Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las últimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las últimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las últimas vulnerabilidades incorporadas al repositorio.

CVE-2026-72591

Fecha de publicación:

10/08/2026

Idioma:

Inglés

*** Pendiente de traducción *** A server-side request forgery (SSRF) vulnerability in gabehf/Koito through v0.3.2 allows an authenticated user to make the server perform HTTP requests to arbitrary internal or external hosts by supplying a crafted image_url value in the PATCH /apis/web/v1/album/{id}/image endpoint.

Gravedad CVSS v3.1: ALTA

Última modificación:

10/08/2026

CVE-2026-72592

Fecha de publicación:

10/08/2026

Idioma:

Inglés

*** Pendiente de traducción *** An unrestricted file upload vulnerability in dulldusk/phpfm through 1.8.0 allows an unauthenticated remote attacker to execute arbitrary PHP code on the server. The application ships with an empty upload extension filter ( = array) and no authentication enabled by default (auth_pass is empty string), allowing an unauthenticated attacker to upload a PHP webshell and execute it by browsing to the uploaded path.

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

10/08/2026

CVE-2026-72593

Fecha de publicación:

10/08/2026

Idioma:

Inglés

*** Pendiente de traducción *** A missing authentication vulnerability in dulldusk/phpfm through 1.8.0 allows an unauthenticated remote attacker to access the full file manager functionality including reading, writing, deleting, and uploading files anywhere on the server filesystem.

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

10/08/2026

CVE-2026-72594

Fecha de publicación:

10/08/2026

Idioma:

Inglés

*** Pendiente de traducción *** A stored cross-site scripting (XSS) vulnerability in lobehub/lobe-chat through v2.2.13 allows a low-privileged authenticated user to inject arbitrary JavaScript into the application by uploading a crafted SVG file as a user avatar.

Gravedad CVSS v3.1: ALTA

Última modificación:

10/08/2026

CVE-2026-72581

Fecha de publicación:

10/08/2026

Idioma:

Inglés

*** Pendiente de traducción *** A server-side request forgery (SSRF) vulnerability in duhow/xiaoai-patch through commit fb07049 allows a remote attacker to make the Xiaomi smart speaker perform HTTP requests to arbitrary internal or external URLs. The /auth endpoint in api/main.py uses the user-supplied url POST parameter to redirect to a Home Assistant instance without validating the destination URL, enabling internal network scanning and access to internal services.

Gravedad CVSS v3.1: ALTA

Última modificación:

10/08/2026

CVE-2026-72582

Fecha de publicación:

10/08/2026

Idioma:

Inglés

*** Pendiente de traducción *** A NULL pointer dereference vulnerability in fastschema through v0.15.1 allows an unauthenticated remote attacker to crash the server process with a single HTTP request. The sendOTPEmail function in pkg/auth/local.go dereferences a pointer obtained from an unchecked error path without validating it is non-nil, causing a fatal panic that terminates the entire server when a recovery request is sent to the /api/auth/local/recover endpoint.

Gravedad CVSS v3.1: ALTA

Última modificación:

10/08/2026

CVE-2026-72583

Fecha de publicación:

10/08/2026

Idioma:

Inglés

*** Pendiente de traducción *** A stored cross-site scripting (XSS) vulnerability in fastschema through v0.15.1 allows a low-privileged authenticated user to upload an SVG file containing malicious JavaScript by bypassing the MIME type allow-list check.

Gravedad CVSS v3.1: MEDIA

Última modificación:

10/08/2026

CVE-2026-72584

Fecha de publicación:

10/08/2026

Idioma:

Inglés

*** Pendiente de traducción *** A time-of-check/time-of-use (TOCTOU) race condition in fastschema through v0.15.1 allows an unauthenticated remote attacker to bypass the OTP attempt limit on the account recovery flow, enabling brute-force attacks on 6-digit OTP codes.

Gravedad CVSS v3.1: ALTA

Última modificación:

10/08/2026

CVE-2026-72586

Fecha de publicación:

10/08/2026

Idioma:

Inglés

*** Pendiente de traducción *** A missing authentication vulnerability in frangoteam/FUXA through 1.3.3 allows an unauthenticated remote attacker to query all historical sensor data via the DAQ_QUERY Socket.IO event. When secureEnabled=true, all other sensitive Socket.IO events (DEVICE_BROWSE, HOST_INTERFACES, DEVICE_TAGS_REQUEST, etc.) call isSocketAdminAuthorized to verify the connection token, but the DAQ_QUERY handler in server/runtime/index.js lacks this check entirely.

Gravedad CVSS v3.1: ALTA

Última modificación:

10/08/2026

CVE-2026-72587

Fecha de publicación:

10/08/2026

Idioma:

Inglés

*** Pendiente de traducción *** A cache poisoning vulnerability in CoreBunch/Instatic through 0.0.14 allows an unauthenticated remote attacker to poison the shared process-wide render cache by manipulating the u query parameter of the GET /_instatic/hole/ server island endpoint.

Gravedad CVSS v3.1: MEDIA

Última modificación:

10/08/2026

CVE-2026-72588

Fecha de publicación:

10/08/2026

Idioma:

Inglés

*** Pendiente de traducción *** A user enumeration vulnerability in bluewave-labs/Checkmate through 2.1.0 allows an unauthenticated remote attacker to determine whether a given email address is registered. The POST /api/v1/auth/recovery/request endpoint returns HTTP 200 for registered email addresses and a different status code for unregistered ones, enabling attackers to enumerate valid user accounts.

Gravedad CVSS v3.1: MEDIA

Última modificación:

10/08/2026