Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

017 - Ir a la línea de ayuda en Ciberseguridad    Ir a Agenda     Ir a Sala de prensa     Ir a suscripción de boletines

Ir al buscador

Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las últimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las últimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las últimas vulnerabilidades incorporadas al repositorio.

CVE-2026-1726
Fecha de publicación:
23/04/2026
Idioma:
Inglés
*** Pendiente de traducción *** IBM Guardium Key Lifecycle Manager 4.1, 4.1.1, 4.2, 4.2.1, 5.0, and 5.1
Gravedad CVSS v3.1: MEDIA
Última modificación:
27/04/2026

CVE-2026-1352
Fecha de publicación:
23/04/2026
Idioma:
Inglés
*** Pendiente de traducción *** IBM Db2 11.5.0 through 11.5.9, and 12.1.0 through 12.1.4 for Linux, UNIX and Windows (includes Db2 Connect Server) could allow an authenticated user to cause a denial of service due to improper neutralization of special elements in data query logic.
Gravedad CVSS v3.1: MEDIA
Última modificación:
27/04/2026

CVE-2026-1274
Fecha de publicación:
23/04/2026
Idioma:
Inglés
*** Pendiente de traducción *** IBM Guardium Data Protection 12.0, 12.1, and 12.2 is vulnerable to a Bypass Business Logic vulnerability in the access management control panel.
Gravedad CVSS v3.1: MEDIA
Última modificación:
27/04/2026

CVE-2026-1272
Fecha de publicación:
23/04/2026
Idioma:
Inglés
*** Pendiente de traducción *** IBM Guardium Data Protection 12.0, 12.1, and 12.2 is vulnerable to Security Misconfiguration vulnerability in the user access control panel.
Gravedad CVSS v3.1: BAJA
Última modificación:
27/04/2026

CVE-2025-36074
Fecha de publicación:
23/04/2026
Idioma:
Inglés
*** Pendiente de traducción *** IBM Security Verify Directory (Container) 10.0.0 through 10.0.0.3 IBM Security Verify Directory could be vulnerable to malicious file upload by not validating file type. A privileged user could upload malicious files into the system that can be sent to victims for performing further attacks against the system.
Gravedad CVSS v3.1: MEDIA
Última modificación:
24/04/2026

CVE-2026-4049
Fecha de publicación:
22/04/2026
Idioma:
Inglés
*** Pendiente de traducción *** Rejected reason: This CVE ID has been rejected or withdrawn by its CVE Numbering Authority.
Gravedad: Pendiente de análisis
Última modificación:
22/04/2026

CVE-2026-41314
Fecha de publicación:
22/04/2026
Idioma:
Inglés
*** Pendiente de traducción *** pypdf is a free and open-source pure-python PDF library. An attacker who uses a vulnerability present in versions prior to 6.10.2 can craft a PDF which leads to the RAM being exhausted. This requires accessing an image using `/FlateDecode` with large size values. This has been fixed in pypdf 6.10.2. As a workaround, one may apply the changes from the patch manually.
Gravedad CVSS v4.0: MEDIA
Última modificación:
27/04/2026

CVE-2026-41313
Fecha de publicación:
22/04/2026
Idioma:
Inglés
*** Pendiente de traducción *** pypdf is a free and open-source pure-python PDF library. An attacker who uses a vulnerability present in versions prior to 6.10.2 can craft a PDF which leads to long runtimes. This requires loading a PDF with a large trailer `/Size` value in incremental mode. This has been fixed in pypdf 6.10.2. As a workaround, one may apply the changes from the patch manually.
Gravedad CVSS v4.0: MEDIA
Última modificación:
27/04/2026

CVE-2026-41312
Fecha de publicación:
22/04/2026
Idioma:
Inglés
*** Pendiente de traducción *** pypdf is a free and open-source pure-python PDF library. An attacker who uses a vulnerability present in versions prior to 6.10.2 can craft a PDF which leads to the RAM being exhausted. This requires accessing a stream compressed using `/FlateDecode` with a `/Predictor` unequal 1 and large predictor parameters. This has been fixed in pypdf 6.10.2. As a workaround, one may apply the changes from the patch manually.
Gravedad CVSS v4.0: MEDIA
Última modificación:
27/04/2026

CVE-2026-41454
Fecha de publicación:
22/04/2026
Idioma:
Inglés
*** Pendiente de traducción *** WeKan before 8.35 contains a missing authorization vulnerability in the Integration REST API endpoints that allows authenticated board members to perform administrative actions without proper privilege verification. Attackers can enumerate integrations including webhook URLs, create new integrations, modify or delete existing integrations, and manage integration activities by exploiting insufficient authorization checks in the JsonRoutes REST handlers.
Gravedad CVSS v4.0: ALTA
Última modificación:
23/04/2026

CVE-2026-41455
Fecha de publicación:
22/04/2026
Idioma:
Inglés
*** Pendiente de traducción *** WeKan before 8.35 contains a server-side request forgery vulnerability in webhook integration URL handling where the url schema field accepts any string without protocol restriction or destination validation. Attackers who can create or modify integrations can set webhook URLs to internal network addresses, causing the server to issue HTTP POST requests to attacker-controlled internal targets with full board event payloads, and can additionally exploit response handling to overwrite arbitrary comment text without authorization checks.
Gravedad CVSS v4.0: MEDIA
Última modificación:
23/04/2026

CVE-2026-40517
Fecha de publicación:
22/04/2026
Idioma:
Inglés
*** Pendiente de traducción *** radare2 prior to 6.1.4 contains a command injection vulnerability in the PDB parser's print_gvars() function that allows attackers to execute arbitrary commands by crafting a malicious PDB file with newline characters in symbol names. Attackers can inject arbitrary radare2 commands through unsanitized symbol name interpolation in the flag rename command, which are then executed when a user runs the idp command against the malicious PDB file, enabling arbitrary OS command execution through radare2's shell execution operator.
Gravedad CVSS v4.0: ALTA
Última modificación:
27/04/2026
Suscribirse a Vulnerabilidades