Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las últimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las últimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las últimas vulnerabilidades incorporadas al repositorio.

CVE-2026-43628

Fecha de publicación:

06/08/2026

Idioma:

Inglés

*** Pendiente de traducción *** llama.cpp builds b3978 through b9058 contain an integer underflow and out-of-bounds read vulnerability in the DRY sampler that allows unauthenticated attackers to trigger a heap buffer underflow by sending a crafted HTTP request with dry_allowed_length set to INT32_MIN to the /v1/completions or /v1/chat/completions endpoints. Attackers can exploit this vulnerability to crash the server with SIGSEGV causing denial of service for all connected users, or corrupt token sampling probabilities by reading garbage values from memory before the allocated buffer.

Gravedad CVSS v4.0: ALTA

Última modificación:

07/08/2026

CVE-2026-43629

Fecha de publicación:

06/08/2026

Idioma:

Inglés

*** Pendiente de traducción *** llama.cpp builds b4882 through b9058 contain a heap buffer overflow vulnerability in the KV cache state restore path where the state_read_data() function computes write size without overflow checking, allowing attackers with write access to the slot_save_path directory to corrupt heap memory. Attackers can craft malicious state files where cell_count multiplication overflows or exceeds tensor buffer allocation to write attacker-controlled bytes past buffer boundaries, potentially resulting in heap metadata corruption, model weight corruption, or arbitrary code execution via function pointer overwrite.

Gravedad CVSS v4.0: CRÍTICA

Última modificación:

07/08/2026

CVE-2026-43627

Fecha de publicación:

06/08/2026

Idioma:

Inglés

*** Pendiente de traducción *** llama.cpp builds b1283 through b9058 contain an integer overflow vulnerability in the llama_batch_init() function where unchecked multiplications in malloc() calls can wrap past INT32_MAX when computing allocation sizes. Attackers can pass specially crafted parameters to trigger integer overflow, causing heap corruption and potentially achieving arbitrary code execution through subsequent batch operations that write past allocated buffer boundaries.

Gravedad CVSS v4.0: ALTA

Última modificación:

08/08/2026

CVE-2026-41861

Fecha de publicación:

06/08/2026

Idioma:

Inglés

*** Pendiente de traducción *** Path Traversal in BOSH-Ecosystem / BOSH allows an IaaS-metadata attacker to make the agent write a root-owned file with partially attacker-controlled body to any path ending in .network, and create any missing parent directories with mode 0777 via network Alias on Ubuntu. Affected versions: BOSH agent

Gravedad CVSS v3.1: MEDIA

Última modificación:

18/08/2026

CVE-2026-3415

Fecha de publicación:

06/08/2026

Idioma:

Inglés

*** Pendiente de traducción *** The XML and schema validation functionalities within the SchemaValidator Mediator process XML input as part of validation flows. Under certain conditions, the XML parser allows the resolution of external entities when handling user-supplied XML content during validation operations. This behavior can occur when an attacker supplies crafted XML payloads to the relevant mediator flows with sufficient privileges. Successful exploitation may allow a highly privileged actor to read files accessible within the server hosting the affected product. Additionally, it may be possible to trigger outbound requests to unintended internal or external locations, depending on the server environment and network configuration. Specially crafted XML payloads can also lead to excessive resource consumption during parsing, impacting the availability of the product.

Gravedad CVSS v3.1: ALTA

Última modificación:

07/08/2026

CVE-2026-3418

Fecha de publicación:

06/08/2026

Idioma:

Inglés

*** Pendiente de traducción *** The System REST API accepts user-supplied file uploads without enforcing sufficient validation on the file type or destination, allowing files to be written to arbitrary server-accessible locations. Exploitation requires authenticated administrative access with publisher privileges. Successful exploitation permits an authenticated publisher to upload files to server-accessible locations. Depending on the deployment environment and how uploaded files are handled, this could lead to the execution of uploaded content, potentially resulting in remote code execution.

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

07/08/2026

CVE-2026-33181

Fecha de publicación:

06/08/2026

Idioma:

Inglés

*** Pendiente de traducción *** Rejected reason: ** REJECT ** DO NOT USE THIS CANDIDATE NUMBER. ConsultIDs: CVE-2026-33942. Reason: This candidate is a duplicate of CVE-2026-33942. Notes: All CVE users should reference CVE-2026-33942 instead of this candidate.

Gravedad: Pendiente de análisis

Última modificación:

06/08/2026

CVE-2026-19177

Fecha de publicación:

06/08/2026

Idioma:

Inglés

*** Pendiente de traducción *** Insufficient validation of untrusted input in UI in Google Chrome prior to 151.0.7922.109 allowed a remote attacker who had compromised the renderer process to potentially perform a sandbox escape via a crafted HTML page. (Chromium security severity: High)

Gravedad CVSS v3.1: ALTA

Última modificación:

07/08/2026

CVE-2026-19176

Fecha de publicación:

06/08/2026

Idioma:

Inglés

*** Pendiente de traducción *** Use after free in Skia in Google Chrome prior to 151.0.7922.109 allowed a remote attacker who had compromised the renderer process to execute arbitrary code inside a sandbox via a crafted HTML page. (Chromium security severity: High)

Gravedad CVSS v3.1: ALTA

Última modificación:

07/08/2026

CVE-2026-19175

Fecha de publicación:

06/08/2026

Idioma:

Inglés

*** Pendiente de traducción *** Use after free in Payments in Google Chrome prior to 151.0.7922.109 allowed a remote attacker to potentially perform a sandbox escape via a crafted HTML page. (Chromium security severity: High)

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

08/08/2026

CVE-2026-1289

Fecha de publicación:

06/08/2026

Idioma:

Inglés

*** Pendiente de traducción *** A maliciously crafted PDF file, when parsed through Autodesk Revit, can force a Use-After-Free vulnerability. A malicious actor can leverage this vulnerability to cause a crash, disclose sensitive data, or execute arbitrary code in the context of the current process.

Gravedad CVSS v3.1: ALTA

Última modificación:

21/08/2026

CVE-2026-19167

Fecha de publicación:

06/08/2026

Idioma:

Inglés

*** Pendiente de traducción *** Integer overflow in GPU in Google Chrome prior to 151.0.7922.109 allowed a remote attacker who had compromised the renderer process to leak cross-origin data via a crafted HTML page. (Chromium security severity: High)

Gravedad CVSS v3.1: BAJA

Última modificación:

07/08/2026

Suscribirse a Vulnerabilidades