Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

017 - Ir a la línea de ayuda en Ciberseguridad    Ir a Agenda     Ir a Sala de prensa     Ir a suscripción de boletines

Ir al buscador

Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las últimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las últimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las últimas vulnerabilidades incorporadas al repositorio.

CVE-2024-45257
Fecha de publicación:
08/05/2026
Idioma:
Inglés
*** Pendiente de traducción *** A Command Injection issue in the payload build page in BYOB (Build Your Own Botnet) 2.0 allows attackers to execute arbitrary commands on the server via a crafted build parameter. This occurs in freeze in core/generators.py.
Gravedad CVSS v3.1: ALTA
Última modificación:
08/05/2026

CVE-2024-46507
Fecha de publicación:
08/05/2026
Idioma:
Inglés
*** Pendiente de traducción *** A SSTI (server side template injection) vulnerability in the custom template export function in yeti-platform yeti before 2.1.12 allows attackers to execute code on the application server.
Gravedad CVSS v3.1: ALTA
Última modificación:
08/05/2026

CVE-2024-46508
Fecha de publicación:
08/05/2026
Idioma:
Inglés
*** Pendiente de traducción *** yeti-platform yeti before 2.1.12 allows attackers to generate valid JWT tokens is the secret is not changed (by setting YETI_AUTH_SECRET_KEY to a value other than SECRET).
Gravedad CVSS v3.1: ALTA
Última modificación:
08/05/2026

CVE-2024-33724
Fecha de publicación:
08/05/2026
Idioma:
Inglés
*** Pendiente de traducción *** SOPlanning 1.52.00 is vulnerable to Cross Site Scripting (XSS) via the groupe_id parameter to process/groupe_save.php.
Gravedad CVSS v3.1: MEDIA
Última modificación:
08/05/2026

CVE-2023-47268
Fecha de publicación:
08/05/2026
Idioma:
Inglés
*** Pendiente de traducción *** In libslic3r/GCode/PostProcessor.cpp in Prusa PrusaSlicer through 2.6.1, a crafted 3mf project file can execute arbitrary code on a host where the project is sliced and G-code exported.
Gravedad CVSS v3.1: MEDIA
Última modificación:
08/05/2026

CVE-2026-8148
Fecha de publicación:
08/05/2026
Idioma:
Inglés
*** Pendiente de traducción *** NAVER MYBOX Explorer for Windows before 3.0.11.160 allows a local attacker to escalate privileges to NT AUTHORITY\SYSTEM via registry manipulation due to improper privilege checks.
Gravedad CVSS v3.1: ALTA
Última modificación:
08/05/2026

CVE-2026-8137
Fecha de publicación:
08/05/2026
Idioma:
Inglés
*** Pendiente de traducción *** A vulnerability has been found in Totolink X5000R 9.1.0u.6369_B20230113. This vulnerability affects the function sub_458E40 of the file /boafrm/formDdns. The manipulation of the argument submit-url leads to buffer overflow. Remote exploitation of the attack is possible. The exploit has been disclosed to the public and may be used.
Gravedad CVSS v4.0: ALTA
Última modificación:
08/05/2026

CVE-2026-8138
Fecha de publicación:
08/05/2026
Idioma:
Inglés
*** Pendiente de traducción *** A vulnerability was found in Tenda CX12L 16.03.53.12. This issue affects the function formSetPPTPServer of the file /goform/SetPptpServerCfg”. The manipulation results in stack-based buffer overflow. The attack can be executed remotely. The exploit has been made public and could be used.
Gravedad CVSS v4.0: ALTA
Última modificación:
08/05/2026

CVE-2026-42279
Fecha de publicación:
08/05/2026
Idioma:
Inglés
*** Pendiente de traducción *** solidtime is an open-source time-tracking app. In version 0.12.0, the PUT /api/v1/organizations/{organization}/time-entries/{timeEntry} API accepts a route-bound timeEntry from another organization when the caller has time-entries:update:all in the URL organization, allowing a known foreign time-entry UUID to be modified and rebound to objects in the caller's organization. This issue has been patched in version 0.12.1.
Gravedad CVSS v3.1: MEDIA
Última modificación:
08/05/2026

CVE-2026-42276
Fecha de publicación:
08/05/2026
Idioma:
Inglés
*** Pendiente de traducción *** Onyx is an open-source AI platform. Prior to versions 3.0.9, 3.1.6, and 3.2.6, the POST /chat/stop-chat-session/{chat_session_id} endpoint lets any authenticated user stop any other user's active chat session. The endpoint checks authentication but never verifies the session belongs to the caller. An attacker who knows a chat session UUID can kill another user's LLM generation mid-stream. This issue has been patched in versions 3.0.9, 3.1.6, and 3.2.6.
Gravedad CVSS v3.1: MEDIA
Última modificación:
08/05/2026

CVE-2026-42277
Fecha de publicación:
08/05/2026
Idioma:
Inglés
*** Pendiente de traducción *** Onyx is an open-source AI platform. Prior to versions 3.0.9, 3.1.6, and 3.2.6, the GET /chat/file/{file_id} endpoint allows any authenticated user to download any other user's uploaded files by providing the file UUID. The endpoint verifies the caller is authenticated but never checks that the file belongs to them. An attacker who knows or obtains a file UUID can access confidential documents, chat attachments, and other files uploaded by any user in the system. This issue has been patched in versions 3.0.9, 3.1.6, and 3.2.6.
Gravedad CVSS v3.1: MEDIA
Última modificación:
08/05/2026

CVE-2026-42278
Fecha de publicación:
08/05/2026
Idioma:
Inglés
*** Pendiente de traducción *** UltraDAG is a minimal DAG-BFT blockchain in Rust. Prior to commit fb6ef59, the UltraDAG StateEngine implementation of SmartTransferTx contains a critical logic flaw in its policy enforcement pipeline. When a transaction originates from a "Pocket" (a derived sub-address documented in the protocol as a way to organize funds), the engine fails to resolve the pocket's parent account before checking the spending policy. Because pockets are "virtual" addresses that exist only as entries in the pocket_to_parent map and do not have their own SmartAccountConfig entries, the check_spending_policy method defaults to an "authorized/no policy" result. This allow any user (or attacker in possession of a parent key) to instantly drain every pocket on an account, even if the parent account has a strict 24-hour vault delay or a 1 UDAG daily limit. This issue has been patched via commit fb6ef59.
Gravedad CVSS v4.0: ALTA
Última modificación:
09/05/2026
Suscribirse a Vulnerabilidades