Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las últimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las últimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las últimas vulnerabilidades incorporadas al repositorio.

CVE-2026-71248

Fecha de publicación:

05/08/2026

Idioma:

Inglés

*** Pendiente de traducción *** Inventory-Management-System-PHP&#39;s login.php constructs its authentication query via direct string concatenation of raw POST parameters: = "select * from user where email = &#39;&#39; and password = &#39;&#39;", with no escaping or parameterization, allowing authentication bypass via a payload such as email=&#39; OR 1=1 LIMIT 1-- -.

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

10/08/2026

CVE-2026-71249

Fecha de publicación:

05/08/2026

Idioma:

Inglés

*** Pendiente de traducción *** 299Ko&#39;s public contact form (plugin/contact/controllers/ContactController.php, home) sets raw POST field values (name, firstname, email, message) into the page template with no sanitization. The template engine&#39;s variable output function (common/Template.php, _show_var) echoes values with no htmlspecialchars call, and the sink template (contact.tpl) outputs these values unescaped into an HTML attribute and a textarea.

Gravedad CVSS v3.1: MEDIA

Última modificación:

10/08/2026

CVE-2026-71245

Fecha de publicación:

05/08/2026

Idioma:

Inglés

*** Pendiente de traducción *** Rejected reason: Red Hat CNA-LR concluded that this CVE is not valid.

Gravedad CVSS v3.1: ALTA

Última modificación:

17/08/2026

CVE-2026-71234

Fecha de publicación:

05/08/2026

Idioma:

Inglés

*** Pendiente de traducción *** Documize Community&#39;s attachment download route (domain/attachment/endpoint.go, Download function, registered via AddPublic with no auth middleware) accepts a query parameter and grants access whenever the parameter is simply non-empty (len(secureToken) > 0), without comparing it to any server-stored value.

Gravedad CVSS v3.1: ALTA

Última modificación:

10/08/2026

CVE-2026-71235

Fecha de publicación:

05/08/2026

Idioma:

Inglés

*** Pendiente de traducción *** Magistrala&#39;s Rules Engine allows authenticated users to create rules with embedded Go or Lua scripts executed server-side when IoT messages arrive. The Lua script engine (re/lua.go) performs no input validation at all and preloads dangerous libraries: db (arbitrary database access), ioutil (file I/O), an HTTP client (SSRF), and filepath (traversal).

Gravedad CVSS v3.1: ALTA

Última modificación:

10/08/2026

CVE-2026-71236

Fecha de publicación:

05/08/2026

Idioma:

Inglés

*** Pendiente de traducción *** Grocy&#39;s API request-body parser (controllers/Api/BaseApiController.php, GetParsedAndFilteredRequestBody) purifies incoming field values with HTMLPurifier, then manually reverses HTML-entity encoding of the resulting output by replacing &amp;lt;, &amp;gt;, and &amp;amp; back to , and & immediately after purification.

Gravedad CVSS v3.1: ALTA

Última modificación:

10/08/2026

CVE-2026-71237

Fecha de publicación:

05/08/2026

Idioma:

Inglés

*** Pendiente de traducción *** Miantang/IoT-PHP&#39;s index.php implements a POST /userlogin route that reads the password directly from [&#39;pwd&#39;] with no sanitization and concatenates it into a raw SQL string: mysql_query("select * from userlists where username=&#39;&#39; and password=&#39;&#39; limit 1"). An unauthenticated attacker can submit a payload such as pwd=&#39; OR &#39;1&#39;=&#39;1 to bypass authentication and, via UNION-based injection, extract arbitrary data from the database.

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

10/08/2026

CVE-2026-71238

Fecha de publicación:

05/08/2026

Idioma:

Inglés

*** Pendiente de traducción *** DjangoCRM ships with its Django SECRET_KEY hardcoded directly in the committed webcrm/settings.py rather than read from an environment variable. Since this key is used for session signing, CSRF token generation, and password reset tokens, anyone who reads the public repository can forge valid session cookies (including for the superadmin account), forge CSRF tokens, and forge password reset tokens, achieving full account takeover.

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

10/08/2026

CVE-2026-71239

Fecha de publicación:

05/08/2026

Idioma:

Inglés

*** Pendiente de traducción *** DjangoCRM&#39;s massmail module renders user-controlled EmlMessage fields (subject, content) through Django&#39;s Template constructor with no sanitization, in at least three locations: message_previews.py builds an f-string embedding message.subject/message.content directly into a Template call; email_creators.py passes eml_message.subject directly as a template string to Template; and helpers.py contains the same f-string interpolation pattern.

Gravedad CVSS v3.1: ALTA

Última modificación:

10/08/2026

CVE-2026-71240

Fecha de publicación:

05/08/2026

Idioma:

Inglés

*** Pendiente de traducción *** DjangoCRM&#39;s toggle_default_sorting view is the only route in common/urls.py that is not wrapped in login_required or staff_member_required, and it redirects to a caller-supplied next_url GET parameter after only checking secure_url(next_url), which merely verifies the target host matches the current site&#39;s domain (blocking only cross-domain redirects) while allowing any same-site path with no authentication required to reach the view.

Gravedad CVSS v3.1: MEDIA

Última modificación:

10/08/2026

CVE-2026-71241

Fecha de publicación:

05/08/2026

Idioma:

Inglés

*** Pendiente de traducción *** Book-Management-System&#39;s Flask API endpoints /student, /record, /books, /find_stu_book, and /find_not_return_book are missing the @login_required decorator that protects sibling routes (/search_student, /storage) in the same file. Because card_id values are sequential integers, the entire student database can be enumerated without authentication.

Gravedad CVSS v3.1: ALTA

Última modificación:

10/08/2026

CVE-2026-17578

Fecha de publicación:

05/08/2026

Idioma:

Inglés

*** Pendiente de traducción *** Kong Event Gateway versions 1.0.0 through 1.1.1 and 1.2.0 do not enforce key rotation before reaching NIST SP 800-38D recommended usage limit for AES-GCM encryption keys with random nonces when the AWS IAM encryption feature is enabled. If a producer sends messages at a sustained high rate without key rotation, which only occurs on reboot of the Kong Event Gateway instance, the probability of a nonce collision becomes non-negligible. An authorized consumer who detects a nonce collision can recover parts of plaintext from the affected messages. New versions 1.1.2 and 1.2.1 enforce automatic key rotation before the recommended usage limit is reached.

Gravedad CVSS v4.0: BAJA

Última modificación:

05/08/2026

Suscribirse a Vulnerabilidades