Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las últimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las últimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las últimas vulnerabilidades incorporadas al repositorio.

CVE-2026-58453

Fecha de publicación:

01/07/2026

Idioma:

Inglés

*** Pendiente de traducción *** JAIOTlink C492A-W6 Wi-Fi IP cameras running firmware 4.8.30.57701411 contain a hard-coded credentials vulnerability that allows network-adjacent attackers to gain unauthorized access by using the default admin username with an empty password accepted by the anyka_ipc HTTP service on port 80. Attackers can authenticate with these hardcoded credentials to access camera snapshots, video streams, network configuration, and factory-level API endpoints including the SetMAC command injection surface.

Gravedad CVSS v4.0: CRÍTICA

Última modificación:

02/07/2026

CVE-2026-58454

Fecha de publicación:

01/07/2026

Idioma:

Inglés

*** Pendiente de traducción *** JAIOTlink C492A-W6 Wi-Fi IP cameras running firmware 4.8.30.57701411 contain a remote code execution vulnerability that allows authenticated attackers to execute arbitrary shell scripts by writing to the writable persistent JFFS2 storage path and triggering execution through the authenticated HTTP endpoint. Attackers can stage a malicious script in the writable persistent storage and request the config endpoint to invoke it via popen(), achieving persistent remote code execution that survives device reboots.

Gravedad CVSS v4.0: ALTA

Última modificación:

02/07/2026

CVE-2026-56151

Fecha de publicación:

01/07/2026

Idioma:

Inglés

*** Pendiente de traducción *** Improper Input Validation (CWE-20) in Kibana can lead to a denial of service via Input Data Manipulation (CAPEC-153). An authenticated user can submit a specially crafted Fleet policy input that is not correctly validated, which can render Fleet agent, server, and policy management functionality unavailable.

Gravedad CVSS v3.1: MEDIA

Última modificación:

02/07/2026

CVE-2026-56152

Fecha de publicación:

01/07/2026

Idioma:

Inglés

*** Pendiente de traducción *** Incorrect Authorization (CWE-863) in Elastic Defend can lead to unauthorized information disclosure via Accessing Functionality Not Properly Constrained by ACLs (CAPEC-1). Under certain conditions, a low-privileged authenticated user can access response action data that they are not authorized to view.

Gravedad CVSS v3.1: MEDIA

Última modificación:

06/07/2026

CVE-2026-56150

Fecha de publicación:

01/07/2026

Idioma:

Inglés

*** Pendiente de traducción *** Allocation of Resources Without Limits or Throttling (CWE-770) in Fleet Server can lead to a denial of service via Excessive Allocation (CAPEC-130). An attacker can submit a specially crafted request to an upload endpoint that causes excessive memory consumption, which may render Fleet Server unavailable.

Gravedad CVSS v3.1: MEDIA

Última modificación:

06/07/2026

CVE-2026-57516

Fecha de publicación:

01/07/2026

Idioma:

Inglés

*** Pendiente de traducción *** Ray prior to 2.56.0 contains an unsafe deserialization vulnerability in the WebDataset reader that allows attackers to achieve remote code execution by supplying a malicious tar archive to the read_webdataset() function. The _default_decoder() function in webdataset_datasource.py unconditionally calls pickle.loads() on tar entries with .pkl/.pickle extensions and torch.load() with weights_only=False on .pt/.pth entries, executing arbitrary code inside Ray remote workers on every worker that processes the malicious archive.

Gravedad CVSS v4.0: ALTA

Última modificación:

14/07/2026

CVE-2026-57720

Fecha de publicación:

01/07/2026

Idioma:

Inglés

*** Pendiente de traducción *** Missing Authorization vulnerability in Codexpert Inc ThumbPress allows Exploiting Incorrectly Configured Access Control Security Levels.<br /> <br /> This issue affects ThumbPress: from n/a through 6.3.2.

Gravedad CVSS v3.1: MEDIA

Última modificación:

01/07/2026

CVE-2026-57721

Fecha de publicación:

01/07/2026

Idioma:

Inglés

*** Pendiente de traducción *** Missing Authorization vulnerability in WP Reloaded ApplyOnline allows Exploiting Incorrectly Configured Access Control Security Levels.<br /> <br /> This issue affects ApplyOnline: from n/a through 2.6.7.6.

Gravedad CVSS v3.1: MEDIA

Última modificación:

01/07/2026

CVE-2026-56149

Fecha de publicación:

01/07/2026

Idioma:

Inglés

*** Pendiente de traducción *** Allocation of Resources Without Limits or Throttling (CWE-770) in Elasticsearch can lead to a denial of service via Excessive Allocation (CAPEC-130). A user with elevated privileges can submit a specially crafted machine learning request that causes excessive memory consumption, which may render the affected node unavailable.

Gravedad CVSS v3.1: MEDIA

Última modificación:

02/07/2026

CVE-2026-56148

Fecha de publicación:

01/07/2026

Idioma:

Inglés

*** Pendiente de traducción *** Uncontrolled Recursion (CWE-674) in Elasticsearch can lead to a denial of service via Excessive Allocation (CAPEC-130). An authenticated user can submit a specially crafted query that causes excessive resource consumption while the request is processed, which may render the affected node unavailable.

Gravedad CVSS v3.1: MEDIA

Última modificación:

02/07/2026

CVE-2026-54399

Fecha de publicación:

01/07/2026

Idioma:

Inglés

*** Pendiente de traducción *** Uncontrolled Resource Consumption vulnerability in the HTTP/1.1 message parser in Apache HttpComponents Core (5.4.2 and earlier, 5.5-beta1 and earlier) allows an remote attacker to cause a denial of service through memory exhaustion by sending messages with excessive number of headers / excessive header length

Gravedad CVSS v3.1: ALTA

Última modificación:

24/07/2026

CVE-2026-49088

Fecha de publicación:

01/07/2026

Idioma:

Inglés

*** Pendiente de traducción *** Insertion of Sensitive Information into Log File (CWE-532) in Kibana can lead to information disclosure. When the optional application performance monitoring (APM) instrumentation is enabled, sensitive request header values could be recorded in application logs, where they may be accessible to operators with log access.

Gravedad CVSS v3.1: MEDIA

Última modificación:

02/07/2026

Suscribirse a Vulnerabilidades