Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las últimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las últimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las últimas vulnerabilidades incorporadas al repositorio.

CVE-2026-3325

Fecha de publicación:

29/04/2026

Idioma:

Inglés

*** Pendiente de traducción *** SQL injection (SQLi) in MegaCMS v12.0.0, specifically in the “id_territorio” parameter of the “/web_comunications/cms/get_provincias” endpoint. The vulnerability arises from inadequate validation and sanitisation of user input. Specifically, via a POST request, the “id_territorio” parameter, used immediately after the registration form is submitted, could be manipulated by an unauthenticated attacker to execute arbitrary SQL queries.

Gravedad CVSS v4.0: CRÍTICA

Última modificación:

19/05/2026

CVE-2025-10503

Fecha de publicación:

29/04/2026

Idioma:

Inglés

*** Pendiente de traducción *** The authentication endpoint accepts user-supplied input without enforcing expected validation constraints, leading to a lack of proper output encoding. This allows for the injection of malicious JavaScript payloads, enabling reflected cross-site scripting. An attacker can leverage this vulnerability to redirect the user&#39;s browser to a malicious website, modify the user interface of the web page, retrieve information from the browser, or cause other harmful actions. However, due to the protection of session-related cookies with the httpOnly flag, session hijacking is not possible.

Gravedad CVSS v3.1: MEDIA

Última modificación:

01/05/2026

CVE-2026-42377

Fecha de publicación:

29/04/2026

Idioma:

Inglés

*** Pendiente de traducción *** Missing Authorization vulnerability in Brainstorm Force SureForms Pro allows Exploiting Incorrectly Configured Access Control Security Levels. This issue affects SureForms Pro: from n/a through 2.8.0.

Gravedad CVSS v3.1: ALTA

Última modificación:

29/04/2026

CVE-2026-21023

Fecha de publicación:

29/04/2026

Idioma:

Inglés

*** Pendiente de traducción *** Insufficient verification of data authenticity in PackageManagerService prior to SMR Mar-2026 Release 1 allows local attackers to modify the installation restriction of specific application.

Gravedad CVSS v4.0: MEDIA

Última modificación:

01/05/2026

CVE-2026-35155

Fecha de publicación:

29/04/2026

Idioma:

Inglés

*** Pendiente de traducción *** Dell iDRAC10, versions 1.20.70.50 and 1.30.05.10, contains an Insufficiently Protected Credentials vulnerability. A race condition vulnerability exists that could allow an authenticated low‑privileged attacker to gain elevated access.

Gravedad CVSS v3.1: ALTA

Última modificación:

01/05/2026

CVE-2026-40560

Fecha de publicación:

29/04/2026

Idioma:

Inglés

*** Pendiente de traducción *** Starman versions before 0.4018 for Perl allows HTTP Request Smuggling via Improper Header Precedence. Starman incorrectly prioritizes "Content-Length" over "Transfer-Encoding: chunked" when both headers are present in an HTTP request. Per RFC 7230 3.3.3, Transfer-Encoding must take precedence. An attacker could exploit this to smuggle malicious HTTP requests via a front-end reverse proxy.

Gravedad CVSS v3.1: ALTA

Última modificación:

06/05/2026

CVE-2026-5822

Fecha de publicación:

28/04/2026

Idioma:

Inglés

*** Pendiente de traducción *** Rejected reason: This CVE ID has been rejected or withdrawn by its CVE Numbering Authority.

Gravedad: Pendiente de análisis

Última modificación:

28/04/2026

CVE-2026-42167

Fecha de publicación:

28/04/2026

Idioma:

Inglés

*** Pendiente de traducción *** mod_sql in ProFTPD before 1.3.9a allows remote attackers to execute arbitrary code via a username, in scenarios where there is logging of USER requests with an expansion such as %U, and the SQL backend allows commands (e.g., COPY TO PROGRAM).

Gravedad CVSS v3.1: ALTA

Última modificación:

01/05/2026

CVE-2026-7319

Fecha de publicación:

28/04/2026

Idioma:

Inglés

*** Pendiente de traducción *** A flaw has been found in elinsky execution-system-mcp 0.1.0. The impacted element is the function _get_context_file_path of the file src/execution_system_mcp/server.py of the component add_action Tool. This manipulation of the argument context causes path traversal. The attack can be initiated remotely. The exploit has been published and may be used.

Gravedad CVSS v4.0: MEDIA

Última modificación:

29/04/2026

CVE-2026-7306

Fecha de publicación:

28/04/2026

Idioma:

Inglés

*** Pendiente de traducción *** A security vulnerability has been detected in Xuxueli xxl-job up to 3.3.2. The impacted element is an unknown function of the file xxl-job-admin/src/main/java/com/xxl/job/admin/scheduler/openapi/OpenApiController.java of the component OpenAPI Endpoint. Such manipulation of the argument default_token leads to use of hard-coded cryptographic key . It is possible to launch the attack remotely. A high complexity level is associated with this attack. The exploitability is regarded as difficult. The exploit has been disclosed publicly and may be used.

Gravedad CVSS v4.0: BAJA

Última modificación:

29/04/2026

CVE-2026-7314

Fecha de publicación:

28/04/2026

Idioma:

Inglés

*** Pendiente de traducción *** A vulnerability was detected in eiceblue spire-doc-mcp-server 1.0.0. This affects the function get_doc_path of the file src/spire_doc_mcp/api/base.py. Performing a manipulation of the argument document_name results in path traversal. The attack can be initiated remotely. The exploit is now public and may be used. The project was informed of the problem early through an issue report but has not responded yet.

Gravedad CVSS v4.0: MEDIA

Última modificación:

29/04/2026

CVE-2026-7315

Fecha de publicación:

28/04/2026

Idioma:

Inglés

*** Pendiente de traducción *** A flaw has been found in eiceblue spire-pdf-mcp-server 0.1.1. This impacts the function get_pdf_path of the file src/spire_pdf_mcp/server.py of the component PDF File Handler. Executing a manipulation of the argument filepath can lead to path traversal. The attack can be launched remotely. The exploit has been published and may be used. The project was informed of the problem early through an issue report but has not responded yet.

Gravedad CVSS v4.0: MEDIA

Última modificación:

29/04/2026

Suscribirse a Vulnerabilidades