Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

017 - Ir a la línea de ayuda en Ciberseguridad    Ir a Agenda     Ir a Sala de prensa     Ir a suscripción de boletines

Ir al buscador

Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las últimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las últimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las últimas vulnerabilidades incorporadas al repositorio.

CVE-2026-14604
Fecha de publicación:
03/07/2026
Idioma:
Inglés
*** Pendiente de traducción *** A vulnerability was determined in Open Asset Import Library Assimp up to 6.0.4. Affected is the function Assimp::Exporter::ExportToBlob of the file code/AssetLib/Ply/PlyLoader.cpp of the component PLY Model Handler. This manipulation causes double free. The attack can be initiated remotely. The exploit has been publicly disclosed and may be utilized. The project was informed of the problem early through an issue report.
Gravedad CVSS v4.0: BAJA
Última modificación:
06/07/2026

CVE-2026-14631
Fecha de publicación:
03/07/2026
Idioma:
Inglés
*** Pendiente de traducción *** webpack-dev-server versions 5.2.5 and earlier terminate the whole Node.js process when an unauthenticated peer sends either a normal HTTP request with a malformed Host header or a WebSocket upgrade to the default /ws endpoint with a malformed Origin header. The malformed value causes an uncaught exception in the host-validation path and crashes the dev server. Impact is limited to availability of the development server, no data disclosure, no code execution. Patches: upgrade to webpack-dev-server 5.2.6. Workarounds: keep the dev server bound to localhost (the default) and do not expose it to untrusted networks.
Gravedad CVSS v3.1: MEDIA
Última modificación:
07/07/2026

CVE-2026-14620
Fecha de publicación:
03/07/2026
Idioma:
Inglés
*** Pendiente de traducción *** webpack-dev-server versions 5.2.5 and earlier expose two internal developer endpoints, /webpack-dev-server/open-editor and /webpack-dev-server/invalidate, that perform state-changing actions on any GET request without verifying that the request originated from the dev server's own page. Any website a developer visits while the dev server is running can trigger these endpoints cross-origin with no interaction beyond the visit. An attacker can open an arbitrary existing local file in the developer's editor, including files outside the project root, and repeated requests can spawn editor processes and force recompilations that degrade the developer's machine. Patches: upgrade to webpack-dev-server 5.2.6. Workarounds: none.
Gravedad CVSS v3.1: MEDIA
Última modificación:
07/07/2026

CVE-2026-14615
Fecha de publicación:
03/07/2026
Idioma:
Inglés
*** Pendiente de traducción *** A flaw was found in the Fine-Grained Admin Permissions (FGAP) v2 implementation within Keycloak's administrative services. When FGAP v2 is enabled, the system fails to properly filter child groups based on the caller's specific permissions when requested through a parent group. This allows a delegated administrator to view details of child groups they are not authorized to access directly, including group names, paths, and custom attributes.
Gravedad CVSS v3.1: MEDIA
Última modificación:
11/08/2026

CVE-2026-14614
Fecha de publicación:
03/07/2026
Idioma:
Inglés
*** Pendiente de traducción *** A flaw was found in the ClientResource component of Keycloak's admin services when Fine-Grained Admin Permissions (FGAP) v2 is enabled. This issue allows a delegated administrator, who should only have limited control over specific clients, to attach or remove hidden client scopes that they are not authorized to see or manage. As a result, an attacker could inject unauthorized data or permissions into the security tokens issued to end-users, potentially tricking other applications into granting higher levels of access than intended.
Gravedad CVSS v3.1: MEDIA
Última modificación:
11/08/2026

CVE-2026-14613
Fecha de publicación:
03/07/2026
Idioma:
Inglés
*** Pendiente de traducción *** A vulnerability was discovered in Keycloak's administrative interface that allows certain administrators to see information about groups they shouldn't have access to. When the new Fine-Grained Admin Permissions (FGAP v2) are turned on, an administrator who is allowed to see a specific "role" can also see a list of all groups assigned to that role. The system fails to check if the administrator has permission to see those specific groups. This could allow a restricted administrator to discover "hidden" groups and see their details, such as internal names and custom settings, which might contain sensitive deployment information.
Gravedad CVSS v3.1: MEDIA
Última modificación:
31/08/2026

