Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las últimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las últimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las últimas vulnerabilidades incorporadas al repositorio.

CVE-2026-50195

Fecha de publicación:

01/07/2026

Idioma:

Inglés

*** Pendiente de traducción *** containerd is an open-source container runtime. Versions prior to 2.3.2, 2.2.5 and 2.1.9 contain a vulnerability in the CRI checkpoint import process where it fails to validate the image references specified within a checkpoint image&#39;s configuration. An attacker with permissions to create pods can use a crafted checkpoint image to force containerd to pull a malicious image and assign it an arbitrary local tag, thereby poisoning the node&#39;s local image cache. Subsequently, if other pods on the same node attempt to use the poisoned tag with an IfNotPresent (or Never) pull policy, they will unknowingly execute the attacker&#39;s malicious image instead of the legitimate one. This can lead to a compromise of the affected pods, allowing the attacker to execute arbitrary code under the victim pod&#39;s identity. This issue has been fixed in versions 2.3.2, 2.2.5 and 2.1.9.

Gravedad CVSS v4.0: MEDIA

Última modificación:

02/07/2026

CVE-2026-50160

Fecha de publicación:

01/07/2026

Idioma:

Inglés

*** Pendiente de traducción *** Hoppscotch is an API development ecosystem. In self-hosted deployments of hoppscotch-backend from version 2026.4.1 and earlier, the unauthenticated POST /v1/onboarding/config endpoint is vulnerable to mass assignment. The global NestJS ValidationPipe is configured without whitelist: true, so extra properties on the request body that are not declared in SaveOnboardingConfigRequest are not stripped and are iterated in the service layer as if they were legitimate InfraConfig entries. Because keys such as JWT_SECRET and SESSION_SECRET are valid InfraConfigEnum values and are not explicitly rejected during validation, an unauthenticated attacker who can reach a fresh instance before onboarding completes (or when no users exist) can overwrite these values in the database. Overwriting JWT_SECRET gives the attacker control of the JWT signing key, allowing them to forge tokens for any user, including administrators, and results in full server compromise. The issue is fixed in hoppscotch 2026.5.0.

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

02/07/2026

CVE-2026-49119

Fecha de publicación:

01/07/2026

Idioma:

Inglés

*** Pendiente de traducción *** Gradio before 6.16.0 contain a path traversal vulnerability in the FileExplorer component&#39;s preprocess() method that allows unauthenticated attackers to escape the configured root directory by supplying path segments containing directory traversal sequences or absolute paths. Attackers can provide crafted path segments that cause os.path.join to discard the root_dir prefix entirely, resulting in arbitrary file read or exposure of sensitive files outside the intended directory.

Gravedad CVSS v4.0: ALTA

Última modificación:

14/07/2026

CVE-2026-47262

Fecha de publicación:

01/07/2026

Idioma:

Inglés

*** Pendiente de traducción *** containerd is an open-source container runtime. Versions prior to 1.7.33, 2.0.10, 2.1.9, 2.2.5 and 2.3.2, contain a vulnerability that allows a maliciously crafted image to cause a Denial of Service (DoS) condition. When creating a container from this image, memory exhaustion occurs, leading to an Out Of Memory (OOM) kill of the containerd process. This renders the container runtime API unavailable and can disrupt clients such as the Docker Engine or Kubernetes control-plane components. This issue has been fixed in versions 1.7.33, 2.0.10, 2.1.9, 2.2.5 and 2.3.2.

Gravedad CVSS v4.0: MEDIA

Última modificación:

02/07/2026

CVE-2026-38142

Fecha de publicación:

01/07/2026

Idioma:

Inglés

*** Pendiente de traducción *** An unauthenticated command injection vulnerability in the /goform/fast_setting_internet_set endpoint of Tenda AC18 v15.03.05.05 allows attackers to execute arbitrary commands via a crafted payload injected into the mac parameter.

