Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las últimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las últimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las últimas vulnerabilidades incorporadas al repositorio.

CVE-2026-7906

Fecha de publicación:

06/05/2026

Idioma:

Inglés

*** Pendiente de traducción *** Use after free in SVG in Google Chrome prior to 148.0.7778.96 allowed a remote attacker to execute arbitrary code inside a sandbox via a crafted HTML page. (Chromium security severity: High)

Gravedad CVSS v3.1: ALTA

Última modificación:

06/05/2026

CVE-2026-7902

Fecha de publicación:

06/05/2026

Idioma:

Inglés

*** Pendiente de traducción *** Out of bounds memory access in V8 in Google Chrome prior to 148.0.7778.96 allowed a remote attacker to execute arbitrary code inside a sandbox via a crafted HTML page. (Chromium security severity: High)

Gravedad CVSS v3.1: ALTA

Última modificación:

10/05/2026

CVE-2026-7896

Fecha de publicación:

06/05/2026

Idioma:

Inglés

*** Pendiente de traducción *** Integer overflow in Blink in Google Chrome prior to 148.0.7778.96 allowed a remote attacker to potentially exploit heap corruption via a crafted HTML page. (Chromium security severity: Critical)

Gravedad CVSS v3.1: ALTA

Última modificación:

06/05/2026

CVE-2026-7897

Fecha de publicación:

06/05/2026

Idioma:

Inglés

*** Pendiente de traducción *** Use after free in Mobile in Google Chrome on iOS prior to 148.0.7778.96 allowed a remote attacker who convinced a user to engage in specific UI gestures to execute arbitrary code via a crafted HTML page. (Chromium security severity: Critical)

Gravedad CVSS v3.1: ALTA

Última modificación:

06/05/2026

CVE-2026-41934

Fecha de publicación:

06/05/2026

Idioma:

Inglés

*** Pendiente de traducción *** Vvveb before version 1.0.8.2 contains an authenticated remote code execution vulnerability in the admin code editor that allows low-privilege authenticated users to execute arbitrary code by exploiting insufficient file extension restrictions. Attackers with editor, author, contributor, or site_admin roles can write a malicious .htaccess file to map arbitrary extensions to the PHP handler, then upload PHP code with that extension to achieve unauthenticated remote code execution when the file is accessed via HTTP.

Gravedad CVSS v4.0: ALTA

Última modificación:

06/05/2026

CVE-2026-41930

Fecha de publicación:

06/05/2026

Idioma:

Inglés

*** Pendiente de traducción *** Vvveb before version 1.0.8.2 contains a hard-coded credentials vulnerability in its docker-compose-apache.yaml configuration that allows unauthenticated attackers to access the bundled phpMyAdmin container with pre-configured database credentials. Attackers can connect to the phpMyAdmin port to gain unrestricted read and write access to the entire Vvveb database, including administrator password hashes, customer personally identifiable information, and order data, enabling account takeover and data manipulation.

Gravedad CVSS v4.0: CRÍTICA

Última modificación:

06/05/2026

CVE-2026-41931

Fecha de publicación:

06/05/2026

Idioma:

Inglés

*** Pendiente de traducción *** Vvveb before version 1.0.8.2 contains an information disclosure vulnerability that allows unauthenticated attackers to obtain sensitive server information by triggering unhandled exceptions in the password-reset module. Attackers can access the admin password-reset endpoint to trigger a fatal error caused by a missing namespace import, which exposes the absolute server file path, internal class namespaces, line numbers, and source code excerpts through the debug exception handler rendered to unauthenticated requests.

Gravedad CVSS v4.0: MEDIA

Última modificación:

06/05/2026

CVE-2026-41936

Fecha de publicación:

06/05/2026

Idioma:

Inglés

*** Pendiente de traducción *** Vvveb before version 1.0.8.2 contains an XML external entity (XXE) injection vulnerability in the admin Tools/Import feature that allows authenticated site_admin users to read arbitrary files and modify database records. Attackers can exploit the XML parser configuration in system/import/xml.php to inject file:// or php://filter entity references that are resolved and persisted into the application database, enabling arbitrary file disclosure and administrator password hash overwriting for privilege escalation.

Gravedad CVSS v4.0: ALTA

Última modificación:

06/05/2026

CVE-2026-41938

Fecha de publicación:

06/05/2026

Idioma:

Inglés

*** Pendiente de traducción *** Vvveb before version 1.0.8.2 contains an unrestricted file upload vulnerability in the media upload handler that allows authenticated users with media-upload permissions to bypass extension restrictions by uploading a .htaccess file to map .phtml extensions to the PHP handler. Attackers can upload a .phtml file containing arbitrary PHP code and trigger execution by sending an unauthenticated HTTP GET request to the uploaded file, resulting in remote code execution with web server privileges.

Gravedad CVSS v4.0: ALTA

Última modificación:

06/05/2026

CVE-2026-34473

Fecha de publicación:

06/05/2026

Idioma:

Inglés

*** Pendiente de traducción *** Unauthenticated DoS in ZTE H8102E, H168N, H167A, H199A, H288A, H198A, H267A, H267N, H268A, H388X, H196A, H369A, H268N, H208N, H367N, H181A, and H196Q. A denial-of-service condition can be triggered against the router&#39;s web interface by sending an oversized application/x-www-form-urlencoded POST body. After triggering, the management interface may become unresponsive until the device is rebooted. This may affect any firmware version prior to 2022 (reporter observation). The supplier stated that devices are not vulnerable since 2021-03-23; operator firmware may vary.

Gravedad CVSS v3.1: ALTA

Última modificación:

07/05/2026

CVE-2026-34474

Fecha de publicación:

06/05/2026

Idioma:

Inglés

*** Pendiente de traducción *** Sensitive data exposure leading to admin/WLAN credential leak in ZTE ZXHN H298A 1.1 and H108N 2.6. A crafted request to the router web interface can expose sensitive device and account information. In affected builds, the response may include the administrator password and WLAN PSK, enabling authentication bypass and network compromise. Some firmware versions may expose only partial identifiers (e.g., serial number, ESSID, MAC addresses).

Gravedad CVSS v3.1: ALTA

Última modificación:

07/05/2026

CVE-2025-31960

Fecha de publicación:

06/05/2026

Idioma:

Inglés

*** Pendiente de traducción *** HCL BigFix Service Management (SM) is vulnerable to information exposure due to improper error handling within its reporting module. It was observed that supplying an invalid or out-of-range value to the consumer_company parameter during a report-viewing request causes the application to trigger an unhandled exception.

Gravedad CVSS v3.1: MEDIA

Última modificación:

07/05/2026

Suscribirse a Vulnerabilidades