Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

017 - Ir a la línea de ayuda en Ciberseguridad    Ir a Agenda     Ir a Sala de prensa     Ir a suscripción de boletines

Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las últimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las últimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las últimas vulnerabilidades incorporadas al repositorio.

CVE-2026-59088
Fecha de publicación:
10/08/2026
Idioma:
Inglés
*** Pendiente de traducción *** A flaw was found in GIMP. A signed integer overflow vulnerability exists in the `file-fli` plugin when processing FLI image files. This occurs due to an incorrect calculation during memory allocation for image buffers, where the multiplication of image width and height can exceed the maximum integer value. A remote attacker could exploit this by tricking a user into opening a specially crafted FLI file, leading to the application crashing and resulting in a denial of service.
Gravedad CVSS v3.1: MEDIA
Última modificación:
21/08/2026

CVE-2026-72589
Fecha de publicación:
10/08/2026
Idioma:
Inglés
*** Pendiente de traducción *** An OS command injection vulnerability in alseambusher/crontab-ui through 0.4.2 allows an unauthenticated remote attacker to execute arbitrary system commands by importing a crafted crontab database file. The POST /import endpoint accepts arbitrary .db files and overwrites the application database without validation.
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
10/08/2026

CVE-2026-72590
Fecha de publicación:
10/08/2026
Idioma:
Inglés
*** Pendiente de traducción *** An OS command injection vulnerability in alseambusher/crontab-ui through 0.4.2 allows an unauthenticated remote attacker to inject arbitrary cron job entries by sending a crafted GET request to /crontab with URL-encoded newlines in the env_vars parameter.
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
10/08/2026

CVE-2026-72591
Fecha de publicación:
10/08/2026
Idioma:
Inglés
*** Pendiente de traducción *** A server-side request forgery (SSRF) vulnerability in gabehf/Koito through v0.3.2 allows an authenticated user to make the server perform HTTP requests to arbitrary internal or external hosts by supplying a crafted image_url value in the PATCH /apis/web/v1/album/{id}/image endpoint.
Gravedad CVSS v3.1: ALTA
Última modificación:
10/08/2026

CVE-2026-72592
Fecha de publicación:
10/08/2026
Idioma:
Inglés
*** Pendiente de traducción *** An unrestricted file upload vulnerability in dulldusk/phpfm through 1.8.0 allows an unauthenticated remote attacker to execute arbitrary PHP code on the server. The application ships with an empty upload extension filter ( = array) and no authentication enabled by default (auth_pass is empty string), allowing an unauthenticated attacker to upload a PHP webshell and execute it by browsing to the uploaded path.
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
10/08/2026

CVE-2026-72593
Fecha de publicación:
10/08/2026
Idioma:
Inglés
*** Pendiente de traducción *** A missing authentication vulnerability in dulldusk/phpfm through 1.8.0 allows an unauthenticated remote attacker to access the full file manager functionality including reading, writing, deleting, and uploading files anywhere on the server filesystem.
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
10/08/2026

CVE-2026-72594
Fecha de publicación:
10/08/2026
Idioma:
Inglés
*** Pendiente de traducción *** A stored cross-site scripting (XSS) vulnerability in lobehub/lobe-chat through v2.2.13 allows a low-privileged authenticated user to inject arbitrary JavaScript into the application by uploading a crafted SVG file as a user avatar.
Gravedad CVSS v3.1: ALTA
Última modificación:
10/08/2026

CVE-2026-72581
Fecha de publicación:
10/08/2026
Idioma:
Inglés
*** Pendiente de traducción *** A server-side request forgery (SSRF) vulnerability in duhow/xiaoai-patch through commit fb07049 allows a remote attacker to make the Xiaomi smart speaker perform HTTP requests to arbitrary internal or external URLs. The /auth endpoint in api/main.py uses the user-supplied url POST parameter to redirect to a Home Assistant instance without validating the destination URL, enabling internal network scanning and access to internal services.
Gravedad CVSS v3.1: ALTA
Última modificación:
10/08/2026

CVE-2026-72582
Fecha de publicación:
10/08/2026
Idioma:
Inglés
*** Pendiente de traducción *** A NULL pointer dereference vulnerability in fastschema through v0.15.1 allows an unauthenticated remote attacker to crash the server process with a single HTTP request. The sendOTPEmail function in pkg/auth/local.go dereferences a pointer obtained from an unchecked error path without validating it is non-nil, causing a fatal panic that terminates the entire server when a recovery request is sent to the /api/auth/local/recover endpoint.
Gravedad CVSS v3.1: ALTA
Última modificación:
10/08/2026

CVE-2026-72583
Fecha de publicación:
10/08/2026
Idioma:
Inglés
*** Pendiente de traducción *** A stored cross-site scripting (XSS) vulnerability in fastschema through v0.15.1 allows a low-privileged authenticated user to upload an SVG file containing malicious JavaScript by bypassing the MIME type allow-list check.
Gravedad CVSS v3.1: MEDIA
Última modificación:
10/08/2026

CVE-2026-72584
Fecha de publicación:
10/08/2026
Idioma:
Inglés
*** Pendiente de traducción *** A time-of-check/time-of-use (TOCTOU) race condition in fastschema through v0.15.1 allows an unauthenticated remote attacker to bypass the OTP attempt limit on the account recovery flow, enabling brute-force attacks on 6-digit OTP codes.
Gravedad CVSS v3.1: ALTA
Última modificación:
10/08/2026

CVE-2026-72586
Fecha de publicación:
10/08/2026
Idioma:
Inglés
*** Pendiente de traducción *** A missing authentication vulnerability in frangoteam/FUXA through 1.3.3 allows an unauthenticated remote attacker to query all historical sensor data via the DAQ_QUERY Socket.IO event. When secureEnabled=true, all other sensitive Socket.IO events (DEVICE_BROWSE, HOST_INTERFACES, DEVICE_TAGS_REQUEST, etc.) call isSocketAdminAuthorized to verify the connection token, but the DAQ_QUERY handler in server/runtime/index.js lacks this check entirely.
Gravedad CVSS v3.1: ALTA
Última modificación:
10/08/2026
Suscribirse a Vulnerabilidades