CVE-2026-14612
Fecha de publicación:
03/07/2026
Idioma:
Inglés
*** Pendiente de traducción *** Two off-by-one errors in the FreeIPA ipa-otpd daemon's OAuth2 device authorization handler can cause out-of-bounds memory access when processing an oversized response from a configured external OAuth2/OIDC Identity Provider. An attacker who controls or can man-in-the-middle the IdP endpoint may be able to trigger ipa-otpd to write or read one byte past the end of a fixed-size buffer. Exploitation requires FreeIPA to be configured with an external IdP, attacker control or MITM of that IdP, and a user to initiate the OAuth2 device authorization flow. The most likely impact is limited denial of service affecting the ipa-otpd daemon.
Gravedad CVSS v3.1: MEDIA
Última modificación:
07/07/2026

CVE-2026-14459
Fecha de publicación:
03/07/2026
Idioma:
Inglés
*** Pendiente de traducción *** Improper neutralization of argument delimiters in a command (&amp;#39;argument injection&amp;#39;) vulnerability in TUBITAK BILGEM Software Technologies Research Institute pardus-software allows Argument Injection.<br /> <br /> This issue affects pardus-software: from
Gravedad CVSS v3.1: ALTA
Última modificación:
06/07/2026

CVE-2026-14460
Fecha de publicación:
03/07/2026
Idioma:
Inglés
*** Pendiente de traducción *** Missing Authorization vulnerability in TUBITAK BILGEM Software Technologies Research Institute pardus-software allows Argument Injection.<br /> <br /> This issue affects pardus-software: from
Gravedad CVSS v3.1: ALTA
Última modificación:
06/07/2026

CVE-2026-53478
Fecha de publicación:
03/07/2026
Idioma:
Inglés
*** Pendiente de traducción *** Dell PowerProtect Data Domain, versions 7.7.1.0 through 8.7, LTS2026 release version 8.6.1.0 through 8.6.1.10, LTS2025 release version 8.3.1.0 through 8.3.1.30, LTS2024 release versions 7.13.1.0 through 7.13.1.70 contain an improper neutralization of special elements used in an OS command (&amp;#39;OS command Injection&amp;#39;) vulnerability. A high privileged attacker with remote access could potentially exploit this vulnerability, leading to command execution.
Gravedad CVSS v3.1: ALTA
Última modificación:
08/07/2026

CVE-2026-49815
Fecha de publicación:
03/07/2026
Idioma:
Inglés
*** Pendiente de traducción *** Dell PowerProtect Data Domain, versions 7.7.1.0 through 8.7, LTS2026 release version 8.6.1.0 through 8.6.1.10, LTS2025 release version 8.3.1.0 through 8.3.1.30, LTS2024 release versions 7.13.1.0 through 7.13.1.70 contain an improper neutralization of special Elements used in an OS command (&amp;#39;OS command Injection&amp;#39;) vulnerability. A high privileged attacker with remote access could potentially exploit this vulnerability, leading to execution of arbitrary OS commands.
Gravedad CVSS v3.1: ALTA
Última modificación:
08/07/2026

CVE-2026-49814
Fecha de publicación:
03/07/2026
Idioma:
Inglés
*** Pendiente de traducción *** Dell PowerProtect Data Domain, versions 7.7.1.0 through 8.7, LTS2026 release version 8.6.1.0 through 8.6.1.10, LTS2025 release version 8.3.1.0 through 8.3.1.30, LTS2024 release versions 7.13.1.0 through 7.13.1.70 contain an Improper Neutralization of Special Elements used in an OS Command (&amp;#39;OS Command Injection&amp;#39;) vulnerability. A high privileged attacker with remote access could potentially exploit this vulnerability, leading to arbitrary command execution.
Gravedad CVSS v3.1: ALTA
Última modificación:
08/07/2026
Suscribirse a Vulnerabilidades