Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

017 - Ir a la línea de ayuda en Ciberseguridad    Ir a Agenda     Ir a Sala de prensa     Ir a suscripción de boletines

Ir al buscador

Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las ultimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las ultimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las ultimas vulnerabilidades incorporadas al repositorio.

CVE-2026-40198
Fecha de publicación:
10/04/2026
Idioma:
Inglés
*** Pendiente de traducción *** Net::CIDR::Lite versions before 0.23 for Perl does not validate IPv6 group count, which may allow IP ACL bypass.<br /> <br /> _pack_ipv6() does not check that uncompressed IPv6 addresses (without ::) have exactly 8 hex groups. Inputs like "abcd", "1:2:3", or "1:2:3:4:5:6:7" are accepted and produce packed values of wrong length (3, 7, or 15 bytes instead of 17).<br /> <br /> The packed values are used internally for mask and comparison operations. find() and bin_find() use Perl string comparison (lt/gt) on these values, and comparing strings of different lengths gives wrong results. This can cause find() to incorrectly report an address as inside or outside a range.<br /> <br /> Example:<br /> <br /> my $cidr = Net::CIDR::Lite-&gt;new("::/8");<br /> $cidr-&gt;find("1:2:3"); # invalid input, incorrectly returns true<br /> <br /> This is the same class of input validation issue as CVE-2021-47154 (IPv4 leading zeros) previously fixed in this module.<br /> <br /> See also CVE-2026-40199, a related issue in the same function affecting IPv4 mapped IPv6 addresses.
Gravedad: Pendiente de análisis
Última modificación:
10/04/2026

CVE-2026-40199
Fecha de publicación:
10/04/2026
Idioma:
Inglés
*** Pendiente de traducción *** Net::CIDR::Lite versions before 0.23 for Perl mishandles IPv4 mapped IPv6 addresses, which may allow IP ACL bypass.<br /> <br /> _pack_ipv6() includes the sentinel byte from _pack_ipv4() when building the packed representation of IPv4 mapped addresses like ::ffff:192.168.1.1. This produces an 18 byte value instead of 17 bytes, misaligning the IPv4 part of the address.<br /> <br /> The wrong length causes incorrect results in mask operations (bitwise AND truncates to the shorter operand) and in find() / bin_find() which use Perl string comparison (lt/gt). This can cause find() to incorrectly match or miss addresses.<br /> <br /> Example:<br /> <br /> my $cidr = Net::CIDR::Lite-&gt;new("::ffff:192.168.1.0/120");<br /> $cidr-&gt;find("::ffff:192.168.2.0"); # incorrectly returns true<br /> <br /> This is triggered by valid RFC 4291 IPv4 mapped addresses (::ffff:x.x.x.x).<br /> <br /> See also CVE-2026-40198, a related issue in the same function affecting malformed IPv6 addresses.
Gravedad: Pendiente de análisis
Última modificación:
10/04/2026

CVE-2026-5724
Fecha de publicación:
10/04/2026
Idioma:
Inglés
*** Pendiente de traducción *** The frontend gRPC server&amp;#39;s streaming interceptor chain did not include the authorization interceptor. When a ClaimMapper and Authorizer are configured, unary RPCs enforce authentication and authorization, but the streaming AdminService/StreamWorkflowReplicationMessages endpoint accepted requests without credentials. This endpoint is registered on the same port as WorkflowService and cannot be disabled independently. An attacker with network access to the frontend port could open the replication stream without authentication. Data exfiltration is possible, but  only when a configured replication target is correctly configured and the attacker has knowledge of the cluster configuration, as the history service validates cluster IDs and peer membership before returning replication data.<br /> <br /> <br /> <br /> <br /> Temporal Cloud is not affected.
Gravedad CVSS v4.0: MEDIA
Última modificación:
10/04/2026

CVE-2026-40191
Fecha de publicación:
10/04/2026
Idioma:
Inglés
*** Pendiente de traducción *** ClearanceKit intercepts file-system access events on macOS and enforces per-process access policies. Prior to 5.0.4-beta-1f46165, ClearanceKit&amp;#39;s Endpoint Security event handler only checked the source path of dual-path file operations against File Access Authorization (FAA) rules and App Jail policies. The destination path was ignored entirely. This allowed any local process to bypass file-access protection by using rename, link, copyfile, exchangedata, or clone operations to place or replace files inside protected directories. This vulnerability is fixed in 5.0.4-beta-1f46165.
Gravedad CVSS v4.0: MEDIA
Última modificación:
10/04/2026

