Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

017 - Ir a la línea de ayuda en Ciberseguridad    Ir a Agenda     Ir a Sala de prensa     Ir a suscripción de boletines

Ir al buscador

Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las últimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las últimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las últimas vulnerabilidades incorporadas al repositorio.

CVE-2025-49506
Fecha de publicación:
06/08/2026
Idioma:
Inglés
*** Pendiente de traducción *** APR-util versions 1.6.3 (and earlier) function apr_password_validate() was not constant-time with regards to hashes or passwords comparisons, potentially leaking their content via a side channel timing attack particularly on platforms without crypt() such as  Windows, BeOS, NetWare, or Android.<br /> <br /> Users are recommended to upgrade to version 1.6.4, which fixes this issue.
Gravedad CVSS v3.1: ALTA
Última modificación:
07/08/2026

CVE-2026-64993
Fecha de publicación:
06/08/2026
Idioma:
Inglés
*** Pendiente de traducción *** Dell RVTools versions prior to 4.8.1, contains an improper certificate validation vulnerability in the collector. A remote unauthenticated attacker could potentially exploit this vulnerability leading to loss of confidentiality and integrity.
Gravedad CVSS v3.1: MEDIA
Última modificación:
10/08/2026

CVE-2026-5134
Fecha de publicación:
06/08/2026
Idioma:
Inglés
*** Pendiente de traducción *** Improper neutralization of special elements used in an SQL command (&amp;#39;SQL injection&amp;#39;) vulnerability in Loca Software Informatics Technology Ltd. Co. CMS allows SQL Injection.<br /> <br /> This issue affects CMS: through 06082026. NOTE: The vendor was contacted early about this disclosure but did not respond in any way.
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
06/08/2026

CVE-2026-19040
Fecha de publicación:
06/08/2026
Idioma:
Inglés
*** Pendiente de traducción *** A flaw has been found in MissionSquad mcp-api up to 1.11.9. The affected element is an unknown function of the file src/services/dcrClients.ts. Executing a manipulation can lead to server-side request forgery. The attack may be performed from remote. Upgrading to version 1.11.10 is sufficient to fix this issue. This patch is called f068ab4ad6f0907ac7001b995588c2673f11a755. You should upgrade the affected component.
Gravedad CVSS v4.0: BAJA
Última modificación:
12/08/2026

CVE-2026-19041
Fecha de publicación:
06/08/2026
Idioma:
Inglés
*** Pendiente de traducción *** A vulnerability has been found in MissionSquad mcp-api up to 1.11.8. The impacted element is the function this.packageService.installPackage of the file src/controllers/packages.ts of the component NPM Package Version Handler. The manipulation leads to command injection. It is possible to initiate the attack remotely. Upgrading to version 1.11.9 is sufficient to resolve this issue. The identifier of the patch is a40f54d4533ba6618e1749383a245900eeb024c1. The affected component should be upgraded.
Gravedad CVSS v4.0: BAJA
Última modificación:
12/08/2026

CVE-2026-18501
Fecha de publicación:
06/08/2026
Idioma:
Inglés
*** Pendiente de traducción *** The UsersWP – Front-end login form, User Registration, User Profile &amp; Members Directory plugin for WP plugin for WordPress is vulnerable to Stored Cross-Site Scripting via Badge Widget Variable Substitution in all versions up to, and including, 1.2.69 due to insufficient input sanitization and output escaping. This makes it possible for authenticated attackers, with subscriber-level access and above, to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page.
Gravedad CVSS v3.1: MEDIA
Última modificación:
12/08/2026

CVE-2026-16316
Fecha de publicación:
06/08/2026
Idioma:
Inglés
*** Pendiente de traducción *** OMICRON StationGuard 4.00 contains an improper input validation vulnerability in its IEC 61850 Sampled Values (SV) frame processing. A specially crafted SV frame can cause the affected process to terminate, disrupting alert processing for Sampled Values traffic. The vulnerability does not affect overall system availability or the processing of other traffic types, and the process is automatically restarted, and the failure is immediately reported to the user.
Gravedad CVSS v4.0: BAJA
Última modificación:
06/08/2026

CVE-2026-16731
Fecha de publicación:
06/08/2026
Idioma:
Inglés
*** Pendiente de traducción *** OMICRON StationScout before version 3.05 contains a cryptographic timing side-channel vulnerability in the backend authentication mechanism that may allow an unauthenticated attacker to forge valid authentication credentials, bypass authentication and authorization, and impersonate legitimate clients.<br /> An attacker can gain full access to the system configuration, allowing modification, reset, or unauthorized alteration of system parameters or injecting network traffic into the connected network.
Gravedad CVSS v4.0: ALTA
Última modificación:
06/08/2026

CVE-2026-16315
Fecha de publicación:
06/08/2026
Idioma:
Inglés
*** Pendiente de traducción *** OMICRON StationGuard before version 4.10 contains a cryptographic timing side-channel vulnerability in the backend authentication mechanism that may allow an unauthenticated attacker to forge valid authentication credentials, bypass authentication and authorization, and impersonate legitimate clients.<br /> An attacker can gain full access to the system configuration, allowing modification, reset, or unauthorized alteration of system parameters.
Gravedad CVSS v4.0: ALTA
Última modificación:
06/08/2026

CVE-2026-12605
Fecha de publicación:
06/08/2026
Idioma:
Inglés
*** Pendiente de traducción *** In Eclipse GlassFish versions 8.0.x before 8.0.4, CSRF + SSRF in DownloadServlet ContentSources leaks the admin `gfresttoken` to attacker-controlled host if the victim is authenticated into the Admin Console -\&gt; full unauthenticated takeover of Eclipse GlassFish domain until the token expires.
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
10/08/2026

CVE-2026-70556
Fecha de publicación:
06/08/2026
Idioma:
Inglés
*** Pendiente de traducción *** Hubzilla versions prior to 11.4 contains a cross-site request forgery vulnerability in the OAuth2 /authorize endpoint handled by Zotlabs\Module\Authorize::post() that allows unauthenticated attackers to register arbitrary OAuth2 applications under an authenticated user&amp;#39;s account by submitting a cross-origin POST request without CSRF token or Origin/Referer validation. Attackers can craft a malicious HTML form that autosubmits attacker-chosen OAuth2 parameters including client_id, client_secret, redirect_uri, and scope to silently register a persistent OAuth2 application, enabling interception of future OAuth2 authorization codes when the victim later authenticates against the attacker-controlled client.
Gravedad CVSS v4.0: MEDIA
Última modificación:
13/08/2026

CVE-2026-66732
Fecha de publicación:
06/08/2026
Idioma:
Inglés
*** Pendiente de traducción *** Sonic 3 A.I.R. before commit 2492d18 contains a missing source address validation vulnerability in ConnectionManager where established connections are resolved by a two-byte local connection handle alone without verifying that the datagram source address matches the registered remote address for the connection. An on-path attacker who can observe cleartext UDP traffic can inject arbitrary packets into any established session by forging the two-byte connection identifier, enabling session termination via TerminateConnectionPacket, arbitrary channel message forgery, and forged request responses without requiring IP address spoofing.
Gravedad CVSS v4.0: ALTA
Última modificación:
06/08/2026
Suscribirse a Vulnerabilidades