to the use of an uninitialized variable.

Gravedad CVSS v3.1: MEDIA

Última modificación:

19/08/2026

CVE-2026-17075

Fecha de publicación:

13/08/2026

Idioma:

Inglés

*** Pendiente de traducción *** IBM i 7.6, 7.5, 7.4, and 7.3 could allow a remote attacker to obtain sensitive information and perform unauthorized operations due to improper validation of authentication tokens.

Gravedad CVSS v3.1: MEDIA

Última modificación:

19/08/2026

CVE-2026-73654

Fecha de publicación:

13/08/2026

Idioma:

Inglés

*** Pendiente de traducción *** Trigger.dev is a platform for building and deploying fully managed AI agents and workflows. From 3.3.8 until 4.5.6, the PUT /api/v1/runs/:runId/metadata endpoint passes attacker-controlled operation.key values to new JSONHeroPath(operation.key).set(newMetadata, value) in packages/core/src/v3/runMetadata/operations.ts without rejecting dangerous constructor and prototype path segments. A caller with a normal environment API key can pollute Object.prototype in the shared webapp process, corrupting Prisma queries and Prometheus labels, breaking other tenants&#39; worker authentication, and causing a process-wide denial of service. This issue is fixed in version 4.5.6.

Gravedad CVSS v3.1: ALTA

Última modificación:

14/08/2026

CVE-2026-73656

Fecha de publicación:

13/08/2026

Idioma:

Inglés

*** Pendiente de traducción *** Trigger.dev is a platform for building and deploying fully managed AI agents and workflows. Prior to 4.5.6, POST /api/v1/deployments/:deploymentId/background-workers calls CreateDeploymentBackgroundWorkerServiceV4.call() in apps/webapp/app/v3/services/createDeploymentBackgroundWorkerV4.server.ts, where workerDeployment.findFirst() selects a deployment by friendlyId without an environmentId predicate. A caller with a valid API key for one project can submit another project&#39;s deployment identifier, link an attacker-owned background worker to the victim deployment, and move the victim deployment from BUILDING to DEPLOYING. This issue is fixed in version 4.5.6.

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

14/08/2026

CVE-2026-73655

Fecha de publicación:

13/08/2026

Idioma:

Inglés

*** Pendiente de traducción *** Trigger.dev is a platform for building and deploying fully managed AI agents and workflows. Prior to 4.5.2, addGoogleStrategy() in apps/webapp/app/services/googleAuth.server.ts passes a Google profile email to findOrCreateGoogleUser() in apps/webapp/app/models/user.server.ts without requiring Google&#39;s email_verified assertion. When existingEmailUser && !existingUser is true, the flow writes the new Google authIdentifier into the existing email-matched account and returns that user object, allowing an attacker-controlled Google profile with an unverified matching email to take over the account. This issue is fixed in version 4.5.2.

Gravedad CVSS v3.1: ALTA

Última modificación:

18/08/2026

CVE-2026-73669

Fecha de publicación:

13/08/2026

Idioma:

Inglés

*** Pendiente de traducción *** The Signify Philips Hue Bridge Pro firmware embeds a Mosquitto MQTT broker service that listens on all network interfaces without authentication. An unauthenticated attacker with network access to the MQTT service on a vulnerable system can read data and control connected lights. Fixed in 1.77.2071318010.

Gravedad CVSS v4.0: MEDIA

Última modificación:

26/08/2026

CVE-2026-73531

Fecha de publicación:

13/08/2026

Idioma:

Inglés

*** Pendiente de traducción *** django-helpdesk before 2.3.3 contains a stored cross-site scripting vulnerability that allows unauthenticated attackers to inject arbitrary JavaScript by submitting HTML-formatted email messages or uploading .html/.htm file attachments through public ticket submission channels. Attackers can exploit the lack of sanitization and Content-Disposition headers at the attachment-serving layer to execute malicious scripts in the browser session of authenticated staff members who open the attachment while triaging tickets.

Gravedad CVSS v4.0: MEDIA

Última modificación:

14/08/2026

CVE-2026-73530

Fecha de publicación:

13/08/2026

Idioma:

Inglés

*** Pendiente de traducción *** Flyto2 Core before 2.28.0 contains a server-side request forgery guard bypass vulnerability that allows attackers to reach internal services by supplying URLs using the unblocked IPv6 address `::` which the kernel routes to loopback identically to `0.0.0.0`. Attackers can submit requests or trigger 302 redirects to ` to bypass the private IP range and blocked hostname checks in `is_private_ip()`, reaching services bound to IPv6 loopback across the `http.get`, `http.request`, and `http.batch` modules.

Gravedad CVSS v4.0: MEDIA

Última modificación:

13/08/2026

CVE-2026-72684

Fecha de publicación:

13/08/2026

Idioma:

Inglés

*** Pendiente de traducción *** A flaw in Elasticsearch allows an authenticated user holding only read privileges to submit a small search request containing a crafted user-supplied input. Processing that input causes a specific internal component to allocate memory without any upper bound, and the allocation occurs outside the scope of the existing memory accounting controls that were intended to constrain it. The resulting out-of-memory condition is fatal and terminates the affected node process, causing a denial of service.

Gravedad CVSS v3.1: MEDIA

Última modificación:

28/08/2026

CVE-2026-72685

Fecha de publicación:

13/08/2026

Idioma:

Inglés

*** Pendiente de traducción *** A flaw in Elasticsearch allows a low-privileged authenticated user who can index documents to submit a single small document containing a crafted user-supplied input. Processing one such document occupies a worker thread from a bounded pool for a disproportionate amount of time, degrading the availability of indexing operations on the affected node.

Gravedad CVSS v3.1: MEDIA

Última modificación:

28/08/2026

CVE-2026-72686

Fecha de publicación:

13/08/2026

Idioma:

Inglés

*** Pendiente de traducción *** A flaw in Elasticsearch allows a low-privileged authenticated user to submit a single request containing a crafted user-supplied input. A specific internal component validates the input using a recursive routine and applies no bound to the length of the value being validated, so the validation causes the thread to exhaust its stack. The resulting fatal error is not handled by the surrounding execution paths and terminates the affected node process, producing a denial of service.

Gravedad CVSS v3.1: MEDIA

Última modificación:

28/08/2026

Suscribirse a Vulnerabilidades