Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

017 - Ir a la línea de ayuda en Ciberseguridad    Ir a Agenda     Ir a Sala de prensa     Ir a suscripción de boletines

Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las últimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las últimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las últimas vulnerabilidades incorporadas al repositorio.

CVE-2026-71283
Fecha de publicación:
05/08/2026
Idioma:
Inglés
*** Pendiente de traducción *** Fledge's backup-restore upload handler, upload_backup (python/fledge/services/core/api/backup_restore.py), calls tarfile.extractall(temp_path) on an admin-uploaded tar archive with no filter argument and no per-member path validation. Requires the admin role (@has_permission("admin")).
Gravedad CVSS v3.1: MEDIA
Última modificación:
10/08/2026

CVE-2026-71275
Fecha de publicación:
05/08/2026
Idioma:
Inglés
*** Pendiente de traducción *** OpenBK7231T's http_fn_ota_exec() (src/httpserver/http_fns.c) reflects the `host` query parameter directly into an HTML response via hprintf255(request, "OTA requested for %s!", tmpA) with no HTML encoding, allowing a crafted URL such as /ota_exec?host=alert(1) to execute JavaScript in an authenticated admin's browser when they click a malicious link.
Gravedad CVSS v3.1: MEDIA
Última modificación:
05/08/2026

CVE-2026-71268
Fecha de publicación:
05/08/2026
Idioma:
Inglés
*** Pendiente de traducción *** OpenPLC Runtime v3's compile_program function (webserver/openplc.py) parses directives from uploaded Structured Text (.st) program files and writes the referenced content to with no validation that file_path stays within the ./core directory. A path-validation function, validate_file_path, exists elsewhere in the codebase (webserver/credentials.py) but is never invoked from compile_program, leaving the sink unprotected.
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
10/08/2026

CVE-2026-71269
Fecha de publicación:
05/08/2026
Idioma:
Inglés
*** Pendiente de traducción *** Node-RED's local-filesystem library storage module (getLibraryEntry and saveLibraryEntry in packages/node_modules/@node-red/runtime/lib/storage/localfilesystem/library.js), reachable via GET/POST /library/:lib/:type/*path, joins the user-supplied path parameter directly into the filesystem path via fspath.join(libDir, type, path) with no traversal sanitization, containment check, or path normalization/prefix verification.
Gravedad CVSS v3.1: ALTA
Última modificación:
10/08/2026

CVE-2026-71270
Fecha de publicación:
05/08/2026
Idioma:
Inglés
*** Pendiente de traducción *** Stirling-PDF's POST /api/v1/convert/url/pdf endpoint (ConvertWebsiteToPDF.java) was not updated with the CustomHtmlSanitizer/SsrfProtectionService SSRF protections that were added to three sibling conversion endpoints (html/pdf, file/pdf, markdown/pdf).
Gravedad CVSS v3.1: ALTA
Última modificación:
10/08/2026

CVE-2026-71271
Fecha de publicación:
05/08/2026
Idioma:
Inglés
*** Pendiente de traducción *** Memos' webhook URL validation, isReservedIP (internal/webhook/validate.go), checks a candidate IP against a reservedCIDRs list that omits 0.0.0.0/8 and never calls ip.IsUnspecified — unlike the correctly implemented sibling function isInternalIP in internal/httpgetter/html_meta.go, which does.
Gravedad CVSS v3.1: ALTA
Última modificación:
10/08/2026

CVE-2026-71272
Fecha de publicación:
05/08/2026
Idioma:
Inglés
*** Pendiente de traducción *** Memos' webhook dispatch function safeDialContext (internal/webhook/webhook.go) resolves the target hostname via net.DefaultResolver.LookupHost and validates the resulting IPs against reserved ranges, but then dials net.JoinHostPort(host, port) using the original hostname rather than the already-validated IP address.
Gravedad CVSS v3.1: ALTA
Última modificación:
10/08/2026

CVE-2026-71273
Fecha de publicación:
05/08/2026
Idioma:
Inglés
*** Pendiente de traducción *** OpenBK7231T's /cfg_wifi_set endpoint (src/httpserver/http_fns.c) accepts configuration changes via a plain GET request with no CSRF token. If the parameter is absent from the request, an else-branch silently clears the device's web admin password to an empty string.
Gravedad CVSS v3.1: MEDIA
Última modificación:
10/08/2026

CVE-2026-71274
Fecha de publicación:
05/08/2026
Idioma:
Inglés
*** Pendiente de traducción *** OpenBK7231T's CHANNEL_SetLabel (src/cmnds/cmd_channels.c) stores channel labels received via the MQTT SetChannelLabel command using strdup with no HTML sanitization. CHANNEL_GetLabel returns these labels unsanitized, and they are rendered via hprintf255 at 15+ locations in src/httpserver/http_fns.c with no HTML encoding.
Gravedad CVSS v3.1: ALTA
Última modificación:
10/08/2026

CVE-2026-71260
Fecha de publicación:
05/08/2026
Idioma:
Inglés
*** Pendiente de traducción *** ESPHome through 2026.7.0-dev discloses plaintext passwords via its web_server component. In WebServer::text_json_ (esphome/components/web_server/web_server.cpp), a text entity configured with mode: password (TEXT_MODE_PASSWORD) has its JSON "state" field correctly masked as "********", but the same serialization path unconditionally writes the raw password into the JSON "value" field via set_json_icon_state_value/set_json_value.
Gravedad CVSS v3.1: MEDIA
Última modificación:
10/08/2026

CVE-2026-71261
Fecha de publicación:
05/08/2026
Idioma:
Inglés
*** Pendiente de traducción *** dr_libs dr_wav.h (all versions through current master) contains an integer overflow in W64 CUE chunk metadata parsing. In drwav__metadata_process_chunk, a stage-1 capacity estimate truncates the 64-bit W64 chunk sizeInBytes to size_t before dividing by DRWAV_CUE_POINT_BYTES; on 32-bit builds this truncation causes the pre-allocated extra metadata capacity to be computed incorrectly.
Gravedad CVSS v3.1: ALTA
Última modificación:
10/08/2026

CVE-2026-71262
Fecha de publicación:
05/08/2026
Idioma:
Inglés
*** Pendiente de traducción *** IoTSharp BlobStorageController.cs lacks the [Authorize] attribute applied to every other controller in the application (DevicesController, CustomersController, TenantsController, etc.), and no global authorization FallbackPolicy is configured in Startup.cs, leaving its Upload/Download/List/Modify/Delete endpoints reachable by unauthenticated remote attackers.
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
10/08/2026
Suscribirse a Vulnerabilidades