Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las últimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las últimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las últimas vulnerabilidades incorporadas al repositorio.

CVE-2026-18184

Fecha de publicación:

23/09/2026

Idioma:

Inglés

*** Pendiente de traducción *** IBM Financial Transaction Manager (FTM) for RedHat OpenShift could allow a remote attacker to obtain sensitive information due to an XML external entity (XXE) injection flaw.

Gravedad CVSS v3.1: ALTA

Última modificación:

23/09/2026

CVE-2026-18872

Fecha de publicación:

23/09/2026

Idioma:

Inglés

*** Pendiente de traducción *** IBM Financial Transaction Manager (FTM) for RedHat OpenShift is vulnerable to stored cross-site scripting (CWE-79) in the FTM UI NetworkAcknowledgement React component (NetworkAcknowledgement.jsx:42). A malicious actor can inject script into stored network acknowledgement data that executes in authenticated operator browsers, enabling session hijacking and unauthorized operator-level payment actions.

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

23/09/2026

CVE-2026-18875

Fecha de publicación:

23/09/2026

Idioma:

Inglés

*** Pendiente de traducción *** IBM Financial Transaction Manager (FTM) for RedHat OpenShift is vulnerable to RAG poisoning via unauthenticated runbook upsert (CWE-74) in the FTM AI agent server (api.vectordb.runbooks.js:51). An unauthenticated attacker can insert malicious runbook content into the agent&#39;s vector database to steer AI-driven MCP tool calls, potentially triggering unauthorized payment actions or exfiltrating payment data.

Gravedad CVSS v3.1: ALTA

Última modificación:

23/09/2026

CVE-2026-18490

Fecha de publicación:

23/09/2026

Idioma:

Inglés

*** Pendiente de traducción *** IBM Financial Transaction Manager (FTM) for RedHat OpenShift is vulnerable to unauthenticated remote code execution via Java native deserialization on the PayDir Business Rules Manager RMI SSL endpoint (BrmRMISSLServerSocketFactory.java:95, EP8). An adjacent-network attacker can deliver a crafted serialized payload to achieve arbitrary code execution, exposing all PayDir credentials and enabling manipulation of payment business rules.

Gravedad CVSS v3.1: ALTA

Última modificación:

23/09/2026

CVE-2026-18180

Fecha de publicación:

23/09/2026

Idioma:

Inglés

*** Pendiente de traducción *** IBM Financial Transaction Manager (FTM) for RedHat OpenShift could allow a remote authenticated attacker to obtain sensitive information due to SQL injection.

Gravedad CVSS v3.1: MEDIA

Última modificación:

23/09/2026

CVE-2026-96611

Fecha de publicación:

23/09/2026

Idioma:

Inglés

*** Pendiente de traducción *** FFmpeg before 9.0 has a signed integer overflow in libavformat/mov.c. In mov_read_ispe(), uint32_t width/height values from a crafted HEIF ispe box are stored into signed int fields without bounds checking, allowing values exceeding INT_MAX to become negative. In read_image_grid(), accumulating these values causes signed integer overflow (undefined behavior per C17 section 6.5), which on x86 wraps to a small positive value, bypassing downstream validity checks.

Gravedad CVSS v3.1: MEDIA

Última modificación:

23/09/2026

CVE-2026-96599

Fecha de publicación:

23/09/2026

Idioma:

Inglés

*** Pendiente de traducción *** Isotope eCommerce through 2.9.10 derives order identifiers from uniqid() instead of a cryptographically secure source, allowing unauthenticated attackers to guess identifiers. Guest orders lack ownership verification, enabling attackers to access order details including billing address, customer information, and purchased files by supplying a guessed uid parameter.

Gravedad CVSS v4.0: ALTA

Última modificación:

23/09/2026

CVE-2026-96609

Fecha de publicación:

23/09/2026

Idioma:

Inglés

*** Pendiente de traducción *** Robur Albatross 1.0.0 through 2.x before 2.7.2 does not limit use of the ring buffer, leading to an albatross-console loop with no recognized termination condition. This is only exploitable by users who can send console subscription commands to unikernels that produce sufficient log output to fill the ring buffer (1024 lines). It is not exploitable by unauthorized clients.

Gravedad CVSS v4.0: ALTA

Última modificación:

23/09/2026

CVE-2026-96600

Fecha de publicación:

23/09/2026

Idioma:

Inglés

*** Pendiente de traducción *** Isotope eCommerce through 2.9.10 contains a blind SQL injection vulnerability in backend callbacks that interpolate request-controlled identifiers and administrator-supplied values directly into SQL statements. Authenticated Contao backend users with Isotope module permissions can exploit conditional and time-based injection payloads to extract arbitrary database contents including user password hashes from the tl_user table.

Gravedad CVSS v4.0: ALTA

Última modificación:

23/09/2026

CVE-2026-96275

Fecha de publicación:

23/09/2026

Idioma:

Inglés

*** Pendiente de traducción *** A malicious or compromised Flatpak repository can write attacker-controlled content to arbitrary locations on the host filesystem via extract_extra_data(). On system installs, the write happens as root. Two issues combine: `files/extra` is resolved via path operations that follow symlinks, and blob names from `xa.extra-data-sources` are not sanitized against `..` traversal.

Gravedad CVSS v3.1: ALTA

Última modificación:

23/09/2026

CVE-2026-96276

Fecha de publicación:

23/09/2026

Idioma:

Inglés

*** Pendiente de traducción *** If a malicious SDK container declares an extension point with a crafted `directory` path, and a developer runs `flatpak build-init --writable-sdk --sdk-extension` with that SDK, attacker-chosen files could be written outside the working directory, since the target path is resolved via a function that allows `..` traversal.

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

23/09/2026

CVE-2026-92419

Fecha de publicación:

23/09/2026

Idioma:

Inglés

*** Pendiente de traducción *** WEBCON BPS is vulnerable to Insecure Direct Object Reference (IDOR) in the /api/vacations/{path} endpoint. The selectedPeople parameter in the Gantt vacation chart API does not validate whether the requesting user is authorized to access the requested users&#39; data. An authenticated attacker can supply arbitrary user logins in the selectedPeople parameter to view vacation schedules of other employees, including managers and staff from other offices, regardless of business logic access restrictions, resulting in unauthorized disclosure of sensitive scheduling information.This vulnerability was fixed in versions: 2025.2.1.177 and 2026.1.1.20

Gravedad CVSS v4.0: MEDIA

Última modificación:

23/09/2026

Suscribirse a Vulnerabilidades