Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las últimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las últimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las últimas vulnerabilidades incorporadas al repositorio.

CVE-2026-32686

Fecha de publicación:

07/05/2026

Idioma:

Inglés

*** Pendiente de traducción *** Uncontrolled Resource Consumption vulnerability in ericmj decimal allows unauthenticated remote Denial of Service. The decimal library does not bound the exponent on parsed input. Storing a decimal with a very large exponent (e.g. Decimal.new("1e1000000000")) is accepted without error. Subsequent calls to arithmetic functions (Decimal.add/2, Decimal.sub/2, Decimal.div/2), Decimal.to_string/2 with :normal or :xsd format, Decimal.to_integer/1, Decimal.round/3, or Decimal.compare/3 with a threshold allocate memory proportional to the exponent value, which can exhaust available memory and crash the BEAM VM. Any application that accepts user-supplied decimal input and subsequently performs arithmetic, rounding, conversion to integer, or string formatting on it is exposed. A single malicious request is sufficient to cause an out-of-memory crash. This issue affects decimal: from 0.1.0 before 3.0.0.

Gravedad CVSS v4.0: MEDIA

Última modificación:

08/05/2026

CVE-2026-36458

Fecha de publicación:

07/05/2026

Idioma:

Inglés

*** Pendiente de traducción *** ChestnutCMS v1.5.10 has a SQL injection vulnerability. The content parameter of the cms_content tag can be manipulated in the admin backend and injected into a SQL query when the template is rendered.

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

08/05/2026

CVE-2025-63705

Fecha de publicación:

07/05/2026

Idioma:

Inglés

*** Pendiente de traducción *** NPM package node-ts-ocr 1.0.15 is vulnerable to OS Command Injection via the invokeImageOcr function in src/index.js.

Gravedad CVSS v3.1: ALTA

Última modificación:

08/05/2026

CVE-2025-63706

Fecha de publicación:

07/05/2026

Idioma:

Inglés

*** Pendiente de traducción *** NPM package next-npm-version1.0.1 is vulnerable to Command injection.

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

08/05/2026

CVE-2025-67202

Fecha de publicación:

07/05/2026

Idioma:

Inglés

*** Pendiente de traducción *** Sidekiq-cron thru 2.3.1, an open-source scheduling add-on for Sidekiq, is vulnerable to a cross-site scripting (xss) vulnerability via crafted URL being rended from cron.erb.

Gravedad CVSS v3.1: MEDIA

Última modificación:

08/05/2026

CVE-2026-6795

Fecha de publicación:

07/05/2026

Idioma:

Inglés

*** Pendiente de traducción *** URL redirection to untrusted site (&#39;open redirect&#39;) vulnerability in DivvyDrive Information Technologies Inc. DivvyDrive allows Parameter Injection. This issue affects DivvyDrive: from 4.8.2.9 before 4.8.3.2.

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

07/05/2026

CVE-2026-41685

Fecha de publicación:

07/05/2026

Idioma:

Inglés

*** Pendiente de traducción *** Incus is a system container and virtual machine manager. Prior to version 7.0.0, uploads of large amount of data by authenticated users can run the Incus server out of disk space, potentially taking down the host system. The impact here is limited for anyone using storage.images_volume and storage.backups_volume as those users will have large uploads be stored on those volumes rather than directly on the host filesystem. This is the default behavior on IncusOS. This issue has been patched in version 7.0.0.

Gravedad CVSS v3.1: MEDIA

Última modificación:

07/05/2026

CVE-2026-41684

Fecha de publicación:

07/05/2026

Idioma:

Inglés

*** Pendiente de traducción *** Incus is a system container and virtual machine manager. Prior to version 7.0.0, backup.GetInfo() trusts the inline backup/index.yaml config when present and only falls back to parsing the legacy backup/container/backup.yaml file if result.Config == nil. As a result, an archive can carry a valid inline config that passes the initial import preflight while also carrying a malformed legacy backup/container/backup.yaml file that is reparsed later from the restored file system. ParseConfigYamlFile() accepts YAML documents with no container section, and multiple downstream consumers then dereference. Container without checking for nil. Confirmed examples in the instance restore and import flow include backup.UpdateInstanceConfig() and internalImportFromBackup(). An authenticated user with permission to import instance backups may be able to crash the Incus daemon with a crafted backup archive whose inline backup/index.yaml is valid but whose extracted legacy backup.yaml omits container. The crash occurs in the restore path after archive extraction has begun. This issue has been patched in version 7.0.0.

Gravedad CVSS v3.1: MEDIA

Última modificación:

07/05/2026

CVE-2026-41648

Fecha de publicación:

07/05/2026

Idioma:

Inglés

*** Pendiente de traducción *** Incus is a system container and virtual machine manager. Prior to version 7.0.0, user provided image and backup tarballs would be unpacked and YAML files parsed without any size restrictions. This was making it easy for an authenticated user to provide a crafted image or backup tarball that when parsed by Incus would lead to a very large YAML document being loaded into memory, potentially causing the entire server to run out of memory. This issue has been patched in version 7.0.0.

Gravedad CVSS v4.0: MEDIA

Última modificación:

07/05/2026

CVE-2026-41647

Fecha de publicación:

07/05/2026

Idioma:

Inglés

*** Pendiente de traducción *** Incus is a system container and virtual machine manager. Prior to version 7.0.0, a missing error handling could lead an authenticated Incus user to cause a daemon crash through the import of a truncated storage bucket backup file. This issue has been patched in version 7.0.0.

Gravedad CVSS v3.1: MEDIA

Última modificación:

07/05/2026

CVE-2026-41554

Fecha de publicación:

07/05/2026

Idioma:

Inglés

*** Pendiente de traducción *** Improper Neutralization of Input During Web Page Generation (&#39;Cross-site Scripting&#39;) vulnerability in Bricks Builder allows Reflected XSS. This issue affects Bricks Builder: from n/a through 1.9.2 to 2.2.

Gravedad CVSS v3.1: ALTA

Última modificación:

07/05/2026

CVE-2026-41490

Fecha de publicación:

07/05/2026

Idioma:

Inglés

*** Pendiente de traducción *** Dagster is an orchestration platform for the development, production, and observation of data assets. Prior to Dagster Core version 1.13.1 and prior to Dagster libraries version 0.29.1, the DuckDB, Snowflake, BigQuery, and DeltaLake I/O managers constructed SQL WHERE clauses by interpolating dynamic partition key values into queries without escaping. A user with the Add Dynamic Partitions permission could create a partition key that injects arbitrary SQL, which would execute against the target database backend under the I/O manager&#39;s credentials. Only deployments that use dynamic partitions are affected. Pipelines using static or time-window partitions are not impacted. This issue has been patched in Dagster Core version 1.13.1 and Dagster libraries version 0.29.1.

Gravedad CVSS v3.1: ALTA

Última modificación:

07/05/2026

Suscribirse a Vulnerabilidades