Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las últimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las últimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las últimas vulnerabilidades incorporadas al repositorio.

CVE-2026-35903

Fecha de publicación:

27/04/2026

Idioma:

Inglés

*** Pendiente de traducción *** MERCURY MIPC252W IP camera 1.0.5 Build 230306 Rel.79931n contains an improper authentication vulnerability in the RTSP service. After successful Digest authentication in an initial DESCRIBE request, the device does not verify the Digest response parameter in subsequent RTSP requests within the same session. As a result, RTSP methods such as SETUP, PLAY, and TEARDOWN can be processed even when the Authorization header contains an empty or invalid response value, as long as the nonce and session identifier correspond to a previously authenticated session. This allows an attacker with network access to reuse session parameters and issue unauthorized RTSP control commands without computing a valid Digest response.

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

05/05/2026

CVE-2026-40970

Fecha de publicación:

27/04/2026

Idioma:

Inglés

*** Pendiente de traducción *** When configured to use an SSL bundle, Spring Boot&#39;s Elasticsearch auto-configuration does not perform hostname verification when connecting to the Elasticsearch server.<br /> <br /> Affected: Spring Boot 4.0.0–4.0.5; upgrade to 4.0.6 or later per vendor advisory.

Gravedad CVSS v3.1: MEDIA

Última modificación:

14/05/2026

CVE-2026-35902

Fecha de publicación:

27/04/2026

Idioma:

Inglés

*** Pendiente de traducción *** The RTSP service of MERCURY IP camera MIPC252W 1.0.5 Build 230306 has an issue handling failed Digest authentication attempts. By repeatedly sending RTSP requests with invalid authentication parameters, an unauthenticated attacker can cause the RTSP service to enter a persistent authentication failure state, preventing legitimate clients from authenticating and leading to a denial of service.

Gravedad CVSS v3.1: MEDIA

Última modificación:

05/05/2026

CVE-2026-31255

Fecha de publicación:

27/04/2026

Idioma:

Inglés

*** Pendiente de traducción *** A command injection vulnerability exists in Tenda AC18 V15.03.05.05_multi. The vulnerability is located in the /goform/SetSambaCfg interface, where improper handling of the guestuser parameter allows attackers to execute arbitrary system commands.

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

28/04/2026

CVE-2026-32655

Fecha de publicación:

27/04/2026

Idioma:

Inglés

*** Pendiente de traducción *** Dell Alienware Command Center (AWCC), versions prior to 6.13.8.0, contain a Least Privilege Violation vulnerability. A low privileged attacker with local access could potentially exploit this vulnerability, leading to Elevation of Privileges.

Gravedad CVSS v3.1: MEDIA

Última modificación:

28/04/2026

CVE-2026-35901

Fecha de publicación:

27/04/2026

Idioma:

Inglés

*** Pendiente de traducción *** A handling issue in the RTSP service of the Mercury MIPC252W 1.0.5 Build 230306 Rel.79931n allows an authenticated attacker to trigger session termination by repeatedly sending SETUP requests for the same media track within a single RTSP session. This causes the server to reset the RTSP connection, leading to a denial-of-service condition.

Gravedad CVSS v3.1: MEDIA

Última modificación:

05/05/2026

CVE-2026-31256

Fecha de publicación:

27/04/2026

Idioma:

Inglés

*** Pendiente de traducción *** A null pointer dereference vulnerability exists in the RTSP service of the MERCURY MIPC252W 1.0.5 Build 230306 Rel.79931n. During the processing of a SETUP request for the path rtsp://:554/stream1/track2, the device fails to properly validate the Transport header field. When this header is improperly constructed, the RTSP service can dereference a NULL pointer during request parsing. Successful exploitation causes the device to crash and automatically reboot.

Gravedad CVSS v3.1: ALTA

Última modificación:

05/05/2026

CVE-2025-69428

Fecha de publicación:

27/04/2026

Idioma:

Inglés

*** Pendiente de traducción *** An issue in Pro-Bit before v1.77.4 allows unauthenticated attackers to directly access sensitive directory and its subdirectories.

Gravedad CVSS v3.1: ALTA

Última modificación:

28/04/2026

CVE-2021-36438

Fecha de publicación:

27/04/2026

Idioma:

Inglés

*** Pendiente de traducción *** SQL Injection vulnerability exists in Sourcecodester Online Job Portal phppdo 1.0 ivia the category parameter in /jobportal/index.php.

Gravedad CVSS v3.1: MEDIA

Última modificación:

28/04/2026

CVE-2026-7145

Fecha de publicación:

27/04/2026

Idioma:

Inglés

*** Pendiente de traducción *** A weakness has been identified in mettle sendportal up to 3.0.1. Affected is the function destroy of the file app/Http/Controllers/Workspaces/WorkspaceInvitationsController.php of the component Invitation Handler. This manipulation of the argument invitation causes authorization bypass. The attack may be initiated remotely. The project was informed of the problem early through an issue report but has not responded yet.

Gravedad CVSS v4.0: MEDIA

Última modificación:

27/04/2026

CVE-2026-7143

Fecha de publicación:

27/04/2026

Idioma:

Inglés

*** Pendiente de traducción *** A vulnerability was identified in 1000 Projects Portfolio Management System MCA up to 1.0. This affects an unknown function of the file /admin/block_status.php. The manipulation of the argument q leads to sql injection. The attack can be initiated remotely. The exploit is publicly available and might be used.

Gravedad CVSS v4.0: BAJA

Última modificación:

29/04/2026

CVE-2026-7144

Fecha de publicación:

27/04/2026

Idioma:

Inglés

*** Pendiente de traducción *** A security flaw has been discovered in 1000 Projects Portfolio Management System MCA 1.0. This impacts an unknown function of the file update_passwd_process.php. The manipulation of the argument temp_user results in authorization bypass. The attack can be launched remotely. The exploit has been released to the public and may be used for attacks.

Gravedad CVSS v4.0: BAJA

Última modificación:

29/04/2026

Suscribirse a Vulnerabilidades