Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las últimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las últimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las últimas vulnerabilidades incorporadas al repositorio.

CVE-2026-67354

Fecha de publicación:

01/08/2026

Idioma:

Inglés

*** Pendiente de traducción *** guzzlehttp/guzzle versions before 7.15.1 contain an information disclosure vulnerability in RedirectMiddleware. When the optional allow_redirects.referer setting is enabled, the middleware copies the URI fragment (the portion after &#39;#&#39;) from the referring request into the generated Referer header when following a same-scheme redirect (e.g., HTTPS to HTTPS). An attacker who controls the redirect destination can read this fragment from the incoming Referer header, potentially disclosing one-time login secrets, access tokens, state values, or other sensitive client data to a server never meant to receive it. The referer setting is disabled by default. Fixed in 7.15.1, which strips the fragment before generating the Referer value.

Gravedad CVSS v4.0: ALTA

Última modificación:

03/08/2026

CVE-2026-67355

Fecha de publicación:

01/08/2026

Idioma:

Inglés

*** Pendiente de traducción *** guzzlehttp/guzzle versions before 7.15.1 fail to preserve host-only cookie scope, storing the request host in the Domain field instead of marking cookies as host-only. Attackers controlling child hosts can receive host-only cookies intended only for parent hosts, potentially disclosing session identifiers and authorization tokens when the same cookie jar is reused across trust boundaries.

Gravedad CVSS v4.0: ALTA

Última modificación:

03/08/2026

CVE-2026-67341

Fecha de publicación:

01/08/2026

Idioma:

Inglés

*** Pendiente de traducción *** ArcadeDB versions before 26.7.2 fail to enforce scripting authorization checks on the SQL DEFINE FUNCTION statement with LANGUAGE js. Attackers with database access can execute arbitrary JavaScript code by submitting DEFINE FUNCTION statements, bypassing security controls intended to restrict scripting to administrators.

Gravedad CVSS v4.0: CRÍTICA

Última modificación:

03/08/2026

CVE-2026-67342

Fecha de publicación:

01/08/2026

Idioma:

Inglés

*** Pendiente de traducción *** ArcadeDB versions before 26.7.2 contain an authorization bypass vulnerability in HTTP handlers for time series, batch, Prometheus, and Grafana endpoints that fail to validate database access permissions. Attackers can access and modify databases they are not authorized to use by directly calling affected endpoints with arbitrary database parameters.

Gravedad CVSS v4.0: CRÍTICA

Última modificación:

03/08/2026

CVE-2026-67344

Fecha de publicación:

01/08/2026

Idioma:

Inglés

*** Pendiente de traducción *** ArcadeDB before 26.7.2 fails to enforce the UPDATE_SCHEMA database permission on the ALTER TYPE ... CUSTOM and ALTER TYPE ... BUCKETSELECTIONSTRATEGY SQL operations, which map to setCustomValue and setBucketSelectionStrategy in LocalDocumentType. An authenticated user with only read access (e.g., a read-only API token) can submit these ALTER TYPE statements via the HTTP command endpoint to mutate a type&#39;s custom schema metadata and bucket-selection strategy, bypassing the documented updateSchema permission boundary and potentially corrupting schema metadata and record routing.

Gravedad CVSS v4.0: ALTA

Última modificación:

03/08/2026

CVE-2026-67343

Fecha de publicación:

01/08/2026

Idioma:

Inglés

*** Pendiente de traducción *** ArcadeDB versions before 26.7.2 fail to properly redact the cluster token in the GET /api/v1/server endpoint, allowing authenticated users to retrieve the arcadedb.ha.clusterToken value in cleartext. Attackers can use the leaked token with X-ArcadeDB-Cluster-Token and X-ArcadeDB-Forwarded-User headers to impersonate root and execute administrative actions including user creation, database operations, and server shutdown.

Gravedad CVSS v4.0: ALTA

Última modificación:

03/08/2026

CVE-2026-67340

Fecha de publicación:

01/08/2026

Idioma:

Inglés

*** Pendiente de traducción *** ArcadeDB before 26.7.2 (arcadedb-engine) allows trigger scripts to look up host classes in java.lang.* (via Java.type) because ScriptTriggerExecutor adds java.lang.* to the allowed packages. An authenticated user with UPDATE_SCHEMA permission can create a JavaScript trigger that invokes java.lang.Runtime.getRuntime().exec() (or ProcessBuilder), achieving OS command execution when the trigger fires.

Gravedad CVSS v4.0: CRÍTICA

Última modificación:

03/08/2026

CVE-2026-67352

Fecha de publicación:

01/08/2026

Idioma:

Inglés

*** Pendiente de traducción *** luci-app-https-dns-proxy contains a stored cross-site scripting vulnerability in the resolver_url parameter that allows authenticated users to inject active HTML. When an administrator views the HTTPS DNS Proxy status page, the resolver URL is rendered as raw HTML and executes JavaScript in the administrator&#39;s browser origin.

Gravedad CVSS v4.0: MEDIA

Última modificación:

03/08/2026

CVE-2026-67336

Fecha de publicación:

01/08/2026

Idioma:

Inglés

*** Pendiente de traducción *** better-auth versions before 1.6.11 contain insecure cryptographic defaults in the oidcProvider and mcp plugins that advertise the none algorithm and accept plain PKCE by default. Attackers can exploit algorithm negotiation to accept unsigned tokens or intercept authorization codes when PKCE plain is used instead of the required S256 method.

Gravedad CVSS v4.0: CRÍTICA

Última modificación:

03/08/2026

CVE-2026-67334

Fecha de publicación:

01/08/2026

Idioma:

Inglés

*** Pendiente de traducción *** better-auth versions before 1.6.11 fail to delete cached sessions when removing users via admin, anonymous, or SCIM endpoints when secondaryStorage is configured and storeSessionInDatabase is false. Attackers can reuse deleted user session tokens to maintain authentication for up to seven days after account deletion.

Gravedad CVSS v4.0: MEDIA

Última modificación:

03/08/2026

CVE-2026-67337

Fecha de publicación:

01/08/2026

Idioma:

Inglés

*** Pendiente de traducción *** better-auth versions before 1.4.9 contain a two-factor authentication bypass vulnerability when session.cookieCache is enabled. Attackers with valid primary credentials can access authenticated routes without completing second-factor verification by exploiting premature session caching.

Gravedad CVSS v4.0: ALTA

Última modificación:

03/08/2026

CVE-2026-67339

Fecha de publicación:

01/08/2026

Idioma:

Inglés

*** Pendiente de traducción *** guzzlehttp/guzzle versions before 7.14.2 fail to properly isolate Proxy-Authorization headers from origin servers in cURL handlers. Attackers can capture proxy credentials through origin server access logs when requests are redirected, bypassed, or sent through SOCKS proxies that Guzzle misclassifies as direct connections.

Gravedad CVSS v4.0: MEDIA

Última modificación:

03/08/2026

Suscribirse a Vulnerabilidades