Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las últimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las últimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las últimas vulnerabilidades incorporadas al repositorio.

CVE-2026-37504

Fecha de publicación:

01/05/2026

Idioma:

Inglés

*** Pendiente de traducción *** Sensitive server_token exposed via GET parameter in V2Board thru 1.7.4. In app/Http/Controllers/Server/UniProxyController.php, the server authentication token is accepted via GET parameter transmission. The token appears in URLs such as /api/v1/server/UniProxy/user?token=SECRET, causing it to be recorded in web server access logs, browser history, HTTP Referer headers, and proxy/CDN logs. An attacker who gains access to any log source can extract the token and impersonate a proxy server node, potentially intercepting all user traffic.

Gravedad CVSS v3.1: MEDIA

Última modificación:

11/05/2026

CVE-2026-37505

Fecha de publicación:

01/05/2026

Idioma:

Inglés

*** Pendiente de traducción *** SQL Injection via ORDER BY clause in V2Board thru 1.7.4. In app/Http/Controllers/Admin/UserController.php, the sort parameter from user input is passed directly to User::orderBy($sort, $sortType) without validation. An authenticated admin can sort users by any database column including password, remember_token, and other sensitive fields, enabling information disclosure through ordering analysis.

Gravedad CVSS v3.1: MEDIA

Última modificación:

11/05/2026

CVE-2026-22165

Fecha de publicación:

01/05/2026

Idioma:

Inglés

*** Pendiente de traducción *** A web page that contains unusual WebGPU content loaded into the GPU GLES render process and can trigger a write UAF crash in the GPU GLES user-space shared library. On certain platforms, when the process executing graphics workload has system privileges this could enable further exploits on the device.

Gravedad CVSS v3.1: ALTA

Última modificación:

06/05/2026

CVE-2026-22166

Fecha de publicación:

01/05/2026

Idioma:

Inglés

*** Pendiente de traducción *** A web page that contains unusual WebGPU content loaded into the GPU GLES render process and can trigger write UAF crash in the GPU GLES user-space shared library. On certain platforms, when the process executing graphics workload has system privileges this could enable subsequent exploit on the system.

Gravedad CVSS v3.1: ALTA

Última modificación:

06/05/2026

CVE-2026-22167

Fecha de publicación:

01/05/2026

Idioma:

Inglés

*** Pendiente de traducción *** Software installed and run as a non-privileged user may conduct improper GPU system calls to force GPU to write to arbitrary physical memory pages. Under certain circumstances this exploit could be used to corrupt data pages not allocated by the GPU driver but memory pages in use by the kernel and drivers running on the platform altering their behaviour. This attack can lead the GPU to perform write operations on restricted internal GPU buffers that can lead to a second order affect of corrupted arbitrary physical memory.

Gravedad CVSS v3.1: ALTA

Última modificación:

06/05/2026

CVE-2026-23863

Fecha de publicación:

01/05/2026

Idioma:

Inglés

*** Pendiente de traducción *** An attachment spoofing issue in WhatsApp for Windows prior to v2.3000.1032164386.258709 could have allowed maliciously formatted documents with embedded NUL bytes in the filename to be shown in the application as one type of file but run as an executable when opened. We have not seen evidence of exploitation in the wild.

Gravedad CVSS v3.1: MEDIA

Última modificación:

11/05/2026

CVE-2026-23866

Fecha de publicación:

01/05/2026

Idioma:

Inglés

*** Pendiente de traducción *** Incomplete validation of AI rich response messages for Instagram Reels in WhatsApp for iOS v2.25.8.0 to v2.26.15.72 and WhatsApp for Android v2.25.8.0 to v2.26.7.10 could have allowed a user to trigger processing of media content from an arbitrary URL on another user’s device, including triggering OS-controlled custom URL scheme handlers. We have not seen evidence of exploitation in the wild.

Gravedad CVSS v3.1: MEDIA

Última modificación:

11/05/2026

CVE-2026-7583

Fecha de publicación:

01/05/2026

Idioma:

Inglés

*** Pendiente de traducción *** A flaw has been found in Open5GS up to 2.7.7. This issue affects the function bsf_sess_find_by_ipv6prefix of the file /src/bsf/context.c of the component BSF. This manipulation of the argument ipv6Prefix causes denial of service. It is possible to initiate the attack remotely. The exploit has been published and may be used. The project was informed of the problem early through an issue report but has not responded yet.

Gravedad CVSS v4.0: BAJA

Última modificación:

01/05/2026

CVE-2026-43507

Fecha de publicación:

01/05/2026

Idioma:

Inglés

*** Pendiente de traducción *** An issue was discovered in Prosody before 0.12.6 and 1.0.0 through 13.0.0 before 13.0.5. A Denial of Service can occur via memory exhaustion caused by XML parsing resource amplification from unauthenticated connections.

Gravedad CVSS v3.1: MEDIA

Última modificación:

01/05/2026

CVE-2026-43506

Fecha de publicación:

01/05/2026

Idioma:

Inglés

Gravedad CVSS v3.1: MEDIA

Última modificación:

01/05/2026

CVE-2026-43504

Fecha de publicación:

01/05/2026

Idioma:

Inglés

*** Pendiente de traducción *** An issue was discovered in Prosody before 0.12.6 and 1.0.0 through 13.0.0 before 13.0.5, when mod_proxy65 is enabled. Because mod_proxy65 mishandles access control in a paused scenario, relaying of unauthenticated traffic can occur.

Gravedad CVSS v3.1: MEDIA

Última modificación:

01/05/2026

CVE-2026-43505

Fecha de publicación:

01/05/2026

Idioma:

Inglés

*** Pendiente de traducción *** An issue was discovered in Prosody before 0.12.6 and 1.0.0 through 13.0.0 before 13.0.5, when mod_proxy65 is enabled. Because mod_proxy65 mishandles access control in the activation scenario, relaying of unauthenticated traffic can occur.

Gravedad CVSS v3.1: MEDIA

Última modificación:

01/05/2026

Suscribirse a Vulnerabilidades