Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las últimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las últimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las últimas vulnerabilidades incorporadas al repositorio.

CVE-2026-54285

Fecha de publicación:

22/06/2026

Idioma:

Inglés

*** Pendiente de traducción *** opentelemetry-js is the OpenTelemetry JavaScript Client. Prior to 2.8.0, W3CBaggagePropagator.extract() in @opentelemetry/core does not enforce size limits when parsing inbound baggage HTTP headers. The W3C Baggage specification recommends a maximum of 8,192 bytes and 180 entries; these limits were only enforced on the outbound (inject()) path, not on the inbound (extract()) path. Parsing oversized baggage causes memory allocation proportional to the header size without any cap. This vulnerability is fixed in 2.8.0.

Gravedad CVSS v3.1: MEDIA

Última modificación:

23/06/2026

CVE-2026-55388

Fecha de publicación:

22/06/2026

Idioma:

Inglés

*** Pendiente de traducción *** piscina is a node.js worker pool implementation. Prior to 6.0.0-rc.2, 5.2.0, and 4.9.3, piscina&#39;s constructor and run() paths read the filename option via plain member access. Both reads fall through the prototype chain when the caller&#39;s options object doesn&#39;t have filename as an own property. When Object.prototype.filename is polluted upstream the inherited value flows to worker_threads.Worker import and the attacker&#39;s .mjs runs in the worker. This vulnerability is fixed in 6.0.0-rc.2, 5.2.0, and 4.9.3.

Gravedad CVSS v3.1: ALTA

Última modificación:

23/06/2026

CVE-2026-54286

Fecha de publicación:

22/06/2026

Idioma:

Inglés

*** Pendiente de traducción *** Hono is a Web application framework that provides support for any JavaScript runtime. Prior to 4.12.25, on Windows hosts, an encoded backslash (%5C) in the request path decodes to \, which the Windows path resolver treats as a separator. serve-static then resolves a single URL segment such as admin\secret.txt into a nested file under the root and serves it, letting an attacker read static files meant to be protected behind prefix-mounted middleware. This vulnerability is fixed in 4.12.25.

Gravedad CVSS v3.1: MEDIA

Última modificación:

23/06/2026

CVE-2026-54283

Fecha de publicación:

22/06/2026

Idioma:

Inglés

*** Pendiente de traducción *** Starlette is a lightweight ASGI framework/toolkit. From 0.4.1 until 1.3.1, request.form() accepts max_fields and max_part_size to bound resource consumption while parsing form data. These limits are enforced for multipart/form-data, but silently ignored for application/x-www-form-urlencoded. An unauthenticated attacker can therefore send a urlencoded body with an arbitrarily large number of fields or an arbitrarily large field, even when the application configured limits it believed would apply. This vulnerability is fixed in 1.3.1.

Gravedad CVSS v3.1: ALTA

Última modificación:

26/06/2026

CVE-2026-54282

Fecha de publicación:

22/06/2026

Idioma:

Inglés

*** Pendiente de traducción *** Starlette is a lightweight ASGI framework/toolkit. Prior to 1.3.0, the HTTP request path is not validated before being used to reconstruct request.url. Because request.url is rebuilt by concatenating {scheme}://{host}{path} and re-parsing the result, a path that does not begin with / (for example @google.com) moves the authority boundary during re-parsing, so request.url.hostname and request.url.netloc become attacker-controlled. Code that reads request.url.hostname (rather than the Host header or scope) can therefore be misled into trusting an attacker-supplied host. This vulnerability is fixed in 1.3.0.

Gravedad CVSS v3.1: BAJA

Última modificación:

26/06/2026

CVE-2026-54278

Fecha de publicación:

22/06/2026

Idioma:

Inglés

*** Pendiente de traducción *** AIOHTTP is an asynchronous HTTP client/server framework for asyncio and Python. Prior to 3.14.1, during cleanup it is possible for a compressed request body to be decompressed into memory in one chunk. An attacker may be able to send a compressed payload in specific situations that could be decompressed into memory, potentially leading to DoS (a zip bomb edge case). This vulnerability is fixed in 3.14.1.

Gravedad CVSS v4.0: MEDIA

Última modificación:

26/06/2026

CVE-2026-54280

Fecha de publicación:

22/06/2026

Idioma:

Inglés

*** Pendiente de traducción *** AIOHTTP is an asynchronous HTTP client/server framework for asyncio and Python. Prior to 3.14.1, payload resources are not closed correctly when a client disconnects in the middle of a write. If a payload is using an open file or similar limited resource, then an attacker may be able to cause resource starvation temporarily until garbage collection or similar closes the file. This vulnerability is fixed in 3.14.1.

Gravedad CVSS v4.0: BAJA

Última modificación:

26/06/2026

CVE-2026-54279

Fecha de publicación:

22/06/2026

Idioma:

Inglés

*** Pendiente de traducción *** AIOHTTP is an asynchronous HTTP client/server framework for asyncio and Python. Prior to 3.14.1, host-only cookies that are saved with CookieJar.save() and then restored later with CookieJar.load() lose their host-only status. This vulnerability is fixed in 3.14.1.

Gravedad CVSS v4.0: BAJA

Última modificación:

26/06/2026

CVE-2026-54275

Fecha de publicación:

22/06/2026

Idioma:

Inglés

*** Pendiente de traducción *** AIOHTTP is an asynchronous HTTP client/server framework for asyncio and Python. Prior to 3.14.1, the server_hostname TLS SNI check can be bypassed when an existing connection is reused. If an application makes multiple requests to the same domain, but with different per-request server_hostname parameters, then the later calls may succeed by reusing the existing connection when they should have been rejected due to the TLS SNI check. This vulnerability is fixed in 3.14.1.

Gravedad CVSS v4.0: BAJA

Última modificación:

26/06/2026

CVE-2026-54277

Fecha de publicación:

22/06/2026

Idioma:

Inglés

*** Pendiente de traducción *** AIOHTTP is an asynchronous HTTP client/server framework for asyncio and Python. Prior to 3.14.1, it is possible to bypass the max_line_size check in parts of an HTTP request in the C parser. If using the optimised C parser (the default in pre-built wheels), then an attacker may be able to send oversized lines through the HTTP parser and use an excessive amount of memory, potentially leading to DoS. This vulnerability is fixed in 3.14.1.

Gravedad CVSS v4.0: MEDIA

Última modificación:

30/06/2026

CVE-2026-54276

Fecha de publicación:

22/06/2026

Idioma:

Inglés

*** Pendiente de traducción *** AIOHTTP is an asynchronous HTTP client/server framework for asyncio and Python. Prior to 3.14.1, DigestAuthMiddleware can send an authentication response after following a cross-origin redirect. This likely requires an open redirect vulnerability or similar on the target domain for an attacker to be able to execute. Further, the attacker is only receiving the digest, so should only be able to extract the user&#39;s credentials if the cryptography is weak or there is some kind of password reuse. This vulnerability is fixed in 3.14.1.

Gravedad CVSS v4.0: MEDIA

Última modificación:

30/06/2026

CVE-2026-54274

Fecha de publicación:

22/06/2026

Idioma:

Inglés

*** Pendiente de traducción *** AIOHTTP is an asynchronous HTTP client/server framework for asyncio and Python. Prior to 3.14.1, if an attacker sends large incomplete websocket frame payloads, it may be possible to bypass the usual size limits on memory use. This vulnerability is fixed in 3.14.1.

Gravedad CVSS v4.0: MEDIA

Última modificación:

26/06/2026

Suscribirse a Vulnerabilidades