Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las últimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las últimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las últimas vulnerabilidades incorporadas al repositorio.

CVE-2026-64941

Fecha de publicación:

10/08/2026

Idioma:

Inglés

*** Pendiente de traducción *** URL Redirection to Untrusted Site (&#39;Open Redirect&#39;) vulnerability in phoenixframework phoenix_live_view allows an attacker to send a victim&#39;s browser to an origin of the attacker&#39;s choosing via a :to value containing ASCII tab, LF or CR.<br /> <br /> redirect/2 validates :to through the private validate_local_url!/2 in lib/phoenix_live_view.ex, which is intended to guarantee the target is a path within the application. It rejects a leading // and any backslash, but not ASCII tab, LF or CR. Browsers strip those three characters before parsing a URL, so a value such as //example.com passes validation as a path and is then resolved as the scheme-relative URL //example.com. The live navigation functions share the guard but are not affected, because the client expands their target against the current origin. push_patch/2 is also affected before 0.7.0, which is when that expansion was added.<br /> <br /> This issue affects phoenix_live_view: from 0.5.0 before 1.0.19, from 1.1.0-rc.0 before 1.1.33, and from 1.2.0-rc.0 before 1.2.9.

Gravedad CVSS v4.0: BAJA

Última modificación:

12/08/2026

CVE-2026-59088

Fecha de publicación:

10/08/2026

Idioma:

Inglés

*** Pendiente de traducción *** A flaw was found in GIMP. A signed integer overflow vulnerability exists in the `file-fli` plugin when processing FLI image files. This occurs due to an incorrect calculation during memory allocation for image buffers, where the multiplication of image width and height can exceed the maximum integer value. A remote attacker could exploit this by tricking a user into opening a specially crafted FLI file, leading to the application crashing and resulting in a denial of service.

Gravedad CVSS v3.1: MEDIA

Última modificación:

21/08/2026

CVE-2026-72589

Fecha de publicación:

10/08/2026

Idioma:

Inglés

*** Pendiente de traducción *** An OS command injection vulnerability in alseambusher/crontab-ui through 0.4.2 allows an unauthenticated remote attacker to execute arbitrary system commands by importing a crafted crontab database file. The POST /import endpoint accepts arbitrary .db files and overwrites the application database without validation.

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

10/08/2026

CVE-2026-72590

Fecha de publicación:

10/08/2026

Idioma:

Inglés

*** Pendiente de traducción *** An OS command injection vulnerability in alseambusher/crontab-ui through 0.4.2 allows an unauthenticated remote attacker to inject arbitrary cron job entries by sending a crafted GET request to /crontab with URL-encoded newlines in the env_vars parameter.

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

10/08/2026

CVE-2026-72591

Fecha de publicación:

10/08/2026

Idioma:

Inglés

*** Pendiente de traducción *** A server-side request forgery (SSRF) vulnerability in gabehf/Koito through v0.3.2 allows an authenticated user to make the server perform HTTP requests to arbitrary internal or external hosts by supplying a crafted image_url value in the PATCH /apis/web/v1/album/{id}/image endpoint.

Gravedad CVSS v3.1: ALTA

Última modificación:

10/08/2026

CVE-2026-72592

Fecha de publicación:

10/08/2026

Idioma:

Inglés

*** Pendiente de traducción *** An unrestricted file upload vulnerability in dulldusk/phpfm through 1.8.0 allows an unauthenticated remote attacker to execute arbitrary PHP code on the server. The application ships with an empty upload extension filter ( = array) and no authentication enabled by default (auth_pass is empty string), allowing an unauthenticated attacker to upload a PHP webshell and execute it by browsing to the uploaded path.

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

10/08/2026

CVE-2026-72593

Fecha de publicación:

10/08/2026

Idioma:

Inglés

*** Pendiente de traducción *** A missing authentication vulnerability in dulldusk/phpfm through 1.8.0 allows an unauthenticated remote attacker to access the full file manager functionality including reading, writing, deleting, and uploading files anywhere on the server filesystem.

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

10/08/2026

CVE-2026-72594

Fecha de publicación:

10/08/2026

Idioma:

Inglés

*** Pendiente de traducción *** A stored cross-site scripting (XSS) vulnerability in lobehub/lobe-chat through v2.2.13 allows a low-privileged authenticated user to inject arbitrary JavaScript into the application by uploading a crafted SVG file as a user avatar.

Gravedad CVSS v3.1: ALTA

Última modificación:

10/08/2026

CVE-2026-72581

Fecha de publicación:

10/08/2026

Idioma:

Inglés

*** Pendiente de traducción *** A server-side request forgery (SSRF) vulnerability in duhow/xiaoai-patch through commit fb07049 allows a remote attacker to make the Xiaomi smart speaker perform HTTP requests to arbitrary internal or external URLs. The /auth endpoint in api/main.py uses the user-supplied url POST parameter to redirect to a Home Assistant instance without validating the destination URL, enabling internal network scanning and access to internal services.

Gravedad CVSS v3.1: ALTA

Última modificación:

10/08/2026

CVE-2026-72582

Fecha de publicación:

10/08/2026

Idioma:

Inglés

*** Pendiente de traducción *** A NULL pointer dereference vulnerability in fastschema through v0.15.1 allows an unauthenticated remote attacker to crash the server process with a single HTTP request. The sendOTPEmail function in pkg/auth/local.go dereferences a pointer obtained from an unchecked error path without validating it is non-nil, causing a fatal panic that terminates the entire server when a recovery request is sent to the /api/auth/local/recover endpoint.

Gravedad CVSS v3.1: ALTA

Última modificación:

10/08/2026

CVE-2026-72583

Fecha de publicación:

10/08/2026

Idioma:

Inglés

*** Pendiente de traducción *** A stored cross-site scripting (XSS) vulnerability in fastschema through v0.15.1 allows a low-privileged authenticated user to upload an SVG file containing malicious JavaScript by bypassing the MIME type allow-list check.

Gravedad CVSS v3.1: MEDIA

Última modificación:

10/08/2026

CVE-2026-72584

Fecha de publicación:

10/08/2026

Idioma:

Inglés

*** Pendiente de traducción *** A time-of-check/time-of-use (TOCTOU) race condition in fastschema through v0.15.1 allows an unauthenticated remote attacker to bypass the OTP attempt limit on the account recovery flow, enabling brute-force attacks on 6-digit OTP codes.

Gravedad CVSS v3.1: ALTA

Última modificación:

10/08/2026

Suscribirse a Vulnerabilidades