Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las últimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las últimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las últimas vulnerabilidades incorporadas al repositorio.

CVE-2026-7573

Fecha de publicación:
06/05/2026
Idioma:
Inglés
*** Pendiente de traducción *** An authorization bypass (CWE-639) in the GetUserRoles gRPC API endpoint in Velocidex Velociraptor below version 0.76.5 allows any authenticated low-privilege user to retrieve the complete ACL policy (roles and permissions) for any user across all organizations by supplying targeted Name and Org parameters via a network request.
Gravedad CVSS v3.1: MEDIA
Última modificación:
07/05/2026

CVE-2026-7572

Fecha de publicación:
06/05/2026
Idioma:
Inglés
*** Pendiente de traducción *** An off-by-one error (CWE-193) in the ConsumeUnit16Array and ConsumeUnit64Array functions in Velocidex Velociraptor before version 0.76.5 on Windows and Linux allows a local attacker to cause a Denial of Service (DoS) via a process crash by providing a specially crafted .evtx file to the parse_evtx VQL plugin.
Gravedad CVSS v3.1: MEDIA
Última modificación:
07/05/2026

CVE-2025-71256

Fecha de publicación:
06/05/2026
Idioma:
Inglés
*** Pendiente de traducción *** In nr modem, there is a possible improper input validation. This could lead to remote denial of service with no additional execution privileges needed.
Gravedad CVSS v3.1: ALTA
Última modificación:
11/05/2026

CVE-2025-71255

Fecha de publicación:
06/05/2026
Idioma:
Inglés
*** Pendiente de traducción *** In Modem IMS, there is a possible improper input validation. This could lead to remote denial of service with no additional execution privileges needed.
Gravedad CVSS v3.1: ALTA
Última modificación:
11/05/2026

CVE-2025-71254

Fecha de publicación:
06/05/2026
Idioma:
Inglés
*** Pendiente de traducción *** In Modem IMS, there is a possible improper input validation. This could lead to remote denial of service with no additional execution privileges needed.
Gravedad CVSS v3.1: ALTA
Última modificación:
11/05/2026

CVE-2025-71253

Fecha de publicación:
06/05/2026
Idioma:
Inglés
*** Pendiente de traducción *** In Modem IMS, there is a possible improper input validation. This could lead to remote denial of service with no additional execution privileges needed.
Gravedad CVSS v3.1: ALTA
Última modificación:
11/05/2026

CVE-2025-71252

Fecha de publicación:
06/05/2026
Idioma:
Inglés
*** Pendiente de traducción *** In Modem IMS, there is a possible improper input validation. This could lead to remote denial of service with no additional execution privileges needed.
Gravedad CVSS v3.1: ALTA
Última modificación:
11/05/2026

CVE-2025-71251

Fecha de publicación:
06/05/2026
Idioma:
Inglés
*** Pendiente de traducción *** In IMS, there is a possible system crash due to improper input validation. This could lead to remote denial of service with no additional execution privileges needed.
Gravedad CVSS v3.1: ALTA
Última modificación:
11/05/2026

CVE-2026-44405

Fecha de publicación:
06/05/2026
Idioma:
Inglés
*** Pendiente de traducción *** In Paramiko through 4.0.0 before a448945, rsakey.py allows the SHA-1 algorithm.
Gravedad CVSS v3.1: BAJA
Última modificación:
07/05/2026

CVE-2026-28780

Fecha de publicación:
05/05/2026
Idioma:
Inglés
*** Pendiente de traducción *** Heap-based Buffer Overflow vulnerability in mod_proxy_ajp of Apache HTTP Server.<br /> If mod_proxy_ajp connects to a malicious AJP server this AJP server can send a malicious AJP message back to mod_proxy_ajp and cause it to write 4 attacker controlled bytes after the end of a heap based buffer.<br /> <br /> This issue affects Apache HTTP Server: through 2.4.66.<br /> <br /> Users are recommended to upgrade to version 2.4.67, which fixes the issue.
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
06/05/2026

CVE-2026-40110

Fecha de publicación:
05/05/2026
Idioma:
Inglés
*** Pendiente de traducción *** Jupyter Server is the backend for Jupyter web applications. In versions 2.17.0 and earlier, the Origin header validation uses Python&amp;#39;s re.match() to check incoming origins against the allow_origin_pat configuration value. Because re.match() only anchors at the start of the string and does not require a full match, a pattern intended to match only a trusted domain (e.g., trusted.example.com) will also match any origin that begins with that domain followed by additional characters (e.g., trusted.example.com.evil.com). An attacker who controls such a domain can bypass the CORS origin restriction and make cross-origin requests to the Jupyter Server API from an untrusted site. This issue has been fixed in version 2.18.0.
Gravedad CVSS v4.0: ALTA
Última modificación:
11/05/2026

CVE-2026-40934

Fecha de publicación:
05/05/2026
Idioma:
Inglés
*** Pendiente de traducción *** Jupyter Server is the backend for Jupyter web applications. In versions 2.17.0 and earlier, the secret used to sign authentication cookies is persisted to a static file at ~/.local/share/jupyter/runtime/jupyter_cookie_secret and is never rotated when a user changes their password. After a password reset and server restart, any previously issued authentication cookie remains cryptographically valid because the signing key has not changed. An attacker who has captured a session cookie through any means retains full authenticated access to the server regardless of subsequent password changes. This affects deployments using password-based authentication, particularly shared or public-facing servers where credential rotation is expected to revoke existing sessions. This issue has been fixed in version 2.18.0.
Gravedad CVSS v4.0: ALTA
Última modificación:
11/05/2026