Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las últimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las últimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las últimas vulnerabilidades incorporadas al repositorio.

CVE-2026-10789

Fecha de publicación:
22/06/2026
Idioma:
Inglés
*** Pendiente de traducción *** A maliciously crafted webpage, when visited by a user with Autodesk Fusion Desktop running and the MCP extension enabled, can trigger a vulnerability in the MCP extension that could allow arbitrary code execution. A successful exploit may allow code to execute with the privileges of the current user.
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
24/06/2026

CVE-2026-8934

Fecha de publicación:
22/06/2026
Idioma:
Inglés
*** Pendiente de traducción *** A Missing Authorization vulnerability in a GraphQL private API operation of the Google App Engine section of the Cloud Console allows an unauthenticated remote attacker to leak sensitive App Engine request logs from other projects using a specially crafted request.<br /> <br /> This vulnerability was patched on 7 April 2026, and no customer action is needed.
Gravedad CVSS v4.0: MEDIA
Última modificación:
22/06/2026

CVE-2026-9006

Fecha de publicación:
22/06/2026
Idioma:
Inglés
*** Pendiente de traducción *** IBM WebSphere Application Server 9.0, and 8.5 is vulnerable to server-side request forgery (SSRF) with the Ajax Proxy configured. This may allow an attacker to send unauthorized requests from the system, resulting in a security bypass or information disclosure.
Gravedad CVSS v3.1: ALTA
Última modificación:
24/06/2026

CVE-2026-9071

Fecha de publicación:
22/06/2026
Idioma:
Inglés
*** Pendiente de traducción *** IBM WebSphere Application Server 9.0, and 8.5 and IBM WebSphere Application Server - Liberty 17.0.0.3 through 26.0.0.6 are vulnerable to a denial of service, caused by sending a specially-crafted request. A remote attacker could exploit this vulnerability to cause the server to consume memory resources.
Gravedad CVSS v3.1: ALTA
Última modificación:
23/06/2026

CVE-2026-9320

Fecha de publicación:
22/06/2026
Idioma:
Inglés
*** Pendiente de traducción *** IBM WebSphere Application Server 9.0, and 8.5 and IBM WebSphere Application Server - Liberty 17.0.0.3 through 26.0.0.6 are vulnerable to a denial of service, caused by sending a specially-crafted request. A remote attacker could exploit this vulnerability to cause the server to consume memory resources.
Gravedad CVSS v3.1: MEDIA
Última modificación:
23/06/2026

CVE-2026-9072

Fecha de publicación:
22/06/2026
Idioma:
Inglés
*** Pendiente de traducción *** IBM WebSphere Application Server and IBM WebSphere Application Server Liberty - when using Intelligent Management with the WebSphere WebServer Plug-in component - are vulnerable to remote code execution and denial of service. This vulnerability can be exploited when an attacker impersonates backend servers and sends crafted responses to the plug-in.
Gravedad CVSS v3.1: ALTA
Última modificación:
09/07/2026

CVE-2026-9610

Fecha de publicación:
22/06/2026
Idioma:
Inglés
*** Pendiente de traducción *** IBM Datacap 9.1.7, 9.1.8, and 9.1.9 and IBM Datacap Navigator 9.1.7, 9.1.8, and 9.1.9 exposes resources or functionality that isn&amp;#39;t linked in the UI but is accessible by directly requesting the URL, bypassing intended access controls.
Gravedad CVSS v3.1: BAJA
Última modificación:
26/06/2026

CVE-2026-8646

Fecha de publicación:
22/06/2026
Idioma:
Inglés
*** Pendiente de traducción *** IBM WebSphere Application Server 9.0 and 8.5 and IBM WebSphere Application Server - Liberty 17.0.0.3 through 26.0.0.6 are vulnerable to HTTP request smuggling. A remote attacker could smuggle a specially crafted request to the application server thereby allowing the attacker to bypass security controls, spoof identity, escalate privilege, and expose sensitive information.
Gravedad CVSS v3.1: ALTA
Última modificación:
24/06/2026

CVE-2026-8858

Fecha de publicación:
22/06/2026
Idioma:
Inglés
*** Pendiente de traducción *** IBM WebSphere Application Server and IBM WebSphere Application Server Liberty are vulnerable to remote code execution and denial of service in the WebSphere Web Server Plug-in component. This vulnerability can be exploited when an attacker impersonates the application server and sends crafted responses to the plug-in.
Gravedad CVSS v3.1: ALTA
Última modificación:
09/07/2026

CVE-2026-8823

Fecha de publicación:
22/06/2026
Idioma:
Inglés
*** Pendiente de traducción *** Mattermost versions 11.7.x
Gravedad CVSS v3.1: BAJA
Última modificación:
26/06/2026

CVE-2026-8636

Fecha de publicación:
22/06/2026
Idioma:
Inglés
*** Pendiente de traducción *** IBM Datacap 9.1.7, 9.1.8, and 9.1.9 and IBM Datacap Navigator 9.1.7, 9.1.8, and 9.1.9 allows an attacker to retrieve user passwords and cryptographic keys from memory. Attacker can use the same keys to decrypt password, gain access to the application and access sensitive data in the database.
Gravedad CVSS v3.1: MEDIA
Última modificación:
26/06/2026

CVE-2026-8059

Fecha de publicación:
22/06/2026
Idioma:
Inglés
*** Pendiente de traducción *** IBM Datacap 9.1.7, 9.1.8, and 9.1.9 and IBM Datacap Navigator 9.1.7, 9.1.8, and 9.1.9 is vulnerable to cross-site scripting. This vulnerability allows an unauthenticated attacker to embed arbitrary JavaScript code in the Web UI thus altering the intended functionality potentially leading to credentials disclosure within a trusted session.
Gravedad CVSS v3.1: MEDIA
Última modificación:
26/06/2026