Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las últimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las últimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las últimas vulnerabilidades incorporadas al repositorio.

CVE-2026-19124

Fecha de publicación:
07/11/2026
Idioma:
Inglés
*** Pendiente de traducción *** IBM API Connect 10.0.8.0 through 10.0.8.12 could allow an attacker with access to stored data to decrypt sensitive credentials due to the use of a hard-coded cryptographic key. The key protecting stored credentials is built into the product, so credentials could be decrypted if the stored data is obtained.
Gravedad CVSS v3.1: MEDIA
Última modificación:
07/11/2026

CVE-2026-19126

Fecha de publicación:
07/11/2026
Idioma:
Inglés
*** Pendiente de traducción *** IBM API Connect 10.0.8.0 through 10.0.8.12 and 12.1.0.0 through 12.1.1.2 uses weaker than expected cryptographic algorithms that could allow an attacker to decrypt highly sensitive information.
Gravedad CVSS v3.1: MEDIA
Última modificación:
07/11/2026

CVE-2026-19128

Fecha de publicación:
07/11/2026
Idioma:
Inglés
*** Pendiente de traducción *** IBM API Connect 12.1.0.0 through 12.1.1.2 could allow an authenticated attacker to send unauthorized requests from the system due to server-side request forgery. This could be used to enumerate network resources or to support further attacks.
Gravedad CVSS v3.1: ALTA
Última modificación:
07/11/2026

CVE-2026-19129

Fecha de publicación:
07/11/2026
Idioma:
Inglés
*** Pendiente de traducción *** IBM API Connect 10.0.8.0 through 10.0.8.12 and 12.1.0.0 through 12.1.1.2 could allow a network-positioned attacker to intercept backup data due to improper verification of the backup server's identity. The identity of the backup server is not verified when the secure connection for analytics backups is established, which could allow backup data, and credentials if used, to be intercepted.
Gravedad CVSS v3.1: MEDIA
Última modificación:
07/11/2026

CVE-2026-18535

Fecha de publicación:
07/11/2026
Idioma:
Inglés
*** Pendiente de traducción *** IBM API Connect 10.0.8.0 through 10.0.8.12 and 12.1.0.0 through 12.1.1.2 are vulnerable to a Regular Expression Denial of Service (ReDoS) attack and to improper neutralisation of wildcard query operators.
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
07/11/2026

CVE-2026-18689

Fecha de publicación:
07/11/2026
Idioma:
Inglés
*** Pendiente de traducción *** IBM API Connect 10.0.8.0 through 10.0.8.12 and 12.1.0.0 through 12.1.1.2 could allow an authenticated user to obtain limited information about other organizations due to incorrect authorization. A token issued for a limited purpose is accepted where it should not be, which could reveal the names of other organizations.
Gravedad CVSS v3.1: MEDIA
Última modificación:
07/11/2026

CVE-2026-18836

Fecha de publicación:
07/11/2026
Idioma:
Inglés
*** Pendiente de traducción *** IBM API Connect 10.0.8.0 through 10.0.8.12 and 12.1.0.0 through 12.1.1.2 could allow a remote attacker to obtain sensitive information due to server-side request forgery. The affected component can be made to send requests to unintended destinations and return the response to the attacker.
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
07/11/2026

CVE-2026-18838

Fecha de publicación:
07/11/2026
Idioma:
Inglés
*** Pendiente de traducción *** IBM API Connect 12.1.0.0 through 12.1.1.2 could allow a remote attacker to obtain sensitive information and modify API configurations due to improper authentication. Identity information supplied in requests is not sufficiently verified, which could allow a caller to impersonate another user.
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
07/11/2026

CVE-2026-19121

Fecha de publicación:
07/11/2026
Idioma:
Inglés
*** Pendiente de traducción *** IBM API Connect 12.1.0.0 through 12.1.1.2 could allow an authenticated attacker to gain unauthorized access due to improper authorization. Tenant context is not sufficiently verified against the authenticated user, which could allow access to another tenant's resources.
Gravedad CVSS v3.1: ALTA
Última modificación:
07/11/2026

CVE-2026-17409

Fecha de publicación:
07/11/2026
Idioma:
Inglés
*** Pendiente de traducción *** IBM API Connect 10.0.8.0 through 10.0.8.12 and 12.1.0.0 through 12.1.1.2 could allow a remote attacker to execute unauthorized administrative operations and obtain sensitive information due to improper handling of case sensitivity. Access controls are not applied consistently to all variations of a request, which could allow restricted operations to be reached.
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
07/11/2026

CVE-2026-17410

Fecha de publicación:
07/11/2026
Idioma:
Inglés
*** Pendiente de traducción *** IBM API Connect 10.0.8.0 through 10.0.8.12 and 12.1.0.0 through 12.1.1.2 could allow a remote authenticated attacker to access and modify other tenants' portal data due to improper neutralization of argument delimiters.
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
07/11/2026

CVE-2026-17411

Fecha de publicación:
07/11/2026
Idioma:
Inglés
*** Pendiente de traducción *** IBM API Connect 10.0.8.0 through 10.0.8.12 and 12.1.0.0 through 12.1.1.2 could allow an authenticated attacker to view, add, modify, or delete information in the back-end database due to SQL injection. Input is not properly neutralized before it is used in database queries.
Gravedad CVSS v3.1: ALTA
Última modificación:
07/11/2026