Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las últimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las últimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las últimas vulnerabilidades incorporadas al repositorio.

CVE-2026-15921

Fecha de publicación:

15/07/2026

Idioma:

Inglés

*** Pendiente de traducción *** Node Version Manager (nvm) is a POSIX-compliant shell function for managing multiple node.js versions. In versions 0.32.1 through 0.40.5, `nvm ls-remote` (and other commands that refresh remote LTS aliases, such as `nvm install --lts`) parse the node.js mirror&#39;s `index.tab` and use each release&#39;s LTS codename field as an alias filename without validating it. A malicious, compromised, or man-in-the-middled mirror can return an LTS codename containing path-traversal sequences such as `../../../.bashrc`, causing nvm to write the associated version string to a path outside `$NVM_DIR/alias`. With the default layout (`$NVM_DIR` is `~/.nvm`), this can create or overwrite files in the user&#39;s home directory, including shell startup files, which can lead to code execution in a later shell session. Exploitation requires the victim to use a hostile mirror -- via a compromised mirror or CDN, a network man-in-the-middle, or a maliciously configured `NVM_NODEJS_ORG_MIRROR`/`NVM_IOJS_ORG_MIRROR` -- and to run an affected command. Version 0.40.6 validates remote LTS codenames as safe alias filenames and rejects `..` path components when writing alias files.

Gravedad CVSS v4.0: BAJA

Última modificación:

16/07/2026

CVE-2025-65720

Fecha de publicación:

15/07/2026

Idioma:

Inglés

*** Pendiente de traducción *** An issue in Open Source GPT Researcher v3.3.7 allows attackers to execute arbitrary commands on a victim system via user interaction with a crafted HTML page.

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

16/07/2026

CVE-2026-26718

Fecha de publicación:

15/07/2026

Idioma:

Inglés

*** Pendiente de traducción *** A Cross-Site Request Forgery (CSRF) vulnerability exists in the xxl-job-admin web application v.3.0.0 that allows an attacker to perform unauthorized modifications to Glue IDE shell scripts. The affected endpoint lacks proper CSRF token validation and accepts arbitrary HTTP methods via a permissive request mapping

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

16/07/2026

CVE-2026-56678

Fecha de publicación:

15/07/2026

Idioma:

Inglés

*** Pendiente de traducción *** 9Router is an AI router & token saver. Prior to 0.5.6, the Kiro API-key validation endpoint POST /api/oauth/kiro/api-key builds an upstream URL using a user-controlled region value, allowing an authenticated attacker to supply a crafted region such as kiro-canary.local:8443# and cause 9Router to send the Kiro validation request to an attacker-controlled host while forwarding the submitted Kiro API key as an Authorization header. This issue is fixed in version 0.5.6.

Gravedad CVSS v3.1: MEDIA

Última modificación:

16/07/2026

CVE-2026-56679

Fecha de publicación:

15/07/2026

Idioma:

Inglés

*** Pendiente de traducción *** 9Router is an AI router & token saver. Prior to 0.5.4, the PATCH /api/settings endpoint writes the entire request body to persistent settings without a field whitelist, allowing an authenticated user to set security-critical fields such as requireLogin and disable authentication for the whole application, exposing protected routes such as /api/keys and /api/providers to unauthenticated access. This issue is reported as fixed in version 0.5.4.

Gravedad CVSS v4.0: ALTA

Última modificación:

16/07/2026

CVE-2026-62361

Fecha de publicación:

15/07/2026

Idioma:

Inglés

*** Pendiente de traducción *** listmonk is a standalone, self-hosted, newsletter and mailing list manager. Prior to 6.2.0, listmonk’s GET /api/subscribers/export endpoint injects the user-controlled query parameter into QuerySubscribersForExport in internal/core/subscribers.go without calling validateQueryTables, unlike GET /api/subscribers, allowing an authenticated user with subscribers:sql_query and subscribers:get_all to read arbitrary database tables such as users and settings and execute data-modifying PostgreSQL CTEs. This issue is fixed in version 6.2.0.

Gravedad CVSS v3.1: MEDIA

Última modificación:

16/07/2026

CVE-2026-55399

Fecha de publicación:

15/07/2026

Idioma:

Inglés

*** Pendiente de traducción *** CVE-2026-55399 is a resource exhaustion<br /> vulnerability in the Secure Access publisher prior to 14.55. Attackers with<br /> valid credentials to the Secure Access tunnel can create a non-persistent DoS<br /> against the publisher.

Gravedad CVSS v4.0: MEDIA

Última modificación:

16/07/2026

CVE-2026-62312

Fecha de publicación:

15/07/2026

Idioma:

Inglés

*** Pendiente de traducción *** 9Router is an AI router & token saver. Prior to 0.5.2, 9Router allows a remote authenticated attacker to achieve arbitrary code execution on the host operating system by combining a Host header bypass of localhost-only routes with unvalidated MCP plugin args passed to child_process.spawn(), allowing malicious custom plugins to execute commands through /api/mcp//sse. This issue is fixed in version 0.5.2.

Gravedad CVSS v3.1: ALTA

Última modificación:

16/07/2026

CVE-2026-55608

Fecha de publicación:

15/07/2026

Idioma:

Inglés

*** Pendiente de traducción *** n8n-MCP is an MCP server that provides AI assistants access to n8n node documentation, properties, and operations. Prior to 2.57.4, multi-tenant HTTP mode with ENABLE_MULTI_TENANT=true could allow an authenticated tenant to access default-scope workflow_versions backups instead of being confined to the tenant scope, exposing or deleting workflow-version backups from prior single-tenant deployments or migrations. This issue is fixed in version 2.57.4.

Gravedad CVSS v3.1: MEDIA

Última modificación:

17/07/2026

CVE-2026-59950

Fecha de publicación:

15/07/2026

Idioma:

Inglés

*** Pendiente de traducción *** The MCP Python SDK, called mcp on PyPI, is a Python implementation of the Model Context Protocol (MCP). Prior to 1.28.1, the deprecated mcp.server.websocket.websocket_server transport accepted WebSocket handshakes without applying Host or Origin header validation, leaving no SDK-level way to restrict which origins could connect to applications that exposed that transport. This issue is fixed in version 1.28.1.

Gravedad CVSS v4.0: ALTA

Última modificación:

17/07/2026

CVE-2026-55410

Fecha de publicación:

15/07/2026

Idioma:

Inglés

*** Pendiente de traducción *** NocoBase is an AI-powered no-code/low-code platform for building business applications and enterprise solutions. Prior to 2.1.19, NocoBase @nocobase/plugin-backups restored PostgreSQL backups by interpolating the database.schema value from _metadata.json into shell command strings executed with Node.js child_process.exec(), allowing a backup-management user restoring a crafted backup to execute commands as the NocoBase server process. This vulnerability is fixed in 2.1.19.

Gravedad CVSS v3.1: MEDIA

Última modificación:

18/07/2026

CVE-2026-51380

Fecha de publicación:

15/07/2026

Idioma:

Inglés

*** Pendiente de traducción *** Buffer Overflow vulnerability in Tenda AC10 v3 (firmware V03.03.16.09) allows attackers to cause a permanent Denial of Service (DoS) or potentially execute remote code via the /cgi-bin/UploadCfg endpoint

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

16/07/2026

Suscribirse a Vulnerabilidades