Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

017 - Ir a la línea de ayuda en Ciberseguridad    Ir a Agenda     Ir a Sala de prensa     Ir a suscripción de boletines

Ir al buscador

Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las últimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las últimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las últimas vulnerabilidades incorporadas al repositorio.

CVE-2026-10153
Fecha de publicación:
30/05/2026
Idioma:
Español
Se ha encontrado una vulnerabilidad en westboy CicadasCMS hasta 2431154dac8d0735e04f1fd2a3c3556668fc8dab. La función Search del archivo org/springframework/cache/support/AbstractCacheManager.java se ve afectada. Esta manipulación del argumento s causa cross site scripting. La explotación remota del ataque es posible. El exploit ha sido publicado y puede ser utilizado. Este producto sigue un enfoque de lanzamiento continuo (rolling release) para la entrega continua, por lo que no se proporcionan detalles de la versión para las versiones afectadas o actualizadas. Se informó al proyecto del problema con antelación a través de un informe de incidencias, pero aún no ha respondido.
Gravedad CVSS v4.0: BAJA
Última modificación:
22/07/2026

CVE-2026-10152
Fecha de publicación:
30/05/2026
Idioma:
Español
Una vulnerabilidad fue detectada en TaleLin lin-cms-spring-boot hasta 0.2.1. Este problema afecta a un procesamiento desconocido del archivo src/main/java/io/github/talelin/latticy/controller/v1/BookController.java del componente book Endpoint. La manipulación resulta en controles de acceso inadecuados. El ataque puede lanzarse de forma remota. El exploit ahora es público y puede usarse. Se informó al proyecto del problema con antelación a través de un informe de incidencias, pero aún no ha respondido.
Gravedad CVSS v4.0: BAJA
Última modificación:
22/07/2026

CVE-2026-10127
Fecha de publicación:
30/05/2026
Idioma:
Español
Se ha identificado una debilidad en Edimax BR-6478AC 1.23. Esto afecta a la función formStaDrvSetup del archivo /goform/formStaDrvSetup del componente Gestor de Solicitudes POST. Esta manipulación del argumento rootAPmac causa inyección de comandos. El ataque puede iniciarse de forma remota. El exploit se ha hecho público y podría ser utilizado para ataques.
Gravedad CVSS v4.0: BAJA
Última modificación:
22/07/2026

CVE-2026-10126
Fecha de publicación:
30/05/2026
Idioma:
Español
Se ha descubierto una vulnerabilidad de seguridad en Edimax BR-6478AC 1.23. Este problema afecta a la función formQoS del archivo /goform/formQoS del componente Gestor de Solicitudes POST. La manipulación del argumento selSSID provoca un desbordamiento de búfer. El ataque puede lanzarse remotamente. El exploit se ha hecho público y puede utilizarse para ataques.
Gravedad CVSS v4.0: ALTA
Última modificación:
22/07/2026

CVE-2026-8594
Fecha de publicación:
30/05/2026
Idioma:
Español
Las versiones de Text::LineFold hasta la 2019.001 para Perl duplican la salida basándose en el número de caracteres de salto especiales.<br /> <br /> Text::LineFold divide la cadena de entrada por caracteres de salto de línea específicos (como VT, FF y otros) en segmentos, pero aplica la función de salto a la cadena completa, no solo al segmento.<br /> <br /> Un efecto secundario de esto es que la entrada completa puede duplicarse para cada segmento. Además de ser incorrecto, esto puede llevar a un consumo inesperado de recursos y una posible denegación de servicio.<br /> <br /> Tenga en cuenta que Text::LineFold forma parte de la distribución Unicode-LineBreak, la cual puede tener un número de versión superior al del módulo.
Gravedad CVSS v3.1: MEDIA
Última modificación:
22/07/2026

CVE-2026-10121
Fecha de publicación:
30/05/2026
Idioma:
Español
Se ha encontrado una falla en TRENDnet TEW-432BRP 3.10B20. El elemento afectado es la función formSetUrlFilter del archivo /goform/formSetUrlFilter. Esta manipulación del argumento keyword_list/keyword causa desbordamiento de búfer basado en pila. El ataque es posible de llevar a cabo de forma remota. El exploit ha sido publicado y puede ser usado. El proveedor explica: &amp;#39;Este producto ha estado EOL durante 15 años (desde 2009). Dado que el artículo ha estado EOL durante tanto tiempo, no podemos replicar ni solucionar ninguna vulnerabilidad.&amp;#39; Esta vulnerabilidad solo afecta a productos que ya no tienen soporte por parte del mantenedor.
Gravedad CVSS v4.0: ALTA
Última modificación:
22/07/2026

