Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las ultimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las ultimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las ultimas vulnerabilidades incorporadas al repositorio.

CVE-2026-5983

Fecha de publicación:

09/04/2026

Idioma:

Inglés

*** Pendiente de traducción *** A vulnerability was determined in D-Link DIR-605L 2.13B01. This issue affects the function formSetDDNS of the file /goform/formSetDDNS of the component POST Request Handler. Executing a manipulation of the argument curTime can lead to buffer overflow. The attack can be executed remotely. The exploit has been publicly disclosed and may be utilized. This vulnerability only affects products that are no longer supported by the maintainer.

Gravedad CVSS v4.0: ALTA

Última modificación:

09/04/2026

CVE-2026-5984

Fecha de publicación:

09/04/2026

Idioma:

Inglés

*** Pendiente de traducción *** A vulnerability was identified in D-Link DIR-605L 2.13B01. Impacted is the function formSetLog of the file /goform/formSetLog of the component POST Request Handler. The manipulation of the argument curTime leads to buffer overflow. The attack is possible to be carried out remotely. The exploit is publicly available and might be used. This vulnerability only affects products that are no longer supported by the maintainer.

Gravedad CVSS v4.0: ALTA

Última modificación:

09/04/2026

CVE-2026-40151

Fecha de publicación:

09/04/2026

Idioma:

Inglés

*** Pendiente de traducción *** PraisonAI is a multi-agent teams system. Prior to 4.5.128, the AgentOS deployment platform exposes a GET /api/agents endpoint that returns agent names, roles, and the first 100 characters of agent system instructions to any unauthenticated caller. The AgentOS FastAPI application has no authentication middleware, no API key validation, and defaults to CORS allow_origins=["*"] with host="0.0.0.0", making every deployment network-accessible and queryable from any origin by default. This vulnerability is fixed in 4.5.128.

Gravedad CVSS v3.1: MEDIA

Última modificación:

09/04/2026

CVE-2026-40152

Fecha de publicación:

09/04/2026

Idioma:

Inglés

*** Pendiente de traducción *** PraisonAIAgents is a multi-agent teams system. Prior to 1.5.128, he list_files() tool in FileTools validates the directory parameter against workspace boundaries via _validate_path(), but passes the pattern parameter directly to Path.glob() without any validation. Since Python&#39;s Path.glob() supports .. path segments, an attacker can use relative path traversal in the glob pattern to enumerate arbitrary files outside the workspace, obtaining file metadata (existence, name, size, timestamps) for any path on the filesystem. This vulnerability is fixed in 1.5.128.

Gravedad CVSS v3.1: MEDIA

Última modificación:

09/04/2026

CVE-2026-40153

Fecha de publicación:

09/04/2026

Idioma:

Inglés

*** Pendiente de traducción *** PraisonAIAgents is a multi-agent teams system. Prior to 1.5.128, the execute_command function in shell_tools.py calls os.path.expandvars() on every command argument at line 64, manually re-implementing shell-level environment variable expansion despite using shell=False (line 88) for security. This allows exfiltration of secrets stored in environment variables (database credentials, API keys, cloud access keys). The approval system displays the unexpanded $VAR references to human reviewers, creating a deceptive approval where the displayed command differs from what actually executes. This vulnerability is fixed in 1.5.128.

Gravedad CVSS v3.1: ALTA

Última modificación:

09/04/2026

CVE-2026-40154

Fecha de publicación:

09/04/2026

Idioma:

Inglés

*** Pendiente de traducción *** PraisonAI is a multi-agent teams system. Prior to 4.5.128, PraisonAI treats remotely fetched template files as trusted executable code without integrity verification, origin validation, or user confirmation, enabling supply chain attacks through malicious templates. This vulnerability is fixed in 4.5.128.

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

09/04/2026

CVE-2026-5263

Fecha de publicación:

09/04/2026

Idioma:

Inglés

*** Pendiente de traducción *** URI nameConstraints from constrained intermediate CAs are parsed but not enforced during certificate chain verification in wolfcrypt/src/asn.c. A compromised or malicious sub-CA could issue leaf certificates with URI SAN entries that violate the nameConstraints of the issuing CA, and wolfSSL would accept them as valid.

Gravedad CVSS v4.0: ALTA

Última modificación:

09/04/2026

CVE-2026-5264

Fecha de publicación:

09/04/2026

Idioma:

Inglés

*** Pendiente de traducción *** Heap buffer overflow in DTLS 1.3 ACK message processing. A remote attacker can send a crafted DTLS 1.3 ACK message that triggers a heap buffer overflow.

Gravedad CVSS v4.0: ALTA

Última modificación:

09/04/2026

CVE-2026-5772

Fecha de publicación:

09/04/2026

Idioma:

Inglés

*** Pendiente de traducción *** A 1-byte stack buffer over-read was identified in the MatchDomainName function (src/internal.c) during wildcard hostname validation when the LEFT_MOST_WILDCARD_ONLY flag is active. If a wildcard * exhausts the entire hostname string, the function reads one byte past the buffer without a bounds check, which could cause a crash.

Gravedad CVSS v4.0: BAJA

Última modificación:

09/04/2026

CVE-2026-40114

Fecha de publicación:

09/04/2026

Idioma:

Inglés

*** Pendiente de traducción *** PraisonAI is a multi-agent teams system. Prior to 4.5.128, the /api/v1/runs endpoint accepts an arbitrary webhook_url in the request body with no URL validation. When a submitted job completes (success or failure), the server makes an HTTP POST request to this URL using httpx.AsyncClient. An unauthenticated attacker can use this to make the server send POST requests to arbitrary internal or external destinations, enabling SSRF against cloud metadata services, internal APIs, and other network-adjacent services. This vulnerability is fixed in 4.5.128.

Gravedad CVSS v3.1: ALTA

Última modificación:

09/04/2026

CVE-2026-40115

Fecha de publicación:

09/04/2026

Idioma:

Inglés

*** Pendiente de traducción *** PraisonAI is a multi-agent teams system. Prior to 4.5.128, the WSGI-based recipe registry server (server.py) reads the entire HTTP request body into memory based on the client-supplied Content-Length header with no upper bound. Combined with authentication being disabled by default (no token configured), any local process can send arbitrarily large POST requests to exhaust server memory and cause a denial of service. The Starlette-based server (serve.py) has RequestSizeLimitMiddleware with a 10MB limit, but the WSGI server lacks any equivalent protection. This vulnerability is fixed in 4.5.128.

Gravedad CVSS v3.1: MEDIA

Última modificación:

09/04/2026

CVE-2026-40116

Fecha de publicación:

09/04/2026

Idioma:

Inglés

*** Pendiente de traducción *** PraisonAI is a multi-agent teams system. Prior to 4.5.128, the /media-stream WebSocket endpoint in PraisonAI&#39;s call module accepts connections from any client without authentication or Twilio signature validation. Each connection opens an authenticated session to OpenAI&#39;s Realtime API using the server&#39;s API key. There are no limits on concurrent connections, message rate, or message size, allowing an unauthenticated attacker to exhaust server resources and drain the victim&#39;s OpenAI API credits. This vulnerability is fixed in 4.5.128.

Gravedad CVSS v3.1: ALTA

Última modificación:

09/04/2026

Suscribirse a Vulnerabilidades