Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las ultimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las ultimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las ultimas vulnerabilidades incorporadas al repositorio.

CVE-2026-40242

Fecha de publicación:

10/04/2026

Idioma:

Inglés

*** Pendiente de traducción *** Arcane is an interface for managing Docker containers, images, networks, and volumes. Prior to 1.17.3, the /api/templates/fetch endpoint accepts a caller-supplied url parameter and performs a server-side HTTP GET request to that URL without authentication and without URL scheme or host validation. The server&#39;s response is returned directly to the caller. type. This constitutes an unauthenticated SSRF vulnerability affecting any publicly reachable Arcane instance. This vulnerability is fixed in 1.17.3.

Gravedad CVSS v3.1: ALTA

Última modificación:

13/04/2026

CVE-2026-40191

Fecha de publicación:

10/04/2026

Idioma:

Inglés

*** Pendiente de traducción *** ClearanceKit intercepts file-system access events on macOS and enforces per-process access policies. Prior to 5.0.4-beta-1f46165, ClearanceKit&#39;s Endpoint Security event handler only checked the source path of dual-path file operations against File Access Authorization (FAA) rules and App Jail policies. The destination path was ignored entirely. This allowed any local process to bypass file-access protection by using rename, link, copyfile, exchangedata, or clone operations to place or replace files inside protected directories. This vulnerability is fixed in 5.0.4-beta-1f46165.

Gravedad CVSS v4.0: MEDIA

Última modificación:

16/04/2026

CVE-2026-40190

Fecha de publicación:

10/04/2026

Idioma:

Inglés

*** Pendiente de traducción *** LangSmith Client SDKs provide SDK&#39;s for interacting with the LangSmith platform. Prior to 0.5.18, the LangSmith JavaScript/TypeScript SDK (langsmith) contains an incomplete prototype pollution fix in its internally vendored lodash set() utility. The baseAssignValue() function only guards against the __proto__ key, but fails to prevent traversal via constructor.prototype. This allows an attacker who controls keys in data processed by the createAnonymizer() API to pollute Object.prototype, affecting all objects in the Node.js process. This vulnerability is fixed in 0.5.18.

Gravedad CVSS v3.1: MEDIA

Última modificación:

13/04/2026

CVE-2026-40189

Fecha de publicación:

10/04/2026

Idioma:

Inglés

*** Pendiente de traducción *** goshs is a SimpleHTTPServer written in Go. Prior to 2.0.0-beta.4, goshs enforces the documented per-folder .goshs ACL/basic-auth mechanism for directory listings and file reads, but it does not enforce the same authorization checks for state-changing routes. An unauthenticated attacker can upload files with PUT, upload files with multipart POST /upload, create directories with ?mkdir, and delete files with ?delete inside a .goshs-protected directory. By deleting the .goshs file itself, the attacker can remove the folder&#39;s auth policy and then access previously protected content without credentials. This results in a critical authorization bypass affecting confidentiality, integrity, and availability. This vulnerability is fixed in 2.0.0-beta.4.

Gravedad CVSS v4.0: CRÍTICA

Última modificación:

14/04/2026

CVE-2026-40188

Fecha de publicación:

10/04/2026

Idioma:

Inglés

*** Pendiente de traducción *** goshs is a SimpleHTTPServer written in Go. From 1.0.7 to before 2.0.0-beta.4, the SFTP command rename sanitizes only the source path and not the destination, so it is possible to write outside of the root directory of the SFTP. This vulnerability is fixed in 2.0.0-beta.4.

Gravedad CVSS v3.1: ALTA

Última modificación:

14/04/2026

CVE-2026-40178

Fecha de publicación:

10/04/2026

Idioma:

Inglés

*** Pendiente de traducción *** ajenti.plugin.core defines all necessary core elements to allow Ajenti to run properly. Prior to 0.112, if the 2FA was activated, it was possible during a short moment after the authentication of an user to bypass its authentication. This vulnerability is fixed in 0.112.

Gravedad CVSS v4.0: MEDIA

Última modificación:

13/04/2026

CVE-2026-40184

Fecha de publicación:

10/04/2026

Idioma:

Inglés

*** Pendiente de traducción *** TREK is a collaborative travel planner. Prior to 2.7.2, TREK served uploaded photos without requiring authentication. This vulnerability is fixed in 2.7.2.

Gravedad CVSS v3.1: BAJA

Última modificación:

13/04/2026

CVE-2026-40185

Fecha de publicación:

10/04/2026

Idioma:

Inglés

*** Pendiente de traducción *** TREK is a collaborative travel planner. Prior to 2.7.2, TREK was missing authorization checks on the Immich trip photo management routes. This vulnerability is fixed in 2.7.2.

Gravedad CVSS v3.1: ALTA

Última modificación:

13/04/2026

CVE-2026-40180

Fecha de publicación:

10/04/2026

Idioma:

Inglés

*** Pendiente de traducción *** Quarkus OpenAPI Generator is Quarkus&#39; extensions for generation of Rest Clients and server stubs generation. Prior to 2.16.0 and 2.15.0-lts, the unzip() method in ApicurioCodegenWrapper.java extracts ZIP entries without validating that the resolved file path stays within the intended output directory. At line 101, the destination is constructed as new File(toOutputDir, entry.getName()) and the content is written immediately. A malicious ZIP archive containing entries with path traversal sequences (e.g., ../../malicious.java) would write files outside the target directory. This vulnerability is fixed in 2.16.0 and 2.15.0-lts.

Gravedad CVSS v4.0: ALTA

Última modificación:

13/04/2026

CVE-2026-40168

Fecha de publicación:

10/04/2026

Idioma:

Inglés

*** Pendiente de traducción *** Postiz is an AI social media scheduling tool. Prior to 2.21.5, the /api/public/stream endpoint is vulnerable to SSRF. Although the application validates the initially supplied URL and blocks direct private/internal hosts, it does not re-validate the final destination after HTTP redirects. As a result, an attacker can supply a public HTTPS URL that passes validation and then redirects the server-side request to an internal resource.

Gravedad CVSS v3.1: ALTA

Última modificación:

14/04/2026

CVE-2026-40177

Fecha de publicación:

10/04/2026

Idioma:

Inglés

*** Pendiente de traducción *** ajenti.plugin.core defines all necessary core elements to allow Ajenti to run properly. Prior to 0.112, if the 2FA was activated, it was possible to bypass the password authentication This vulnerability is fixed in 0.112.

Gravedad CVSS v4.0: CRÍTICA

Última modificación:

13/04/2026

CVE-2026-39921

Fecha de publicación:

10/04/2026

Idioma:

Inglés

*** Pendiente de traducción *** GeoNode versions 4.0 before 4.4.5 and 5.0 before 5.0.2 contain a server-side request forgery vulnerability that allows authenticated users with document upload permissions to trigger arbitrary outbound HTTP requests by providing a malicious URL via the doc_url parameter during document upload. Attackers can supply URLs pointing to internal network targets, loopback addresses, RFC1918 addresses, or cloud metadata services to cause the server to make requests to internal resources without SSRF mitigations such as private IP filtering or redirect validation.

Gravedad CVSS v4.0: MEDIA

Última modificación:

16/04/2026

Suscribirse a Vulnerabilidades