Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las últimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las últimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las últimas vulnerabilidades incorporadas al repositorio.

CVE-2026-63358

Fecha de publicación:

21/07/2026

Idioma:

Inglés

*** Pendiente de traducción *** FileGator accepts arbitrary Unix permission values via the &#39;/chmoditems&#39; API endpoint and passes the value directly to PHP&#39;s native &#39;chmod()&#39; function through &#39;octdec()&#39; conversion, with no validation. This allows an authenticated user with &#39;chmod&#39; permission to upgrade their privileges to root.

Gravedad CVSS v4.0: ALTA

Última modificación:

22/07/2026

CVE-2026-63764

Fecha de publicación:

21/07/2026

Idioma:

Inglés

*** Pendiente de traducción *** LMDeploy through 0.14.0, fixed in commit 03c3130, contains a server-side request forgery (SSRF) vulnerability in the _load_http_url function within the connection.py media handler, where the private-IP guard validates only the original URL without re-validating hosts after HTTP redirects. An unauthenticated attacker can submit a crafted image_url to the chat completions endpoint pointing to an attacker-controlled host that returns a redirect to a private IP or cloud-metadata endpoint, causing the server to follow the redirect and expose internal service content through the model pipeline.

Gravedad CVSS v4.0: ALTA

Última modificación:

23/07/2026

CVE-2026-64821

Fecha de publicación:

21/07/2026

Idioma:

Inglés

*** Pendiente de traducción *** djangoSIGE through 1.10 (commit a6fe7e8) contains a cross-site request forgery vulnerability that allows unauthenticated attackers to cancel sales or purchase orders on behalf of authenticated users by exploiting order-cancellation logic implemented inside HTTP GET method handlers in CancelarOrcamentoVendaView, CancelarPedidoVendaView, CancelarOrcamentoCompraView, and CancelarPedidoCompraView. Attackers can lure an authenticated victim with change_orcamentovenda or equivalent permissions to a page containing a cross-origin reference such as an img tag pointing to the cancellation endpoint, bypassing CSRF token validation entirely since Django&#39;s CsrfViewMiddleware only enforces CSRF checks on unsafe HTTP methods.

Gravedad CVSS v4.0: MEDIA

Última modificación:

23/07/2026

CVE-2026-64822

Fecha de publicación:

21/07/2026

Idioma:

Inglés

*** Pendiente de traducción *** djangoSIGE through 1.10 (commit a6fe7e8) contains a user enumeration vulnerability in ForgotPasswordView within djangosige/apps/login/views.py that allows unauthenticated attackers to identify valid accounts by observing distinct error messages returned by the password reset endpoint. Attackers can submit arbitrary usernames or email addresses to the POST login/esqueceu/ endpoint and distinguish between existing and non-existing accounts based on observable discrepancies in the application&#39;s responses.

Gravedad CVSS v4.0: MEDIA

Última modificación:

23/07/2026

CVE-2026-64881

Fecha de publicación:

21/07/2026

Idioma:

Inglés

*** Pendiente de traducción *** The audit file upload handler does not sanitize filenames, allowing shell metacharacters to flow into system command execution. This input validation failure enables command injection when chained with a related vulnerability.

Gravedad CVSS v4.0: ALTA

Última modificación:

24/07/2026

CVE-2026-56147

Fecha de publicación:

21/07/2026

Idioma:

Inglés

*** Pendiente de traducción *** Authorization Bypass Through User-Controlled Key (CWE-639) in Kibana can lead to unauthorized information disclosure and case attachment integrity compromise via Privilege Abuse (CAPEC-122). An inconsistency in Kibana&#39;s file access authorization logic allows a low-privileged authenticated user to retrieve, modify, and delete case attachments that belong to feature areas they are not authorized to access. Because the access control check and the resource retrieval use different resolution mechanisms, an authenticated attacker with limited file management permissions can obtain the contents of, modify, or delete protected case attachments — such as those associated with Security Solution cases — without holding the privileges required to access those features.

Gravedad CVSS v3.1: ALTA

Última modificación:

22/07/2026

CVE-2026-63136

Fecha de publicación:

21/07/2026

Idioma:

Inglés

*** Pendiente de traducción *** Uncontrolled Resource Consumption (CWE-400) in Elasticsearch can lead to denial of service via Excessive Allocation (CAPEC-130). A user with search privileges can submit a specially crafted search request that causes a data node to exhaust available heap memory, resulting in node unavailability and cluster degradation. An attacker could leverage this vulnerability to cause cluster downtime requiring manual intervention to restore service.

Gravedad CVSS v3.1: MEDIA

Última modificación:

22/07/2026

CVE-2026-63139

Fecha de publicación:

21/07/2026

Idioma:

Inglés

*** Pendiente de traducción *** Uncontrolled Resource Consumption (CWE-400) in Kibana can lead to denial of service via Excessive Allocation (CAPEC-130). An authenticated low-privileged user can exploit an uncontrolled resource consumption vulnerability in Kibana&#39;s Canvas functionality by sending a specially crafted request, causing the Kibana server process to terminate and resulting in a denial of service for all users of the affected Kibana instance.

Gravedad CVSS v3.1: MEDIA

Última modificación:

22/07/2026

CVE-2026-52474

Fecha de publicación:

21/07/2026

Idioma:

Inglés

*** Pendiente de traducción *** An issue in aiflowy

Gravedad CVSS v3.1: ALTA

Última modificación:

22/07/2026

CVE-2026-52475

Fecha de publicación:

21/07/2026

Idioma:

Inglés

*** Pendiente de traducción *** Cross Site Scripting vulnerability in aiflowy

Gravedad CVSS v3.1: MEDIA

Última modificación:

22/07/2026

CVE-2026-52476

Fecha de publicación:

21/07/2026

Idioma:

Inglés

*** Pendiente de traducción *** SQL Injection vulnerability in aiflowy

Gravedad CVSS v3.1: ALTA

Última modificación:

22/07/2026

CVE-2026-63080

Fecha de publicación:

21/07/2026

Idioma:

Inglés

*** Pendiente de traducción *** Aptabase through commit 5a89368 contains a SQL injection vulnerability in the ClickHouse query backend that allows authenticated attackers to read event data across all tenants by injecting unsanitized filter parameters into Liquid SQL templates. Attackers can supply malicious values through EventName, CountryCode, OsName, DeviceModel, AppVersion, or SessionId parameters to inject a UNION ALL statement that bypasses the app_id tenant isolation filter across thirteen of the fifteen stats API endpoints.

Gravedad CVSS v4.0: ALTA

Última modificación:

23/07/2026

Suscribirse a Vulnerabilidades