Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las ultimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las ultimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las ultimas vulnerabilidades incorporadas al repositorio.

CVE-2026-5859

Fecha de publicación:

08/04/2026

Idioma:

Inglés

*** Pendiente de traducción *** Integer overflow in WebML in Google Chrome prior to 147.0.7727.55 allowed a remote attacker to potentially exploit heap corruption via a crafted HTML page. (Chromium security severity: Critical)

Gravedad CVSS v3.1: ALTA

Última modificación:

13/04/2026

CVE-2026-5858

Fecha de publicación:

08/04/2026

Idioma:

Inglés

*** Pendiente de traducción *** Heap buffer overflow in WebML in Google Chrome prior to 147.0.7727.55 allowed a remote attacker to execute arbitrary code via a crafted HTML page. (Chromium security severity: Critical)

Gravedad CVSS v3.1: ALTA

Última modificación:

13/04/2026

CVE-2026-5810

Fecha de publicación:

08/04/2026

Idioma:

Inglés

*** Pendiente de traducción *** A flaw has been found in SourceCodester Sales and Inventory System 1.0. Affected is an unknown function of the file /delete.php of the component GET Parameter Handler. This manipulation of the argument ID causes cross site scripting. Remote exploitation of the attack is possible. The exploit has been published and may be used.

Gravedad CVSS v4.0: MEDIA

Última modificación:

13/04/2026

CVE-2026-5711

Fecha de publicación:

08/04/2026

Idioma:

Inglés

*** Pendiente de traducción *** The Post Blocks & Tools plugin for WordPress is vulnerable to Stored Cross-Site Scripting via the &#39;sliderStyle&#39; block attribute in the Posts Slider block in all versions up to, and including, 1.3.0 due to insufficient input sanitization and output escaping on user supplied attributes. This makes it possible for authenticated attackers, with author-level access and above, to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page.

Gravedad CVSS v3.1: MEDIA

Última modificación:

13/04/2026

CVE-2026-5806

Fecha de publicación:

08/04/2026

Idioma:

Inglés

*** Pendiente de traducción *** A security vulnerability has been detected in code-projects Easy Blog Site 1.0. This affects an unknown function of the file /posts/update.php. The manipulation of the argument postTitle leads to cross site scripting. The attack may be initiated remotely. The exploit has been disclosed publicly and may be used.

Gravedad CVSS v4.0: MEDIA

Última modificación:

13/04/2026

CVE-2026-5808

Fecha de publicación:

08/04/2026

Idioma:

Inglés

*** Pendiente de traducción *** A vulnerability was detected in openstatusHQ openstatus up to 1b678e71a85961ae319cbb214a8eae634059330c. This impacts an unknown function of the file apps/dashboard/src/app/(dashboard)/onboarding/client.tsx of the component Onboarding Endpoint. The manipulation of the argument callbackURL results in cross site scripting. The attack may be launched remotely. This product operates on a rolling release basis, ensuring continuous delivery. Consequently, there are no version details for either affected or updated releases. The patch is identified as 43d9b2b9ef8ae1a98f9bdc8a9f86d6a3dfaa2dfb. It is advisable to implement a patch to correct this issue. The vendor was contacted early, responded in a very professional manner and quickly released a fixed version of the affected product.

Gravedad CVSS v4.0: MEDIA

Última modificación:

13/04/2026

CVE-2026-40037

Fecha de publicación:

08/04/2026

Idioma:

Inglés

*** Pendiente de traducción *** OpenClaw before 2026.3.31 (patched in 2026.4.8) contains a request body replay vulnerability in fetchWithSsrFGuard that allows unsafe request bodies to be resent across cross-origin redirects. Attackers can exploit this by triggering redirects to exfiltrate sensitive request data or headers to unintended origins.

Gravedad CVSS v4.0: ALTA

Última modificación:

13/04/2026

CVE-2026-40036

Fecha de publicación:

08/04/2026

Idioma:

Inglés

*** Pendiente de traducción *** Unfurl before 2026.04 contains an unbounded zlib decompression vulnerability in parse_compressed.py that allows remote attackers to cause denial of service. Attackers can submit highly compressed payloads via URL parameters to the /json/visjs endpoint that expand to gigabytes, exhausting server memory and crashing the service.

Gravedad CVSS v4.0: ALTA

Última modificación:

17/04/2026

CVE-2026-40035

Fecha de publicación:

08/04/2026

Idioma:

Inglés

*** Pendiente de traducción *** Unfurl through 2025.08 contains an improper input validation vulnerability in config parsing that enables Flask debug mode by default. The debug configuration value is read as a string and passed directly to app.run(), causing any non-empty string to evaluate truthy, allowing attackers to access the Werkzeug debugger and disclose sensitive information or achieve remote code execution.

Gravedad CVSS v4.0: CRÍTICA

Última modificación:

17/04/2026

CVE-2026-40032

Fecha de publicación:

08/04/2026

Idioma:

Inglés

*** Pendiente de traducción *** UAC (Unix-like Artifacts Collector) before 3.3.0-rc1 contains a command injection vulnerability in the placeholder substitution and command execution pipeline where the _run_command() function passes constructed command strings directly to eval without proper sanitization. Attackers can inject shell metacharacters or command substitutions through attacker-controlled inputs including %line% values from foreach iterators and %user% / %user_home% values derived from system files to achieve arbitrary command execution with the privileges of the UAC process.

Gravedad CVSS v4.0: ALTA

Última modificación:

13/04/2026

CVE-2026-40030

Fecha de publicación:

08/04/2026

Idioma:

Inglés

*** Pendiente de traducción *** parseusbs before 1.9 contains an OS command injection vulnerability where the volume listing path argument (-v flag) is passed unsanitized into an os.popen() shell command with ls, allowing arbitrary command injection via crafted volume path arguments containing shell metacharacters. An attacker can provide a crafted volume path via the -v flag that injects arbitrary commands during volume content enumeration.

Gravedad CVSS v4.0: ALTA

Última modificación:

13/04/2026

CVE-2026-40029

Fecha de publicación:

08/04/2026

Idioma:

Inglés

*** Pendiente de traducción *** parseusbs before 1.9 contains an OS command injection vulnerability in parseUSBs.py where LNK file paths are passed unsanitized into an os.popen() shell command, allowing arbitrary command execution via crafted .lnk filenames containing shell metacharacters. An attacker can craft a .lnk filename with embedded shell metacharacters that execute arbitrary commands on the forensic examiner&#39;s machine during USB artifact parsing.

Gravedad CVSS v4.0: ALTA

Última modificación:

13/04/2026

Suscribirse a Vulnerabilidades