Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las últimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las últimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las últimas vulnerabilidades incorporadas al repositorio.

CVE-2026-13055

Fecha de publicación:

22/07/2026

Idioma:

Inglés

*** Pendiente de traducción *** The `$_internalIndexKey` aggregation expression can be used by any authenticated user to crash a MongoDB server (mongod). The expression fails to handle compound wildcard index specifications, triggering an internal consistency check that aborts the server process. The user must be able to run an aggregation pipeline.

Gravedad CVSS v4.0: ALTA

Última modificación:

23/07/2026

CVE-2026-13056

Fecha de publicación:

22/07/2026

Idioma:

Inglés

*** Pendiente de traducción *** Using expressions that generate large arrays it is possible to craft a query that creates very large intermediate objects in memory, causing the server to crash with OOM error.

Gravedad CVSS v4.0: ALTA

Última modificación:

23/07/2026

CVE-2026-13057

Fecha de publicación:

22/07/2026

Idioma:

Inglés

*** Pendiente de traducción *** An issue in the server’s Atlas Search integration allows an authenticated user to bypass per-user access controls.<br /> <br /> <br /> <br /> In sharded topologies, the $search and $searchMeta aggregation stages use internal routing that is normally populated only by the trusted router during sharded search planning. Due to insufficient input validation, an authenticated client can supply these fields directly.

Gravedad CVSS v4.0: MEDIA

Última modificación:

23/07/2026

CVE-2026-13058

Fecha de publicación:

22/07/2026

Idioma:

Inglés

*** Pendiente de traducción *** An authenticated user with basic write privileges can cause the mongod process to terminate abnormally by sending a crafted transaction command with an incomplete set of required fields. The issue stems from inconsistent validation across related transaction command parameters, resulting in a fatal internal invariant failure and denial of service.

Gravedad CVSS v4.0: ALTA

Última modificación:

23/07/2026

CVE-2026-13060

Fecha de publicación:

22/07/2026

Idioma:

Inglés

*** Pendiente de traducción *** An authenticated user with limited read privileges may be able to access documents from collections they are not authorized to read, due to an inconsistency in how the $graphLookup aggregation stage is evaluated during authorization and during execution. Affected scenarios involve collections referenced within existing view pipeline definitions.

Gravedad CVSS v4.0: ALTA

Última modificación:

23/07/2026

CVE-2026-13059

Fecha de publicación:

22/07/2026

Idioma:

Inglés

*** Pendiente de traducción *** An authenticated user with low privileges may be able to perform unauthorized reads and writes on data protected by role-based query-level access controls, due to insufficient validation of certain client-supplied command parameters. The issue affects find, update, delete, and aggregate commands in non-apiStrict configurations.

Gravedad CVSS v4.0: ALTA

Última modificación:

24/07/2026

CVE-2026-3482

Fecha de publicación:

22/07/2026

Idioma:

Inglés

*** Pendiente de traducción *** IBM Sterling B2B Integrator and IBM Sterling File Gateway 6.2.0.0 through 6.2.0.5_2, 6.2.1.0 through 6.2.1.1_2, and 6.2.2.0 through 6.2.2.0_1 could allow an unauthenticated user to read sensitive information by bypassing authentication through a specially crafted HTTP request.

Gravedad CVSS v3.1: MEDIA

Última modificación:

23/07/2026

CVE-2026-22049

Fecha de publicación:

22/07/2026

Idioma:

Inglés

*** Pendiente de traducción *** ONTAP versions 9.16.1 and higher with WebAuthn multi-factor authentication (MFA) configured are susceptible to a vulnerability related to the Relying Party ID which when successfully exploited could allow an attacker with valid credentials to bypass MFA.

Gravedad CVSS v4.0: ALTA

Última modificación:

25/07/2026

CVE-2026-16624

Fecha de publicación:

22/07/2026

Idioma:

Inglés

*** Pendiente de traducción *** Cal.com OSS ships lacks authorization on webhook teamId creation, allowing any authenticated user to create a webhook on any team via unvalidated teamId injection, then steal booking data, including fields like organizer/attendee emails and custom responses, and conditionally video-call passwords, by triggering webhook delivery.

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

27/07/2026

CVE-2026-65650

Fecha de publicación:

22/07/2026

Idioma:

Inglés

*** Pendiente de traducción *** Elgg before 7.0.0 does not check image dimensions to prevent denial of service via a large avatar upload.

Gravedad CVSS v3.1: MEDIA

Última modificación:

22/07/2026

CVE-2026-64832

Fecha de publicación:

22/07/2026

Idioma:

Inglés

*** Pendiente de traducción *** FFmpeg versions 4.4 through 8.1.2 contain a double-free vulnerability in the NVIDIA NVDEC hardware decoder within libavcodec/nvdec.c that allows attackers to trigger memory corruption by supplying a crafted video file. When no decoder surfaces remain, the ff_nvdec_start_frame_sep_ref error path frees memory via nvdec_fdd_priv_free while the calling layer subsequently frees the same frame description data, resulting in a double-free of the underlying decoder context in any FFmpeg-based application using NVDEC hardware-accelerated decoding.

Gravedad CVSS v4.0: ALTA

Última modificación:

28/07/2026

CVE-2026-64833

Fecha de publicación:

22/07/2026

Idioma:

Inglés

*** Pendiente de traducción *** FFmpeg versions 0.7.1 through 8.1.2 contain an out-of-bounds read vulnerability in the S/PDIF muxer that allows attackers to access memory beyond buffer boundaries by supplying a crafted DTS stream with a core_size value larger than the actual packet length. Attackers can exploit the missing bounds check in the spdif_header_dts4 function by providing a malicious DTS-HD audio stream during S/PDIF re-muxing to trigger unauthorized memory reads beyond the packet buffer.

Gravedad CVSS v4.0: ALTA

Última modificación:

28/07/2026

Suscribirse a Vulnerabilidades