Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

017 - Ir a la línea de ayuda en Ciberseguridad    Ir a Agenda     Ir a Sala de prensa     Ir a suscripción de boletines

Ir al buscador

Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las últimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las últimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las últimas vulnerabilidades incorporadas al repositorio.

CVE-2026-53778
Fecha de publicación:
22/06/2026
Idioma:
Inglés
*** Pendiente de traducción *** Rejected reason: This CVE ID has been rejected or withdrawn by its CVE Numbering Authority.
Gravedad: Pendiente de análisis
Última modificación:
22/06/2026

CVE-2026-53663
Fecha de publicación:
22/06/2026
Idioma:
Inglés
*** Pendiente de traducción *** React Router is a router for React. From 7.12.0 until 7.15.1, certain CSRF checks in React Router v7 Framework Mode were insufficient and run on POST requests, but were bypassed on PUT/PATCH/DELETE requests. This is a low severity vulnerability because modern browser protections (CORS preflight, SameSite cookies) already block the cross-origin attack vectors that this missing CSRF check would otherwise gate. This vulnerability is fixed in 7.15.1.
Gravedad CVSS v3.1: BAJA
Última modificación:
23/06/2026

CVE-2026-53779
Fecha de publicación:
22/06/2026
Idioma:
Inglés
*** Pendiente de traducción *** WebP Server Go through 0.14.4 contains a path traversal vulnerability on Windows that allows unauthenticated attackers to read files outside the configured IMG_PATH directory by sending requests with percent-encoded backslashes (%5C) that bypass the path.Clean() sanitization in handler/router.go. Attackers can exploit the discrepancy between Go's forward-slash-only path normalization and Windows file system APIs that treat backslashes and forward slashes as equivalent to access arbitrary files on the host filesystem accessible to the server process.
Gravedad CVSS v4.0: ALTA
Última modificación:
14/07/2026

CVE-2026-50146
Fecha de publicación:
22/06/2026
Idioma:
Inglés
*** Pendiente de traducción *** Astro is a web framework. Prior to 6.3.3, when a component uses a client:* directive, Astro inserts named slot content into a data-astro-template attribute without HTML escaping the slot name allowing an attacker to break out of the attribute context and inject arbitrary HTML, resulting in reflected XSS during SSR. This vulnerability is fixed in 6.3.3.
Gravedad CVSS v3.1: ALTA
Última modificación:
23/06/2026

CVE-2026-11834
Fecha de publicación:
22/06/2026
Idioma:
Inglés
*** Pendiente de traducción *** A command<br /> injection vulnerability has been identified in the DHCP option processing logic<br /> in multiple TP-Link router models, due to insufficient validation of externally<br /> supplied DHCP option data. An adjacent attacker may exploit this<br /> vulnerability by supplying crafted DHCP responses, potentially resulting in unauthorized<br /> command execution during device initialization or provisioning workflows. This<br /> typically occurs when the device is in a factory-default or unconfigured state.<br /> <br /> <br /> <br /> <br /> <br /> Successful<br /> exploitation may allow an adjacent, unauthenticated attacker to execute<br /> arbitrary commands with elevated privileges, potentially leading to full<br /> compromise of the affected device and unauthorized administrative control.
Gravedad CVSS v4.0: ALTA
Última modificación:
26/06/2026

CVE-2026-55602
Fecha de publicación:
22/06/2026
Idioma:
Inglés
*** Pendiente de traducción *** http-proxy-middleware is node.js http-proxy middleware. From 0.16.0 until 2.0.10, 3.0.6, and 4.1.0, http-proxy-middleware documents router proxy-table entries as host, path, or host+path selectors, but the host+path implementation uses unanchored substring matching on attacker-controlled request metadata. As a result, a crafted Host header that is only a superstring match for a configured host+path key can still route a request to an unintended backend. This vulnerability is fixed in 2.0.10, 3.0.6, and 4.1.0.
Gravedad CVSS v4.0: MEDIA
Última modificación:
26/06/2026

