Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

017 - Ir a la línea de ayuda en Ciberseguridad    Ir a Agenda     Ir a Sala de prensa     Ir a suscripción de boletines

Ir al buscador

Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las últimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las últimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las últimas vulnerabilidades incorporadas al repositorio.

CVE-2026-38568
Fecha de publicación:
11/05/2026
Idioma:
Inglés
*** Pendiente de traducción *** HireFlow v1.2 is vulnerable to Incorrect Access Control. The application does not enforce object-level authorization on the /candidate/ and /interview/ endpoints. The route handlers retrieve records by the user-supplied ID without verifying that the requesting user is the owner or has an authorized role. Any authenticated user can access any other user's candidate profiles and interview notes by iterating the integer ID in the URL path, constituting a horizontal privilege escalation and full data breach of all records in the system.
Gravedad CVSS v3.1: ALTA
Última modificación:
12/05/2026

CVE-2026-38566
Fecha de publicación:
11/05/2026
Idioma:
Inglés
*** Pendiente de traducción *** HireFlow v1.2 does not implement CSRF token validation on any state-changing POST endpoint. All forms (password change at /profile, candidate deletion at /candidates/delete/, feedback submission at /feedback/add/, interview scheduling at /interviews/add) are vulnerable to CSRF. An attacker who can trick an authenticated user into visiting a malicious page can silently change the victim's password, delete records, or inject arbitrary data on their behalf. The SESSION_COOKIE_SAMESITE attribute is also not configured, removing the browser-level CSRF defense.
Gravedad CVSS v3.1: ALTA
Última modificación:
12/05/2026

CVE-2026-38567
Fecha de publicación:
11/05/2026
Idioma:
Inglés
*** Pendiente de traducción *** HireFlow v1.2 is vulnerable to SQL injection in the /login and /search endpoints. User-supplied input is concatenated directly into SQL queries without parameterization. An unauthenticated attacker can bypass authentication by supplying a crafted username (e.g. admin'--) or extract the full contents of the database including user credentials via UNION-based injection at the /search endpoint.
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
12/05/2026

CVE-2026-36983
Fecha de publicación:
11/05/2026
Idioma:
Inglés
*** Pendiente de traducción *** D-Link DCS-932L v2.18.01 is vulnerable to Command Injection in the function sub_42EF14 of the file /bin/alphapd. The manipulation of the argument LightSensorControl leads to command injection.
Gravedad CVSS v3.1: ALTA
Última modificación:
12/05/2026

CVE-2026-36962
Fecha de publicación:
11/05/2026
Idioma:
Inglés
*** Pendiente de traducción *** SQL Injection in MuuCMF T6 v1.9.4.20260115 allows an unauthenticated attacker to compromise the entire database, achieve unauthorized administrative access, and potentially gain remote code execution by writing malicious files to the server's file system via the keyword parameter in the /index/controller/Search.php endpoint.
Gravedad CVSS v3.1: ALTA
Última modificación:
12/05/2026

CVE-2026-34094
Fecha de publicación:
11/05/2026
Idioma:
Inglés
*** Pendiente de traducción *** Vulnerability in Wikimedia Foundation MediaWiki.<br /> <br /> This vulnerability is associated with program files includes/Page/Article.Php.<br /> <br /> <br /> <br /> This issue affects MediaWiki: from * before 1.43.7, 1.44.4, 1.45.2.
Gravedad CVSS v4.0: BAJA
Última modificación:
12/05/2026

CVE-2026-34095
Fecha de publicación:
11/05/2026
Idioma:
Inglés
*** Pendiente de traducción *** Vulnerability in Wikimedia Foundation MediaWiki.<br /> <br /> This vulnerability is associated with program files includes/Actions/ActionEntryPoint.Php, includes/Request/FauxResponse.Php.<br /> <br /> <br /> <br /> This issue affects MediaWiki: from * before 1.43.7, 1.44.4, 1.45.2.
Gravedad: Pendiente de análisis
Última modificación:
12/05/2026

CVE-2026-2393
Fecha de publicación:
11/05/2026
Idioma:
Inglés
*** Pendiente de traducción *** A Server-Side Request Forgery (SSRF) vulnerability exists in MLflow versions prior to 3.9.0. The `_create_webhook()` function in `mlflow/server/handlers.py` accepts a user-controlled `url` parameter without validation, and the `_send_webhook_request()` function in `mlflow/webhooks/delivery.py` sends HTTP POST requests to this attacker-controlled URL. This allows an authenticated attacker to force the MLflow backend to send HTTP requests to internal services, cloud metadata endpoints, or arbitrary external servers. The lack of input sanitization, URL scheme filtering, or allowlist validation on the webhook URL enables exploitation, potentially leading to cloud credential theft, internal network access, and data exfiltration.
Gravedad CVSS v3.1: ALTA
Última modificación:
11/05/2026

CVE-2026-2291
Fecha de publicación:
11/05/2026
Idioma:
Inglés
*** Pendiente de traducción *** dnsmasqs extract_name() function can be abused to cause a heap buffer overflow, allowing an attacker to inject false DNS cache entries, which could result in DNS lookups to redirect to an attacker-controlled IP address, or to cause a DoS.
Gravedad: Pendiente de análisis
Última modificación:
12/05/2026

CVE-2026-30635
Fecha de publicación:
11/05/2026
Idioma:
Inglés
*** Pendiente de traducción *** Command injection vulnerability in automagik-genie 2.5.27 MCP Server allows attackers to execute arbitrary commands via the view_task (aka view) in the readTranscriptFromCommit function in dist/mcp/server.js when a user reads from an external FORGE_BASE_URL.
Gravedad CVSS v3.1: ALTA
Última modificación:
12/05/2026

CVE-2026-34093
Fecha de publicación:
11/05/2026
Idioma:
Inglés
*** Pendiente de traducción *** Exposure of Sensitive Information to an Unauthorized Actor vulnerability in Wikimedia Foundation MediaWiki.<br /> <br /> This vulnerability is associated with program files includes/Specials/SpecialUserRights.Php.<br /> <br /> <br /> <br /> This issue affects MediaWiki: from * before 1.43.7, 1.44.4, 1.45.2.
Gravedad CVSS v4.0: BAJA
Última modificación:
12/05/2026

CVE-2026-44738
Fecha de publicación:
11/05/2026
Idioma:
Inglés
*** Pendiente de traducción *** Grav is a file-based Web platform. Prior to 2.0.0-rc.2, the Twig sandbox allow-list permits any user with the admin.pages role to call config.toArray() from within a page body, dumping the entire merged site configuration — including all plugin secrets (SMTP passwords, AWS keys, OAuth client secrets, API tokens) — into the rendered HTML. No administrator privileges are required. This vulnerability is fixed in 2.0.0-rc.2.
Gravedad CVSS v3.1: ALTA
Última modificación:
11/05/2026
Suscribirse a Vulnerabilidades