Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las últimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las últimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las últimas vulnerabilidades incorporadas al repositorio.

CVE-2026-42220

Fecha de publicación:

04/05/2026

Idioma:

Inglés

*** Pendiente de traducción *** Nginx UI is a web user interface for the Nginx web server. Prior to version 2.3.8, an authenticated user can call GET /api/settings and retrieve sensitive configuration values, including node.secret. The same node.secret is accepted by AuthRequired() through the X-Node-Secret header (or node_secret query parameter), causing the request to be treated as authenticated via the trusted-node path and associated with the init user. This issue has been patched in version 2.3.8.

Gravedad CVSS v3.1: MEDIA

Última modificación:

06/05/2026

CVE-2026-7768

Fecha de publicación:

04/05/2026

Idioma:

Inglés

*** Pendiente de traducción *** @fastify/accepts-serializer cached serializer-selection results keyed by the request Accept header without a size limit or eviction policy. A remote unauthenticated client could send many distinct but matching Accept header variants to make the cache grow unbounded, eventually exhausting the Node.js heap and crashing the process. Versions

Gravedad CVSS v3.1: ALTA

Última modificación:

07/05/2026

CVE-2026-6321

Fecha de publicación:

04/05/2026

Idioma:

Inglés

*** Pendiente de traducción *** fast-uri decoded percent-encoded path separators and dot segments before applying dot-segment removal in its normalize() and equal() functions. Encoded path data was treated like real slashes and parent-directory references, so distinct URIs could collapse onto the same normalized path. Applications that normalize or compare attacker-controlled URLs to enforce path-based policy can be bypassed, with a path that appears confined under an allowed prefix normalizing to a different location. Versions

Gravedad CVSS v3.1: ALTA

Última modificación:

12/05/2026

CVE-2026-41923

Fecha de publicación:

04/05/2026

Idioma:

Inglés

*** Pendiente de traducción *** WDR201A WiFi Extender (HW V2.1, FW LFMZX28040922V1.02) contains an OS command injection vulnerability in the internet.cgi binary that allows unauthenticated remote attackers to execute arbitrary shell commands by injecting malicious input into the gateway POST parameter. Attackers can exploit unsanitized parameter concatenation in the set_add_routing function to inject shell commands that are executed via popen() with partial output reflected in the HTTP response.

Gravedad CVSS v4.0: CRÍTICA

Última modificación:

05/05/2026

CVE-2026-41924

Fecha de publicación:

04/05/2026

Idioma:

Inglés

*** Pendiente de traducción *** WDR201A WiFi Extender (HW V2.1, FW LFMZX28040922V1.02) contains an OS command injection vulnerability in the makeRequest.cgi binary that allows unauthenticated remote attackers to execute arbitrary shell commands by injecting malicious input into the set_time or StartSniffer functions. Attackers can craft a POST request with specially crafted ampersand-delimited parameters to bypass input sanitization and execute commands with a maximum length of 31 bytes through the date command or channel parameter processing.

Gravedad CVSS v4.0: CRÍTICA

Última modificación:

05/05/2026

CVE-2026-41925

Fecha de publicación:

04/05/2026

Idioma:

Inglés

*** Pendiente de traducción *** WDR201A WiFi Extender (HW V2.1, FW LFMZX28040922V1.02) contains an OS command injection vulnerability in the adm.cgi binary&#39;s reboot_time function that allows unauthenticated remote attackers to execute arbitrary shell commands by injecting malicious input into the reboot_time POST parameter. Attackers can send a crafted request with shell metacharacters in the reboot_time parameter when reboot_enabled=1 to achieve remote code execution.

Gravedad CVSS v4.0: CRÍTICA

Última modificación:

05/05/2026

CVE-2026-41926

Fecha de publicación:

04/05/2026

Idioma:

Inglés

*** Pendiente de traducción *** WDR201A WiFi Extender (HW V2.1, FW LFMZX28040922V1.02) contains an OS command injection vulnerability in the firewall.cgi binary across five request handlers that apply insufficient input validation. Attackers can inject arbitrary shell commands through vulnerable parameters like websURLFilter, websHostFilter, portForward, singlePortForward, and ipportFilter using subshell syntax or unfiltered parameters, with payloads persisting in NVRAM and re-executing on every subsequent firewall.cgi request.

Gravedad CVSS v4.0: CRÍTICA

Última modificación:

05/05/2026

CVE-2026-41927

Fecha de publicación:

04/05/2026

Idioma:

Inglés

*** Pendiente de traducción *** WDR201A WiFi Extender (HW V2.1, FW LFMZX28040922V1.02) contains a stack-based buffer overflow vulnerability in the firewall.cgi and makeRequest.cgi binaries that allows unauthenticated attackers to overwrite the saved return address by sending a POST request with a Content-Length header exceeding 512 bytes. Attackers can exploit insufficient length validation in the fgets() call to achieve arbitrary code execution through return-oriented programming or return-to-libc techniques.

Gravedad CVSS v4.0: ALTA

Última modificación:

05/05/2026

CVE-2026-41922

Fecha de publicación:

04/05/2026

Idioma:

Inglés

*** Pendiente de traducción *** WDR201A WiFi Extender (HW V2.1, FW LFMZX28040922V1.02) contains an OS command injection vulnerability in the wireless.cgi binary that allow unauthenticated remote attackers to execute arbitrary shell commands by injecting malicious input into the sz11gChannel or PIN POST parameters. Attackers can exploit unsanitized parameter handling in the set_wifi_basic and set_wifi_do_wps functions to achieve remote code execution without authentication.

Gravedad CVSS v4.0: CRÍTICA

Última modificación:

05/05/2026

CVE-2026-34882

Fecha de publicación:

04/05/2026

Idioma:

Inglés

*** Pendiente de traducción *** Rejected reason: DO NOT USE THIS CVE RECORD. ConsultIDs: CVE-2026-6074. Reason: This record is a reservation duplicate of CVE-2026-6074. Notes: All CVE users should reference CVE-2026-6074 instead of this record. All references and descriptions in this record have been removed to prevent accidental usage.

Gravedad: Pendiente de análisis

Última modificación:

04/05/2026

CVE-2025-67796

Fecha de publicación:

04/05/2026

Idioma:

Inglés

*** Pendiente de traducción *** IKUS Rdiffweb before 2.10.5 has an improper authorization flaw that allows an attacker with any valid or stolen access token to act as other users. The API does not enforce binding between the authenticated subject and the targeted user/tenant, so crafted requests can read or modify other users data and, in some cases, perform privileged actions. This issue may enable cross-tenant access. Fixed in version 2.10.6.

Gravedad CVSS v3.1: ALTA

Última modificación:

07/05/2026

CVE-2026-43964

Fecha de publicación:

04/05/2026

Idioma:

Inglés

*** Pendiente de traducción *** Postfix before 3.8.16, 3.9 before 3.9.10, and 3.10 before 3.10.9 sometimes allows a buffer over-read and process crash via an enhanced status code that lacks text after the third number.

Gravedad CVSS v3.1: BAJA

Última modificación:

11/05/2026

Suscribirse a Vulnerabilidades