Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

017 - Ir a la línea de ayuda en Ciberseguridad    Ir a Agenda     Ir a Sala de prensa     Ir a suscripción de boletines

Ir al buscador

Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las últimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las últimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las últimas vulnerabilidades incorporadas al repositorio.

CVE-2026-36214
Fecha de publicación:
14/07/2026
Idioma:
Inglés
*** Pendiente de traducción *** osTicket versions from 1.10 up to 1.17.7 and from 1.18.0 up to 1.18.3 are vulnerable to a stored XSS due to a vulnerable Bootstrap Tooltip component and insufficient HTML sanitization, allowing remote attackers to execute arbitrary JavaScript in Agent or Admin sessions.
Gravedad CVSS v3.1: MEDIA
Última modificación:
15/07/2026

CVE-2026-34349
Fecha de publicación:
14/07/2026
Idioma:
Inglés
*** Pendiente de traducción *** Exposure of sensitive information to an unauthorized actor in Windows Media allows an authorized attacker to disclose information locally.
Gravedad CVSS v3.1: MEDIA
Última modificación:
16/07/2026

CVE-2026-34348
Fecha de publicación:
14/07/2026
Idioma:
Inglés
*** Pendiente de traducción *** Protection mechanism failure in Windows Event Logging Service allows an authorized attacker to disclose information over a network.
Gravedad CVSS v3.1: MEDIA
Última modificación:
16/07/2026

CVE-2026-34346
Fecha de publicación:
14/07/2026
Idioma:
Inglés
*** Pendiente de traducción *** Cleartext transmission of sensitive information in Windows Ancillary Function Driver for WinSock allows an authorized attacker to disclose information locally.
Gravedad CVSS v3.1: MEDIA
Última modificación:
16/07/2026

CVE-2026-34328
Fecha de publicación:
14/07/2026
Idioma:
Inglés
*** Pendiente de traducción *** Exposure of sensitive information to an unauthorized actor in Windows Audio Service allows an authorized attacker to disclose information locally.
Gravedad CVSS v3.1: MEDIA
Última modificación:
16/07/2026

CVE-2026-33842
Fecha de publicación:
14/07/2026
Idioma:
Inglés
*** Pendiente de traducción *** Exposure of sensitive information to an unauthorized actor in Windows File Explorer allows an authorized attacker to disclose information locally.
Gravedad CVSS v3.1: MEDIA
Última modificación:
16/07/2026

CVE-2026-15700
Fecha de publicación:
14/07/2026
Idioma:
Inglés
*** Pendiente de traducción *** A security flaw has been discovered in DedeCMS 5.7.118. Affected by this vulnerability is the function ExtractFile of the file include/zip.class.php of the component Album Publishing Feature. The manipulation of the argument filename results in path traversal. The attack can be executed remotely. The exploit has been released to the public and may be used for attacks.
Gravedad CVSS v4.0: BAJA
Última modificación:
15/07/2026

CVE-2026-15702
Fecha de publicación:
14/07/2026
Idioma:
Inglés
*** Pendiente de traducción *** A security vulnerability has been detected in tamagui up to 2.3.0. This affects the function updateConfig of the file code/core/web/src/config.ts. Such manipulation leads to improperly controlled modification of object prototype attributes. The attack may be performed from remote. Upgrading to version 2.3.1 is able to mitigate this issue. The name of the patch is e46af9879b7627934ea4d6d6e46e65cea53abb3d. The affected component should be upgraded.
Gravedad CVSS v4.0: BAJA
Última modificación:
15/07/2026

CVE-2026-15701
Fecha de publicación:
14/07/2026
Idioma:
Inglés
*** Pendiente de traducción *** A weakness has been identified in Totolink NR1800X 9.1.0u.6279_B20210910. Affected by this issue is the function Form_Logout of the file /formLogout.htm of the component lighttpd. This manipulation of the argument Host causes stack-based buffer overflow. The attack is possible to be carried out remotely. The exploit has been made available to the public and could be used for attacks.
Gravedad CVSS v4.0: ALTA
Última modificación:
15/07/2026

CVE-2026-15703
Fecha de publicación:
14/07/2026
Idioma:
Inglés
*** Pendiente de traducción *** A vulnerability was detected in SourceCodester Simple and Nice Shopping Cart Script 1.0. This vulnerability affects unknown code of the file /admin/userproductdeletequery.php. Performing a manipulation of the argument user_id results in sql injection. It is possible to initiate the attack remotely. The exploit is now public and may be used.
Gravedad CVSS v4.0: MEDIA
Última modificación:
15/07/2026

CVE-2026-14645
Fecha de publicación:
14/07/2026
Idioma:
Inglés
*** Pendiente de traducción *** Nexus Repository 3 does not validate the destination of the "Webhook: Global" capability's configured URL before making an outbound HTTP request, allowing a user holding the Capability Administration permission to cause the server to send requests to internal network locations (Server-Side Request Forgery). This permission is granted by role assignment, independent of authentication status, so an unauthenticated user could also trigger this behavior if the anonymous role has been granted the permission.
Gravedad CVSS v4.0: MEDIA
Última modificación:
15/07/2026

CVE-2026-14646
Fecha de publicación:
14/07/2026
Idioma:
Inglés
*** Pendiente de traducción *** Nexus Repository 3 did not apply its existing Server-Side Request Forgery (SSRF) protections to HTTP redirect targets returned by proxy repository upstream servers. Any user with read access to a proxy repository backed by an attacker-controlled or compromised upstream server — including an anonymous user, if anonymous access is enabled — could receive a response from an internal network address or cloud metadata endpoint as repository content, potentially exposing sensitive information such as cloud IAM credentials.
Gravedad CVSS v4.0: MEDIA
Última modificación:
15/07/2026
Suscribirse a Vulnerabilidades