Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las últimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las últimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las últimas vulnerabilidades incorporadas al repositorio.

CVE-2026-19208

Fecha de publicación:

07/08/2026

Idioma:

Inglés

*** Pendiente de traducción *** A vulnerability was detected in WonderTrader up to 0.9.9. Impacted is the function TraderDD::queryTrades of the file src/TraderDD/TraderDD.cpp. The manipulation of the argument FID_JYLB results in enforcement of behavioral workflow. The attack can be launched remotely. A high complexity level is associated with this attack. The exploitability is considered difficult. The exploit is now public and may be used. The vendor was contacted early about this disclosure but did not respond in any way.

Gravedad CVSS v4.0: BAJA

Última modificación:

12/08/2026

CVE-2026-19209

Fecha de publicación:

07/08/2026

Idioma:

Inglés

*** Pendiente de traducción *** A flaw has been found in SourceCodester Photo Share Website 1.0. The affected element is an unknown function of the file /social/index.php?page=home. This manipulation of the argument Comment causes cross site scripting. The attack may be initiated remotely. The exploit has been published and may be used.

Gravedad CVSS v4.0: BAJA

Última modificación:

12/08/2026

CVE-2026-19264

Fecha de publicación:

07/08/2026

Idioma:

Inglés

*** Pendiente de traducción *** Postiz is an open-source social media scheduling tool. The route that serves locally stored media joins URL-supplied path segments onto the upload directory and streams the file without normalising the path or confining it to that directory, and the route requires no authentication. Raw dot-segments are collapsed before routing, but URL-encoded separators survive route matching and are decoded only once they reach the handler, restoring the traversal at the filesystem call. An unauthenticated remote attacker can therefore read any file readable by the application process, including the process environment, which exposes the JWT signing secret, the database connection string, and connected provider and billing secrets. Because session tokens are signed with that secret and carry no expiry, this allows forging a non-expiring session as any user, including an administrator, without a password.

Gravedad CVSS v4.0: CRÍTICA

Última modificación:

07/08/2026

CVE-2026-19207

Fecha de publicación:

07/08/2026

Idioma:

Inglés

*** Pendiente de traducción *** A security vulnerability has been detected in PHPGurukul Company Visitor Management System 1.0. This issue affects some unknown processing of the file /manage-newvisitors.php. The manipulation of the argument fullname leads to cross site scripting. The attack can be initiated remotely. The exploit has been disclosed publicly and may be used.

Gravedad CVSS v4.0: BAJA

Última modificación:

12/08/2026

CVE-2026-18497

Fecha de publicación:

07/08/2026

Idioma:

Inglés

*** Pendiente de traducción *** A heap-buffer-overflow vulnerability exists in the nothings stb TrueType library, up to version 1.26, that is used for parsing TrueType font files. The vulnerability exists in the stbtt__GetGlyphShapeTT() function within the nothings stb_truetype.h library when parsing malformed TTF (TrueType Font) files. The vulnerability resides in the glyph data parsing path.<br /> <br /> An attacker can craft a malformed TTF file with an inflated endPtsOfContours value and truncate the remaining glyph data. When an application utilizing stb_truetype.h (such as various game engines or graphics software) attempts to load, bake, or render this malformed font via stbtt_GetGlyphShape(), the parser will attempt to read past the end of the glyph data buffer, triggering the out-of-bounds read.

Gravedad CVSS v3.1: ALTA

Última modificación:

12/08/2026

CVE-2022-4995

Fecha de publicación:

07/08/2026

Idioma:

Inglés

*** Pendiente de traducción *** Weaver (Fanwei) E-cology 9.0 versions prior to 10.52 contain a file upload vulnerability that allows a remote, unauthenticated attacker to upload arbitrary files, including JSP webshells, by submitting a multipart/form-data POST request to /workrelate/plan/util/uploaderOperate.jsp with arbitrary secId and plandetailid field values. Successful exploitation results in remote code execution under the privileges of the application server process. Exploitation evidence was first observed by the Shadowserver Foundation on 2023-10-14 (UTC).

Gravedad CVSS v4.0: CRÍTICA

Última modificación:

07/08/2026

CVE-2026-66914

Fecha de publicación:

07/08/2026

Idioma:

Inglés

*** Pendiente de traducción *** Joomla Extension - seblod.com - Unauthenticated path traversal in SEBLOD

Gravedad CVSS v4.0: CRÍTICA

Última modificación:

07/08/2026

CVE-2026-61477

Fecha de publicación:

07/08/2026

Idioma:

Inglés

*** Pendiente de traducción *** An injection vulnerability was found in libvirt&#39;s virtual network driver. The network XML parser does not strip newline characters from DNS TXT record value attributes and SRV record domain/target attributes. These values are written verbatim into the dnsmasq configuration file generated by the network driver, allowing a user with permission to define virtual networks to inject arbitrary dnsmasq configuration directives such as dhcp-script, leading to arbitrary command execution as root.

Gravedad CVSS v3.1: BAJA

Última modificación:

14/08/2026

CVE-2026-37171

Fecha de publicación:

07/08/2026

Idioma:

Inglés

*** Pendiente de traducción *** A lack of tenant separation in SuperTokens Inc. SuperTokens Core v6.0.0 to v11.4.0 allows an authenticated party in one tenant to access sessions, data, and endpoints of another tenant.

Gravedad CVSS v3.1: MEDIA

Última modificación:

07/08/2026

CVE-2026-19206

Fecha de publicación:

07/08/2026

Idioma:

Inglés

*** Pendiente de traducción *** A security flaw has been discovered in MZ Automation libiec61850 up to 1.6.1. This affects the function SVReceiver_stopThreadless of the file src/sampled_values/sv_subscriber.c of the component ASDU Element Handler. Performing a manipulation results in heap-based buffer overflow. The attack must be initiated from a local position. The exploit has been released to the public and may be used for attacks. Upgrading to version 1.6.2 is able to mitigate this issue. The patch is named a96bd674e0238276dd1387d31d52e55229d0771e. The affected component should be upgraded.

Gravedad CVSS v4.0: BAJA

Última modificación:

12/08/2026

CVE-2026-16637

Fecha de publicación:

07/08/2026

Idioma:

Inglés

*** Pendiente de traducción *** OPeNDAP Hyrax allows SSRF and credential disclosure via unvalidated HTTP redirects that bypass the AllowedHosts allowlist and leak Earthdata headers (User-Id, Echo-Token) to attacker-controlled endpoints.

Gravedad CVSS v3.1: MEDIA

Última modificación:

10/08/2026

CVE-2026-15570

Fecha de publicación:

07/08/2026

Idioma:

Inglés

*** Pendiente de traducción *** An improper restriction of URL schemes and destinations in the SmartCenter browserseturl command in the Telefunken TE24553B45V2DZ Smart TV running on the Vestel MB181 / Voltron181 / TiVo OS platform allows an attacker with access to the same local network to cause the embedded browser to issue requests to unintended loopback/internal destinations, including 127.0.0.1 addresses. In demonstrated scenarios, requests initiated through the SmartCenter browserseturl mechanism could reach an internal service and receive a successful response, although the same destination was not reachable through normal browser navigation. The issue affects firmware version V2.78.0.0 and is fixed in firmware version V2.85.2.0.

Gravedad CVSS v4.0: ALTA

Última modificación:

07/08/2026

Suscribirse a Vulnerabilidades