Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

017 - Ir a la línea de ayuda en Ciberseguridad    Ir a Agenda     Ir a Sala de prensa     Ir a suscripción de boletines

Ir al buscador

Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las últimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las últimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las últimas vulnerabilidades incorporadas al repositorio.

CVE-2026-44791
Fecha de publicación:
23/06/2026
Idioma:
Inglés
*** Pendiente de traducción *** n8n is an open source workflow automation platform. Prior to 1.123.43, 2.22.1, and 2.20.7, an authenticated user with permission to create or modify workflows could bypass the patch for CVE-2026-42232 in the XML node. When combined with other nodes, this could lead to RCE on the n8n host. This vulnerability is fixed in 1.123.43, 2.22.1, and 2.20.7.
Gravedad CVSS v4.0: CRÍTICA
Última modificación:
24/06/2026

CVE-2026-44789
Fecha de publicación:
23/06/2026
Idioma:
Inglés
*** Pendiente de traducción *** n8n is an open source workflow automation platform. Prior to 1.123.43, 2.22.1, and 2.20.7, an authenticated user with permission to create or modify workflows could achieve global prototype pollution via an unvalidated pagination parameter in the HTTP Request node. Combined with other techniques this could lead to RCE on the instance. This vulnerability is fixed in 1.123.43, 2.22.1, and 2.20.7.
Gravedad CVSS v4.0: CRÍTICA
Última modificación:
24/06/2026

CVE-2026-44957
Fecha de publicación:
23/06/2026
Idioma:
Inglés
*** Pendiente de traducción *** A missing access control check when invoking various modify methods in the XML‑RPC API of Revive Adserver 6.0.6 and earlier. The API allowed entities to be reassigned to different parent entities, leading to inconsistent ownership relationships. This issue was exploitable only in combination with CVE‑2026‑34917 or with third‑party API extensions that expose API functionality to low‑privileged users. Access control checks have been added to validate access to parent entities in the API modify methods.
Gravedad CVSS v3.1: MEDIA
Última modificación:
23/06/2026

CVE-2026-42867
Fecha de publicación:
23/06/2026
Idioma:
Inglés
*** Pendiente de traducción *** Langflow is a tool for building and deploying AI-powered agents and workflows. Prior to 1.9.0, Langflow is vulnerable to Path Traversal in the Knowledge Bases API (POST /api/v1/knowledge_bases). This occurs because user-supplied knowledge base names are used directly to create file paths without proper sanitization or containment checks. An authenticated attacker can exploit this flaw to create directories and write files anywhere on the server's filesystem. This vulnerability is fixed in 1.9.0.
Gravedad CVSS v3.1: MEDIA
Última modificación:
26/06/2026

CVE-2026-34912
Fecha de publicación:
23/06/2026
Idioma:
Inglés
*** Pendiente de traducción *** A missing access control check when linking banners or campaigns to a zone through the zone-include.php script of Revive Adserver 6.0.6 and earlier, or via its API allows a low‑privileged user could link their zones to banners or campaigns owned by other managers on the same instance, resulting in inconsistent ownership relationships. Ownership validation has been added to ensure that banners and campaigns can only be linked to zones managed by the same account.
Gravedad CVSS v3.1: MEDIA
Última modificación:
23/06/2026

CVE-2026-34913
Fecha de publicación:
23/06/2026
Idioma:
Inglés
*** Pendiente de traducción *** A missing access control check when linking trackers to campaigns through the campaign-trackers.php script of Revive Adserver 6.0.6 and earlier could allow a low‑privileged user to link their trackers to campaigns owned by other managers on the same instance, resulting in inconsistent ownership relationships. Ownership validation has been added to ensure that campaigns can only be linked to trackers owned by the same advertiser.
Gravedad CVSS v3.1: MEDIA
Última modificación:
23/06/2026

CVE-2026-34914
Fecha de publicación:
23/06/2026
Idioma:
Inglés
*** Pendiente de traducción *** A missing sanitisation of user input in the zone-include.php script of Revive Adserver 6.0.6 and earlier. A low‑privileged user could exploit the clientid parameter to perform blind SQL injection attacks. Input sanitisation has been improved to ensure that all parameters processed by the script are properly validated.
Gravedad CVSS v3.1: ALTA
Última modificación:
23/06/2026

CVE-2026-34915
Fecha de publicación:
23/06/2026
Idioma:
Inglés
*** Pendiente de traducción *** A missing sanitisation of user input in the zone-include.php script of Revive Adserver 6.0.6 and earlier could allow a low‑privileged user to exploit the clientid parameter to perform blind SQL injection attacks. Input sanitisation has been improved to ensure that all parameters processed by the script are properly validated.
Gravedad CVSS v3.1: MEDIA
Última modificación:
23/06/2026

CVE-2026-34916
Fecha de publicación:
23/06/2026
Idioma:
Inglés
*** Pendiente de traducción *** A missing validation of user input when saving delivery limitations in Revive Adserver 6.0.6 and earlier could allow a low‑privileged user to use the logical parameter to inject malicious PHP code into the compiledlimitations field on the database and have it executed during banner delivery. Input sanitisation has been improved to ensure that the parameter is properly validated.
Gravedad CVSS v3.1: ALTA
Última modificación:
23/06/2026

CVE-2026-33760
Fecha de publicación:
23/06/2026
Idioma:
Inglés
*** Pendiente de traducción *** Langflow is a tool for building and deploying AI-powered agents and workflows. Prior to 1.9.0, Langflow's /api/v1/monitor router exposes 7 endpoints that perform read, write, and delete operations on user-owned resources — messages, sessions, build artifacts, and LLM transaction logs — without verifying that the authenticated requester owns the targeted resource. Any authenticated user can read, modify, rename, or permanently delete another user's data by supplying the target's resource ID or flow_id. This is a classic IDOR/BOLA vulnerability. Notably, the same source file (monitor.py) contains one correctly-implemented endpoint that uses an ownership check, demonstrating the correct pattern was known but inconsistently applied. This vulnerability is fixed in 1.9.0.
Gravedad CVSS v3.1: ALTA
Última modificación:
26/06/2026

CVE-2026-12958
Fecha de publicación:
23/06/2026
Idioma:
Inglés
*** Pendiente de traducción *** Missing symlink validation in Language Servers for AWS may allow an arbitrary file write outside of the workspace trust boundary. This may occur when a local user opens a workspace with a maliciously crafted symlink that resolves to a file path outside the workspace trust boundary.<br /> <br /> <br /> <br /> To remediate this issue, users should upgrade to version 1.69.0 or higher.
Gravedad CVSS v4.0: ALTA
Última modificación:
23/06/2026

CVE-2026-12957
Fecha de publicación:
23/06/2026
Idioma:
Inglés
*** Pendiente de traducción *** Improper trust boundary enforcement in Language Servers for AWS before version 1.65.0 on all supported platforms may allow a for arbitrary code execution. If a local user opens a maliciously crafted workspace, any commands within the project configuration files may be automatically executed. This issue requires the user to trust the workspace when prompted.<br /> <br /> <br /> <br /> To remediate this issue, users should upgrade to Language Servers for AWS version 1.65.0 or higher.
Gravedad CVSS v4.0: ALTA
Última modificación:
23/06/2026
Suscribirse a Vulnerabilidades