CVE-2026-40194
Fecha de publicación:
10/04/2026
Idioma:
Inglés
*** Pendiente de traducción *** phpseclib is a PHP secure communications library. Prior to 3.0.51, 2.0.53, and 1.0.28, phpseclib\Net\SSH2::get_binary_packet() uses PHP&amp;#39;s != operator to compare a received SSH packet HMAC against the locally computed HMAC. != on equal-length binary strings in PHP uses memcmp(), which short-circuits on the first differing byte. This is a real variable-time comparison (CWE-208), proven by scaling benchmarks. This vulnerability is fixed in 3.0.51, 2.0.53, and 1.0.28.
Gravedad CVSS v3.1: BAJA
Última modificación:
10/04/2026

CVE-2026-40242
Fecha de publicación:
10/04/2026
Idioma:
Inglés
*** Pendiente de traducción *** Arcane is an interface for managing Docker containers, images, networks, and volumes. Prior to 1.17.3, the /api/templates/fetch endpoint accepts a caller-supplied url parameter and performs a server-side HTTP GET request to that URL without authentication and without URL scheme or host validation. The server&amp;#39;s response is returned directly to the caller. type. This constitutes an unauthenticated SSRF vulnerability affecting any publicly reachable Arcane instance. This vulnerability is fixed in 1.17.3.
Gravedad CVSS v3.1: ALTA
Última modificación:
10/04/2026

CVE-2026-40252
Fecha de publicación:
10/04/2026
Idioma:
Inglés
*** Pendiente de traducción *** FastGPT is an AI Agent building platform. Prior to 4.14.10.4, Broken Access Control vulnerability (IDOR/BOLA) allows any authenticated team to access and execute applications belonging to other teams by supplying a foreign appId. While the API correctly validates the team token, it does not verify that the requested application belongs to the authenticated team. This leads to cross-tenant data exposure and unauthorized execution of private AI workflows. This vulnerability is fixed in 4.14.10.4.
Gravedad CVSS v4.0: MEDIA
Última modificación:
10/04/2026

CVE-2026-40190
Fecha de publicación:
10/04/2026
Idioma:
Inglés
*** Pendiente de traducción *** LangSmith Client SDKs provide SDK&amp;#39;s for interacting with the LangSmith platform. Prior to 0.5.18, the LangSmith JavaScript/TypeScript SDK (langsmith) contains an incomplete prototype pollution fix in its internally vendored lodash set() utility. The baseAssignValue() function only guards against the __proto__ key, but fails to prevent traversal via constructor.prototype. This allows an attacker who controls keys in data processed by the createAnonymizer() API to pollute Object.prototype, affecting all objects in the Node.js process. This vulnerability is fixed in 0.5.18.
Gravedad CVSS v3.1: MEDIA
Última modificación:
10/04/2026

CVE-2026-40178
Fecha de publicación:
10/04/2026
Idioma:
Inglés
*** Pendiente de traducción *** ajenti.plugin.core defines all necessary core elements to allow Ajenti to run properly. Prior to 0.112, if the 2FA was activated, it was possible during a short moment after the authentication of an user to bypass its authentication. This vulnerability is fixed in 0.112.
Gravedad CVSS v4.0: MEDIA
Última modificación:
10/04/2026

CVE-2026-40180
Fecha de publicación:
10/04/2026
Idioma:
Inglés
*** Pendiente de traducción *** Quarkus OpenAPI Generator is Quarkus&amp;#39; extensions for generation of Rest Clients and server stubs generation. Prior to 2.16.0 and 2.15.0-lts, the unzip() method in ApicurioCodegenWrapper.java extracts ZIP entries without validating that the resolved file path stays within the intended output directory. At line 101, the destination is constructed as new File(toOutputDir, entry.getName()) and the content is written immediately. A malicious ZIP archive containing entries with path traversal sequences (e.g., ../../malicious.java) would write files outside the target directory. This vulnerability is fixed in 2.16.0 and 2.15.0-lts.
Gravedad CVSS v4.0: ALTA
Última modificación:
10/04/2026

CVE-2026-40184
Fecha de publicación:
10/04/2026
Idioma:
Inglés
*** Pendiente de traducción *** TREK is a collaborative travel planner. Prior to 2.7.2, TREK served uploaded photos without requiring authentication. This vulnerability is fixed in 2.7.2.
Gravedad CVSS v3.1: BAJA
Última modificación:
10/04/2026

CVE-2026-40185
Fecha de publicación:
10/04/2026
Idioma:
Inglés
*** Pendiente de traducción *** TREK is a collaborative travel planner. Prior to 2.7.2, TREK was missing authorization checks on the Immich trip photo management routes. This vulnerability is fixed in 2.7.2.
Gravedad CVSS v3.1: ALTA
Última modificación:
10/04/2026
Suscribirse a Vulnerabilidades