Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las últimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las últimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las últimas vulnerabilidades incorporadas al repositorio.

CVE-2026-66006

Fecha de publicación:

24/07/2026

Idioma:

Inglés

*** Pendiente de traducción *** lakeFS through 1.83.0, fixed in commit 71a45ee, contains an authentication bypass vulnerability in the /setup_comm_prefs endpoint that allows unauthenticated attackers to overwrite operator metadata including email, name, and company after setup completion. Attackers can POST to this endpoint to modify security update preferences, disable security communications, and trigger falsified telemetry events using the legitimate installation ID.

Gravedad CVSS v4.0: MEDIA

Última modificación:

30/07/2026

CVE-2026-66004

Fecha de publicación:

24/07/2026

Idioma:

Inglés

*** Pendiente de traducción *** BlenderMCP before commit 30a3308 contains a path traversal vulnerability in the download_polyhaven_asset method that allows attackers to write arbitrary files by injecting traversal sequences in API response include keys. Attackers performing MITM attacks or prompt injection can supply malicious paths like &#39;../../.bashrc&#39; to overwrite sensitive files and achieve persistent code execution.

Gravedad CVSS v4.0: MEDIA

Última modificación:

30/07/2026

CVE-2026-66005

Fecha de publicación:

24/07/2026

Idioma:

Inglés

*** Pendiente de traducción *** Jan through 0.8.4, fixed in commit 3e1c1e7, contains a CORS misconfiguration vulnerability in its local API server that allows network-adjacent attackers to bypass trusted host restrictions by exploiting the server&#39;s replacement of user-configured trusted hosts with a wildcard that reflects arbitrary origins with credentials. Attackers on the local network or using DNS rebinding can reach the unauthenticated OpenAI-compatible API to perform inference, enumerate models, invoke MCP tools, and read cross-origin responses.

Gravedad CVSS v4.0: MEDIA

Última modificación:

30/07/2026

CVE-2026-66007

Fecha de publicación:

24/07/2026

Idioma:

Inglés

*** Pendiente de traducción *** Datasets through 5.0.0, fixed in commit f989ef9, contains a path traversal vulnerability in folder-based dataset builders where the file_name metadata field is not properly validated before being joined to the dataset directory. Attackers can supply crafted file_name values with directory traversal sequences to read arbitrary local files, which are then embedded into output when save_to_disk or push_to_hub is called.

Gravedad CVSS v4.0: MEDIA

Última modificación:

30/07/2026

CVE-2026-58630

Fecha de publicación:

24/07/2026

Idioma:

Inglés

*** Pendiente de traducción *** Improper access control in Azure App Service allows an unauthorized attacker to elevate privileges over a network.

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

06/08/2026

CVE-2026-58586

Fecha de publicación:

24/07/2026

Idioma:

Inglés

*** Pendiente de traducción *** Image::WebP versions before 0.3.0 for Perl bundle a vulnerable version of libwebp.<br /> <br /> Image::WebP does not link to the system libwebp. Instead, it uses a bundled copy of libwebp 0.3.0 (released 2013-03-20). That version has multiple known vulnerabilities, including CVE-2023-4863.<br /> <br /> Any caller that decodes an untrusted WebP image reaches the bundled decoder. Because the library is compiled into the module, upgrading the system libwebp does not remediate this.

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

31/07/2026

CVE-2026-57106

Fecha de publicación:

24/07/2026

Idioma:

Inglés

*** Pendiente de traducción *** Server-side request forgery (ssrf) in Data Quality allows an unauthorized attacker to elevate privileges over a network.

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

29/07/2026

CVE-2026-56163

Fecha de publicación:

24/07/2026

Idioma:

Inglés

*** Pendiente de traducción *** Missing authentication for critical function in Microsoft Azure Kubernetes Service allows an unauthorized attacker to elevate privileges over a network.

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

29/07/2026

CVE-2026-55729

Fecha de publicación:

24/07/2026

Idioma:

Inglés

*** Pendiente de traducción *** Exposure of Sensitive Information (CWE-200) in LWEB802 browser `localStorage` in Loytec LWEB-802 before 5.0.8 on all platforms allows an unauthenticated remote attacker to leak stored management credentials via a crafted link.

Gravedad CVSS v4.0: ALTA

Última modificación:

27/07/2026

CVE-2026-55730

Fecha de publicación:

24/07/2026

Idioma:

Inglés

*** Pendiente de traducción *** Reflected Cross-Site Scripting (CWE-79) in LWEB802 in Loytec LWEB-802 before 5.0.8 on all platforms allows an unauthenticated remote attacker to execute arbitrary JavaScript in a victim&#39;s browser and perform actions with the victim&#39;s privileges via a crafted link containing a malicious `project` or `mspParams` parameter.

Gravedad CVSS v4.0: ALTA

Última modificación:

27/07/2026

CVE-2026-55731

Fecha de publicación:

24/07/2026

Idioma:

Inglés

*** Pendiente de traducción *** Unchecked input for loop condition (CWE-606) in the SNMP agent in Loytec LIP-ME201C, L-INX, L-GATE, L-ROC, L-IOB, L-DALI, L-VIS and L-PAD through 8.4.16 on LINX-A64 allows an unauthenticated remote attacker to cause persistent denial of service (CPU exhaustion) via a crafted SNMP GETNEXT request with a large OID component.

Gravedad CVSS v4.0: MEDIA

Última modificación:

27/07/2026

CVE-2026-55732

Fecha de publicación:

24/07/2026

Idioma:

Inglés

*** Pendiente de traducción *** Out-of-bounds Read (CWE-125) in BACnet packet parsing (`bacdt_datetime_to_tod`) in Loytec LIP-ME201C, L-INX, L-GATE, L-ROC, L-IOB, L-DALI, L-VIS and L-PAD through 8.4.18 on LINX-A64 allows an unauthenticated remote attacker to crash `linx_a64.exe` and ultimately reboot the device via a malformed BACnet TimeSynchronization or UTC-TimeSynchronization packet with an invalid month value. The same vulnerability affects multiple other Loytec products.

Gravedad CVSS v4.0: ALTA

Última modificación:

27/07/2026

Suscribirse a Vulnerabilidades