Gravedad CVSS v3.1: MEDIA

Última modificación:

02/07/2026

CVE-2026-41121

Fecha de publicación:

01/07/2026

Idioma:

Inglés

*** Pendiente de traducción *** Dell Device Management Agent, versions prior to DDMA 26.05, contain an Improper Link Resolution Before File Access (&#39;Link Following’) vulnerability. A low privileged attacker with local access could potentially exploit this vulnerability, leading to Elevation of Privileges.

Gravedad CVSS v3.1: ALTA

Última modificación:

06/07/2026

CVE-2026-14358

Fecha de publicación:

01/07/2026

Idioma:

Inglés

*** Pendiente de traducción *** Improper neutralization of input during web page generation (&#39;cross-site scripting&#39;) vulnerability in The Wikimedia Foundation Mediawiki - Charts Extension allows Cross-Site Scripting (XSS). This issue affects Mediawiki - Charts Extension: from * before 1.43.9,1.44.6,1.45.4.

Gravedad CVSS v4.0: MEDIA

Última modificación:

09/07/2026

CVE-2026-13760

Fecha de publicación:

01/07/2026

Idioma:

Inglés

*** Pendiente de traducción *** OS command injection in the NodejsFunction Docker bundling pipeline (OsCommand helper) in AWS aws-cdk-lib on all platforms might allow a actor who controls dependency version strings in a project&#39;s package.json file to execute arbitrary commands on the host running the CDK toolchain via injected shell metacharacters in the OsCommand helper. This issue requires the actor to control the content of a package.json dependency version string that is processed during Docker-based bundling with nodeModules specified. To remediate this issue, users should upgrade to v2.260.0.

Gravedad CVSS v4.0: ALTA

Última modificación:

01/07/2026

CVE-2026-13769

Fecha de publicación:

01/07/2026

Idioma:

Inglés

*** Pendiente de traducción *** Overly permissive file permissions in AWS CLI before 1.44.78 (v1) and 2.34.29 (v2) on Unix-like systems where the umask has not been configured to restrict file permissions (the default on most systems) may allow other local users on the same host to read credentials written by certain CLI subcommands (aws codeartifact login, aws iam create-virtual-mfa-device, aws deploy register). To remediate this issue, users should upgrade to AWS CLI 1.44.78 (v1) or 2.34.29 (v2) or later.

Gravedad CVSS v4.0: MEDIA

Última modificación:

01/07/2026

CVE-2026-5051

Fecha de publicación:

01/07/2026

Idioma:

Inglés

*** Pendiente de traducción *** HashiCorp Vault and Vault Enterprise prior to 2.0.1 audit device validation logic did not consistently apply plugin directory protections when the legacy file audit path option was used. This vulnerability (CVE-2026-5051) is fixed in 2.0.1, 1.21.6, 1.20.11, and 1.19.17.

Gravedad CVSS v3.1: MEDIA

Última modificación:

02/07/2026

CVE-2026-58521

Fecha de publicación:

01/07/2026

Idioma:

Inglés

*** Pendiente de traducción *** Improper neutralization of special elements used in an SQL command (&#39;SQL injection&#39;) vulnerability in The Wikimedia Foundation Mediawiki - Cargo Extension allows SQL Injection. This issue affects Mediawiki - Cargo Extension: from * before 1.43.9,1.44.6,1.45.4.

Gravedad CVSS v4.0: MEDIA

Última modificación:

07/07/2026

CVE-2026-58520

Fecha de publicación:

01/07/2026

Idioma:

Inglés

*** Pendiente de traducción *** URL redirection to untrusted site (&#39;open redirect&#39;) vulnerability in The Wikimedia Foundation Mediawiki - UrlShortener Extension allows Cross-Site Flashing. This issue affects Mediawiki - UrlShortener Extension: from * before 1.43.9, 1.44.6, 1.45.4.

Gravedad CVSS v4.0: MEDIA

Última modificación:

09/07/2026

Suscribirse a Vulnerabilidades