Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

017 - Ir a la línea de ayuda en Ciberseguridad    Ir a Agenda     Ir a Sala de prensa     Ir a suscripción de boletines

Ir al buscador

Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las últimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las últimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las últimas vulnerabilidades incorporadas al repositorio.

CVE-2026-47884
Fecha de publicación:
27/08/2026
Idioma:
Inglés
*** Pendiente de traducción *** Use of XsltView in a Spring MVC application can result in SSRF and RCE attack if the application has an "/**" mapping that results in view rendering, and where the view name is not explicitly specified.<br /> Spring Framework 7.0.0 - 7.0.8<br /> Spring Framework 6.2.0 - 6.2.19<br /> Spring Framework 6.1.0 - 6.1.28<br /> Spring Framework 6.0.0 - 6.0.30<br /> Spring Framework 5.3.0 - 5.3.49<br /> Spring Framework 5.2.25.RELEASE and earlier
Gravedad: Pendiente de análisis
Última modificación:
27/08/2026

CVE-2026-47885
Fecha de publicación:
27/08/2026
Idioma:
Inglés
*** Pendiente de traducción *** The PartEventHttpMessageReader in Spring WebFlux does not enforce the maxPartSize limit when maxInMemorySize is set to -1.<br /> Spring Framework 7.0.0 - 7.0.8<br /> Spring Framework 6.2.0 - 6.2.19<br /> Spring Framework 6.1.0 - 6.1.28
Gravedad: Pendiente de análisis
Última modificación:
27/08/2026

CVE-2026-47864
Fecha de publicación:
27/08/2026
Idioma:
Inglés
*** Pendiente de traducción *** SerializingHttpMessageConverter deserializes the body of incoming HTTP requests with a raw java.io.ObjectInputStream and no class filtering. Any request with Content-Type application/x-java-serialized-object whose body resolves to a Serializable type is read directly via readObject(). If an application using this converter on an inbound HTTP endpoint has any known Java deserialization "gadget" on its classpath, a remote, unauthenticated attacker can achieve arbitrary code execution.<br /> Spring Integration 7.1.0<br /> Spring Integration 7.0.0 - 7.0.5<br /> Spring Integration 6.5.0 - 6.5.10<br /> Spring Integration 6.4.0 - 6.4.12<br /> Spring Integration 5.5.21 and earlier
Gravedad CVSS v3.1: MEDIA
Última modificación:
27/08/2026

CVE-2026-47875
Fecha de publicación:
27/08/2026
Idioma:
Inglés
*** Pendiente de traducción *** Applications that deserialize execution contexts with Jackson2ExecutionContextStringSerializer are vulnerable to a deserialization attack if they use an untrusted data source for the job repository. The JobParameterDeserializer does not properly enforce the trusted-types allowlist, allowing an attacker to craft malicious input that can lead to arbitrary code execution, including known Jackson RCE gadgets.<br /> Spring Batch 6.0.0 - 6.0.4<br /> Spring Batch 5.2.0 - 5.2.6
Gravedad CVSS v3.1: MEDIA
Última modificación:
27/08/2026

CVE-2026-47877
Fecha de publicación:
27/08/2026
Idioma:
Inglés
*** Pendiente de traducción *** Spring Security Authorization Server&amp;#39;s default consent page renders user-controlled values without HTML entity encoding.<br /> Spring Security 7.1.0<br /> Spring Security 7.0.0 - 7.0.6
Gravedad CVSS v3.1: ALTA
Última modificación:
27/08/2026

CVE-2026-47878
Fecha de publicación:
27/08/2026
Idioma:
Inglés
*** Pendiente de traducción *** DefaultExecutionContextSerializer, used by default in Spring Batch&amp;#39;s JDBC job repository, passes Base64-decoded bytes directly to ObjectInputStream.readObject() without an ObjectInputFilter that restricts types to a trusted class allowlist.<br /> Spring Batch 6.0.0 - 6.0.4<br /> Spring Batch 5.2.6 and earlier
Gravedad CVSS v3.1: MEDIA
Última modificación:
27/08/2026

CVE-2026-47879
Fecha de publicación:
27/08/2026
Idioma:
Inglés
*** Pendiente de traducción *** Spring Cloud Gateway JsonToGrpcGatewayFilterFactory allows arbitrary Spring Resource locations for defining the proto descriptor.<br /> Spring Cloud Gateway 5.0.0 - 5.0.2<br /> Spring Cloud Gateway 4.3.0 - 4.3.5<br /> Spring Cloud Gateway 4.0.0 - 4.2.9<br /> Spring Cloud Gateway 3.1.13 and earlier
Gravedad CVSS v3.1: ALTA
Última modificación:
27/08/2026

CVE-2026-47880
Fecha de publicación:
27/08/2026
Idioma:
Inglés
*** Pendiente de traducción *** A producer who can publish to a JMS destination consumed by any Spring Integration JMS inbound component can set String JMS properties named replyChannel, errorChannel, or json__TypeId__ which are copied verbatim into the Spring Integration MessageHeaders.<br /> Spring Integration 7.1.0<br /> Spring Integration 7.0.0 - 7.0.5<br /> Spring Integration 6.5.0 - 6.5.10<br /> Spring Integration 6.4.0 - 6.4.12<br /> Spring Integration 5.5.21 and earlier
Gravedad CVSS v3.1: MEDIA
Última modificación:
27/08/2026

CVE-2026-47849
Fecha de publicación:
27/08/2026
Idioma:
Inglés
*** Pendiente de traducción *** Spring Data REST does not guard identifier (@Id) and version (@Version) properties against mutation via RFC 6902 JSON Patch (application/json-patch+json) requests.<br /> Spring Data REST 5.1.0<br /> Spring Data REST 5.0.0 - 5.0.6<br /> Spring Data REST 4.5.0 - 4.5.12<br /> Spring Data REST 4.0.0 - 4.4.15<br /> Spring Data REST 3.7.20 and earlier
Gravedad CVSS v3.1: ALTA
Última modificación:
27/08/2026

CVE-2026-19225
Fecha de publicación:
27/08/2026
Idioma:
Inglés
*** Pendiente de traducción *** The Defender Security WordPress plugin before 6.2.0 does not restrict a network-wide setting to network administrators, allowing an administrator of any single site on a multisite network to execute arbitrary code across the entire network.
Gravedad: Pendiente de análisis
Última modificación:
27/08/2026

CVE-2026-19454
Fecha de publicación:
27/08/2026
Idioma:
Inglés
*** Pendiente de traducción *** The JetBackup WordPress plugin before 3.1.23.5 does not perform its multisite authorisation check before serving backup archives and job logs, allowing an administrator of the network&amp;#39;s main site who is not a Super Admin to download a full backup of the entire network, including every site&amp;#39;s data and the shared webroot.
Gravedad: Pendiente de análisis
Última modificación:
27/08/2026

CVE-2026-19715
Fecha de publicación:
27/08/2026
Idioma:
Inglés
*** Pendiente de traducción *** The WP OAuth Server ( Login with WordPress ) WordPress plugin before 6.3.1 does not restrict access to the debug log it writes, which is stored at a fixed and publicly reachable location, allowing unauthenticated users to read the OAuth tokens and authorisation codes it has issued as well as user records including password hashes when debug logging is enabled.
Gravedad: Pendiente de análisis
Última modificación:
27/08/2026
Suscribirse a Vulnerabilidades