Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las últimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las últimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las últimas vulnerabilidades incorporadas al repositorio.

CVE-2026-35451

Fecha de publicación:

21/04/2026

Idioma:

Inglés

*** Pendiente de traducción *** Twenty is an open source CRM. Prior to 1.20.6, a Stored Cross-Site Scripting (XSS) vulnerability exists in the BlockNote editor component. Due to a lack of protocol validation in the FileBlock component and insufficient server-side inspection of block content, an attacker can inject a javascript: URI into the url property of a file block. This allows the execution of arbitrary JavaScript when a user clicks on the malicious file attachment. This vulnerability is fixed in 1.20.6.

Gravedad CVSS v3.1: MEDIA

Última modificación:

22/04/2026

CVE-2026-38835

Fecha de publicación:

21/04/2026

Idioma:

Inglés

*** Pendiente de traducción *** Tenda W30E V2.0 V16.01.0.21 was found to contain a command injection vulnerability in the formSetUSBPartitionUmount function via the usbPartitionName parameter. This vulnerability allows attackers to execute arbitrary commands via a crafted request.

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

27/04/2026

CVE-2026-38834

Fecha de publicación:

21/04/2026

Idioma:

Inglés

*** Pendiente de traducción *** Tenda W30E V2.0 V16.01.0.21 was found to contain a command injection vulnerability in the do_ping_action function via the hostName parameter. This vulnerability allows attackers to execute arbitrary commands via a crafted request.

Gravedad CVSS v3.1: ALTA

Última modificación:

27/04/2026

CVE-2026-30452

Fecha de publicación:

21/04/2026

Idioma:

Inglés

*** Pendiente de traducción *** Textpattern CMS 4.9.0 contains a Broken Access Control vulnerability in the article management system that allows authenticated users with low privileges to modify articles owned by users with higher privileges. By manipulating the article ID parameter during the duplicate-and-save workflow in textpattern/include/txp_article.php, an attacker can bypass authorization checks and overwrite content belonging to other users.

Gravedad CVSS v3.1: MEDIA

Última modificación:

22/04/2026

CVE-2026-29179

Fecha de publicación:

21/04/2026

Idioma:

Inglés

*** Pendiente de traducción *** October is a Content Management System (CMS) and web platform. Prior to 3.7.16 and 4.1.16, fine-grained sub-permission checks for asset and blueprint file operations were not enforced in the CMS and Tailor editor extensions. This only affects backend users who were explicitly granted editor access but had editor.cms_assets or editor.tailor_blueprints specifically withheld, an uncommon permission configuration. In this edge case, such users could perform file operations (create, delete, rename, move, upload) on theme assets or blueprint files despite lacking the required sub-permission. A related operator precedence error in the Tailor navigation also disclosed the theme blueprint directory tree under the same conditions. This vulnerability is fixed in 3.7.16 and 4.1.16.

Gravedad CVSS v3.1: BAJA

Última modificación:

22/04/2026

CVE-2026-27937

Fecha de publicación:

21/04/2026

Idioma:

Inglés

*** Pendiente de traducción *** October is a Content Management System (CMS) and web platform. Prior to 3.7.16 and 4.1.16, a reflected Cross-Site Scripting (XSS) vulnerability was identified in the backend DataTable widget where a query parameter was rendered without proper output escaping. This vulnerability is fixed in 3.7.16 and 4.1.16.

Gravedad CVSS v3.1: BAJA

Última modificación:

22/04/2026

CVE-2026-26274

Fecha de publicación:

21/04/2026

Idioma:

Inglés

*** Pendiente de traducción *** October is a Content Management System (CMS) and web platform. Prior to 3.7.14 and 4.1.10, a vulnerability was identified in the Twig sandbox security policy that allowed database write operations when cms.safe_mode is enabled. Backend users with Developer permissions could use Twig template markup to execute insert, update, and delete operations on any database table through the query builder, which is included in the sandbox allow-list. This vulnerability is fixed in 3.7.14 and 4.1.10.

Gravedad CVSS v3.1: MEDIA

Última modificación:

22/04/2026

CVE-2026-26067

Fecha de publicación:

21/04/2026

Idioma:

Inglés

*** Pendiente de traducción *** October is a Content Management System (CMS) and web platform. Prior to 3.7.14 and 4.1.10, a server-side information disclosure vulnerability was identified in the handling of CSS preprocessor files. Backend users with Editor permissions could craft .less, .sass, or .scss files that leverage the compiler&#39;s import functionality to read arbitrary files from the server. This worked even with cms.safe_mode enabled. This vulnerability is fixed in 3.7.14 and 4.1.10.

Gravedad CVSS v3.1: MEDIA

Última modificación:

22/04/2026

CVE-2026-25542

Fecha de publicación:

21/04/2026

Idioma:

Inglés

*** Pendiente de traducción *** Tekton Pipelines project provides k8s-style resources for declaring CI/CD-style pipelines. From 0.43.0 to 1.11.0, trusted resources verification policies match a resource source string (refSource.URI) against spec.resources[].pattern using regexp.MatchString. In Go, regexp.MatchString reports a match if the pattern matches anywhere in the string, so common unanchored patterns (including examples in tekton documentation) can be bypassed by attacker-controlled source strings that contain the trusted pattern as a substring. This can cause an unintended policy match and change which verification mode/keys apply.

Gravedad CVSS v3.1: MEDIA

Última modificación:

01/05/2026

CVE-2026-24176

Fecha de publicación:

21/04/2026

Idioma:

Inglés

*** Pendiente de traducción *** NVIDIA KAI Scheduler contains a vulnerability where an attacker could cause improper authorization through cross-namespace pod references. A successful exploit of this vulnerability might lead to data tampering.

Gravedad CVSS v3.1: MEDIA

Última modificación:

22/04/2026

CVE-2026-24177

Fecha de publicación:

21/04/2026

Idioma:

Inglés

*** Pendiente de traducción *** NVIDIA KAI Scheduler contains a vulnerability where an attacker could access API endpoints without authorization. A successful exploit of this vulnerability might lead to information disclosure.

Gravedad CVSS v3.1: ALTA

Última modificación:

22/04/2026

CVE-2026-24189

Fecha de publicación:

21/04/2026

Idioma:

Inglés

*** Pendiente de traducción *** NVIDIA CUDA-Q contains a vulnerability in an endpoint, where an unauthenticated attacker could cause an out-of-bounds read by sending a maliciously crafted request. A successful exploit of this vulnerability might lead to denial of service and information disclosure.

Gravedad CVSS v3.1: ALTA

Última modificación:

22/04/2026

Suscribirse a Vulnerabilidades