CVE-2026-10122
Fecha de publicación:
30/05/2026
Idioma:
Español
Se ha encontrado una vulnerabilidad en TRENDnet TEW-432BRP 3.10B20. Esto afecta la función formSetProtocolFilter del archivo /goform/formSetProtocolFilter. Dicha manipulación del argumento protocol_name conduce a desbordamiento de búfer basado en pila. El ataque puede realizarse de forma remota. El exploit se ha divulgado al público y puede usarse. El proveedor explica: &amp;#39;Este producto ha estado EOL durante 15 años (desde 2009). Dado que el artículo ha estado EOL durante tanto tiempo, no podemos replicar ni solucionar ninguna vulnerabilidad.&amp;#39; Esta vulnerabilidad solo afecta a productos que ya no tienen soporte por parte del mantenedor.
Gravedad CVSS v4.0: ALTA
Última modificación:
22/07/2026

CVE-2026-10123
Fecha de publicación:
30/05/2026
Idioma:
Español
Una vulnerabilidad fue encontrada en TRENDnet TEW-432BRP 3.10B20. Esto afecta la función formSetDomainFilter del archivo /goform/formSetDomainFilter. Realizar una manipulación del argumento blocked_domain/permitted_domain/blocked_domain_list/permitted_domain_list resulta en desbordamiento de búfer basado en pila. Es posible iniciar el ataque remotamente. El exploit ha sido hecho público y podría ser usado. El proveedor explica: &amp;#39;Este producto ha estado EOL por 15 años (desde 2009). Dado que el artículo ha estado EOL por tanto tiempo, no podemos replicar o arreglar ninguna vulnerabilidad.&amp;#39; Esta vulnerabilidad solo afecta productos que ya no son soportados por el mantenedor.
Gravedad CVSS v4.0: ALTA
Última modificación:
22/07/2026

CVE-2026-10124
Fecha de publicación:
30/05/2026
Idioma:
Español
Se determinó una vulnerabilidad en Shibby Tomato hasta la versión 1.28. La función afectada es rip_zebra_read_ipv4 del archivo /usr/sbin/ripd del componente Zserv Gestor. La ejecución de una manipulación puede conducir a un desbordamiento de búfer basado en pila. Es posible lanzar el ataque remotamente. El exploit ha sido divulgado públicamente y puede ser utilizado. Este proyecto es superado por FreshTomato. Esta vulnerabilidad solo afecta a productos que ya no son compatibles con el mantenedor.
Gravedad CVSS v4.0: ALTA
Última modificación:
22/07/2026

CVE-2026-10125
Fecha de publicación:
30/05/2026
Idioma:
Español
Una vulnerabilidad fue identificada en Edimax BR-6478AC 1.23. Afectada por esta vulnerabilidad es la función formPPPoESetup del archivo /goform/formPPPoESetup del componente Gestor de Solicitudes POST. La manipulación del argumento pppUserName conduce a desbordamiento de búfer basado en pila. El ataque puede ser iniciado remotamente. El exploit está disponible públicamente y podría ser usado.
Gravedad CVSS v4.0: ALTA
Última modificación:
22/07/2026

CVE-2018-25420
Fecha de publicación:
30/05/2026
Idioma:
Español
AiOPMSD Final 1.0.0 contiene una vulnerabilidad de inyección SQL que permite a atacantes no autenticados ejecutar consultas SQL arbitrarias inyectando código malicioso a través del parámetro &amp;#39;id&amp;#39;. Los atacantes pueden enviar solicitudes GET a watch.php con cargas útiles SQL diseñadas para extraer información sensible de la base de datos, incluyendo nombres de usuario, nombres de bases de datos y detalles de la versión.
Gravedad CVSS v4.0: ALTA
Última modificación:
22/07/2026

CVE-2018-25421
Fecha de publicación:
30/05/2026
Idioma:
Español
Open STA Manager 2.3 contiene una vulnerabilidad de salto de ruta que permite a usuarios autenticados descargar archivos arbitrarios manipulando el parámetro file. Los atacantes pueden enviar solicitudes GET a modules/backup/actions.php con op=getfile y recorrer directorios usando secuencias ../ para acceder a archivos de sistema sensibles.
Gravedad CVSS v4.0: ALTA
Última modificación:
22/07/2026
Suscribirse a Vulnerabilidades