CVE-2026-56109
Fecha de publicación:
22/06/2026
Idioma:
Inglés
*** Pendiente de traducción *** The Advanced Linux Sound Architecture (ALSA) library before 1.2.16.1 contains a double-free vulnerability in parse_def() in src/conf.c that allows attackers to corrupt memory by supplying maliciously crafted ALSA configuration text. When parsing nested compound or array configuration blocks, parse_def() fails to check return values before continuing, causing snd_config_delete() to be called twice on the same already-freed node, resulting in a NULL-pointer write or invalid memory read.
Gravedad CVSS v4.0: ALTA
Última modificación:
14/07/2026

CVE-2026-54287
Fecha de publicación:
22/06/2026
Idioma:
Inglés
*** Pendiente de traducción *** Hono is a Web application framework that provides support for any JavaScript runtime. Prior to 4.12.25, on AWS Lambda, the ALB single-header response and the VPC Lattice v2 response join multiple Set-Cookie headers into one comma-separated value. Because commas also appear inside cookie attributes (for example Expires dates), clients cannot split the value back into individual cookies and silently drop or misparse them. This vulnerability is fixed in 4.12.25.
Gravedad CVSS v3.1: MEDIA
Última modificación:
22/06/2026

CVE-2026-54289
Fecha de publicación:
22/06/2026
Idioma:
Inglés
*** Pendiente de traducción *** Hono is a Web application framework that provides support for any JavaScript runtime. Prior to 4.12.25, on AWS Lambda@Edge, CloudFront delivers a request header that appears more than once as several separate entries. The adapter writes each value with Headers.set instead of Headers.append, so every value overwrites the previous one and only the last reaches the application. Repeated request headers such as X-Forwarded-For, Forwarded, and Via are silently truncated to a single value. Request middleware sees only the last value of a repeated header instead of the full chain. For applications that base access control on the X-Forwarded-For chain, this can weaken or alter that decision; for auditing, hop history is lost. This vulnerability is fixed in 4.12.25.
Gravedad CVSS v3.1: MEDIA
Última modificación:
22/06/2026

CVE-2026-54290
Fecha de publicación:
22/06/2026
Idioma:
Inglés
*** Pendiente de traducción *** Hono is a Web application framework that provides support for any JavaScript runtime. Prior to 4.12.25, with credentials: true and no explicit origin (the default wildcard), the CORS Middleware reflects the request&amp;#39;s Origin and sends Access-Control-Allow-Credentials: true. Any site can then make credentialed cross-origin requests and read the responses, exposing cookie-authenticated endpoints to arbitrary origins. This vulnerability is fixed in 4.12.25.
Gravedad CVSS v3.1: ALTA
Última modificación:
22/06/2026

CVE-2026-54285
Fecha de publicación:
22/06/2026
Idioma:
Inglés
*** Pendiente de traducción *** opentelemetry-js is the OpenTelemetry JavaScript Client. Prior to 2.8.0, W3CBaggagePropagator.extract() in @opentelemetry/core does not enforce size limits when parsing inbound baggage HTTP headers. The W3C Baggage specification recommends a maximum of 8,192 bytes and 180 entries; these limits were only enforced on the outbound (inject()) path, not on the inbound (extract()) path. Parsing oversized baggage causes memory allocation proportional to the header size without any cap. This vulnerability is fixed in 2.8.0.
Gravedad CVSS v3.1: MEDIA
Última modificación:
23/06/2026

CVE-2026-55388
Fecha de publicación:
22/06/2026
Idioma:
Inglés
*** Pendiente de traducción *** piscina is a node.js worker pool implementation. Prior to 6.0.0-rc.2, 5.2.0, and 4.9.3, piscina&amp;#39;s constructor and run() paths read the filename option via plain member access. Both reads fall through the prototype chain when the caller&amp;#39;s options object doesn&amp;#39;t have filename as an own property. When Object.prototype.filename is polluted upstream the inherited value flows to worker_threads.Worker import and the attacker&amp;#39;s .mjs runs in the worker. This vulnerability is fixed in 6.0.0-rc.2, 5.2.0, and 4.9.3.
Gravedad CVSS v3.1: ALTA
Última modificación:
23/06/2026
Suscribirse a Vulnerabilidades