Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las últimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las últimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las últimas vulnerabilidades incorporadas al repositorio.

CVE-2026-56370

Fecha de publicación:

24/06/2026

Idioma:

Inglés

*** Pendiente de traducción *** ImageMagick before 7.1.2-19 contains an out-of-bounds access vulnerability in ConnectedComponentsImage() when processing connected-components artifacts with invalid indices. Attackers can trigger access violations by specifying malformed connected-components definitions via CLI, causing denial of service or potential code execution.

Gravedad CVSS v4.0: MEDIA

Última modificación:

26/06/2026

CVE-2026-56368

Fecha de publicación:

24/06/2026

Idioma:

Inglés

*** Pendiente de traducción *** ImageMagick before 7.1.2-15 contains a memory leak vulnerability in multiple coders that write raw pixel data where allocated objects are not properly freed. Attackers can trigger this leak by processing specially crafted images, causing memory exhaustion and denial of service.

Gravedad CVSS v4.0: MEDIA

Última modificación:

26/06/2026

CVE-2026-56310

Fecha de publicación:

24/06/2026

Idioma:

Inglés

*** Pendiente de traducción *** Cap-go before 12.128.2 contains an authorization bypass vulnerability in the GET /organization/members endpoint that allows org-limited API keys to bypass limited_to_orgs restrictions. Attackers with org-limited API keys can read membership data including uid, email, image_url, role, and is_tmp from organizations outside their assigned scope.

Gravedad CVSS v4.0: MEDIA

Última modificación:

25/06/2026

CVE-2026-56337

Fecha de publicación:

24/06/2026

Idioma:

Inglés

*** Pendiente de traducción *** Capgo before 12.128.2 contains an information disclosure vulnerability in the public.exist_app_v2 RPC function that allows unauthenticated attackers to enumerate app_ids by calling POST /rest/v1/rpc/exist_app_v2 with arbitrary appid parameters. Remote attackers can exploit this SECURITY DEFINER function to determine whether specific app_ids exist in the public.apps table, enabling cross-tenant app enumeration and privacy violations.

Gravedad CVSS v4.0: MEDIA

Última modificación:

25/06/2026

CVE-2026-56338

Fecha de publicación:

24/06/2026

Idioma:

Inglés

*** Pendiente de traducción *** Capgo before 12.128.2 contains a denial of service vulnerability in the /auth/v1/otp endpoint that prevents email verification for two-factor authentication due to captcha validation failures. Authenticated users cannot complete 2FA enrollment as the backend consistently returns HTTP 500 errors with captcha verification process failed messages, blocking access to security controls.

Gravedad CVSS v4.0: MEDIA

Última modificación:

25/06/2026

CVE-2026-56262

Fecha de publicación:

24/06/2026

Idioma:

Inglés

*** Pendiente de traducción *** Crawl4AI before 0.8.7 contains an authentication bypass vulnerability in the monitor router endpoints that allows unauthenticated attackers to access destructive operations. Remote attackers can invoke the /monitor/actions/cleanup endpoint and manipulate monitoring state without authentication, causing service disruption.

Gravedad CVSS v4.0: MEDIA

Última modificación:

26/06/2026

CVE-2026-56269

Fecha de publicación:

24/06/2026

Idioma:

Inglés

*** Pendiente de traducción *** Flowise before 3.1.0 (npm package flowise, versions 3.0.13 and earlier) uses a weak hardcoded default value &#39;Secre$t&#39; for the TOKEN_HASH_SECRET environment variable in packages/server/src/enterprise/utils/tempTokenUtils.ts when the variable is not configured. This secret derives the AES-256-CBC key used to encrypt user IDs and workspace IDs in the &#39;meta&#39; field of JWT tokens. An attacker who knows the default secret can decrypt this metadata to extract internal user and workspace identifiers, and re-encrypt manipulated values such as altered user or workspace IDs. Because the JWT signature is validated separately, decrypting or tampering with this metadata does not by itself grant access, but the disclosure of internal identifiers and possible metadata manipulation could aid privilege escalation or unauthorized data access.

Gravedad CVSS v4.0: MEDIA

Última modificación:

26/06/2026

CVE-2026-56270

Fecha de publicación:

24/06/2026

Idioma:

Inglés

*** Pendiente de traducción *** Flowise before 3.1.0 (versions 3.0.13 and earlier) contains a missing authentication vulnerability in the /api/v1/loginmethod endpoint that allows unauthenticated users to retrieve an organization&#39;s complete SSO configuration, including OAuth client secrets in cleartext, by providing an organizationId parameter. Remote attackers can send a GET request to harvest sensitive API credentials for Google, Microsoft/Azure, GitHub, and Auth0 integrations. This affects FlowiseAI Cloud and self-hosted instances where the endpoint is exposed.

Gravedad CVSS v4.0: ALTA

Última modificación:

26/06/2026

CVE-2026-56272

Fecha de publicación:

24/06/2026

Idioma:

Inglés

*** Pendiente de traducción *** Flowise before 3.0.13 uses bcrypt with default salt rounds of 5, providing only 32 iterations instead of the OWASP-recommended minimum of 10 rounds. Attackers can crack password hashes approximately 30 times faster with modern GPU hardware, potentially compromising all user accounts in a database breach scenario.

Gravedad CVSS v4.0: MEDIA

Última modificación:

26/06/2026

CVE-2026-56257

Fecha de publicación:

24/06/2026

Idioma:

Inglés

*** Pendiente de traducción *** Capgo before 12.128.2 allows direct patching of public.apps.owner_org through PostgREST, bypassing the transfer_app() workflow and creating split-brain ownership. Attackers can directly update apps.owner_org while leaving app_versions.owner_org unchanged, enabling old-org keys to retain access to version data while new-org keys control the app record.

Gravedad CVSS v4.0: ALTA

Última modificación:

25/06/2026

CVE-2026-56302

Fecha de publicación:

24/06/2026

Idioma:

Inglés

*** Pendiente de traducción *** Capgo before 12.128.2 contains an unsecured images bucket lacking any row level security controls, allowing unauthenticated attackers to read, insert, and delete stored app icons. Remote attackers can exploit this misconfiguration to delete all icons and leak sensitive app IDs and user IDs.

Gravedad CVSS v4.0: MEDIA

Última modificación:

25/06/2026

CVE-2026-56245

Fecha de publicación:

24/06/2026

Idioma:

Inglés

*** Pendiente de traducción *** Supabase Capgo before 12.128.2 contains an authorization bypass vulnerability in the SECURITY DEFINER record_build_time RPC function that allows unauthenticated attackers to insert arbitrary build-time records. Attackers can exploit this by calling POST /rest/v1/rpc/record_build_time with a public API key to poison billing and quota data for any organization, enabling resource exhaustion and cross-tenant billing manipulation.

Gravedad CVSS v4.0: ALTA

Última modificación:

25/06/2026

Suscribirse a Vulnerabilidades