Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las últimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las últimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las últimas vulnerabilidades incorporadas al repositorio.

CVE-2026-28814

Fecha de publicación:

30/07/2026

Idioma:

Inglés

*** Pendiente de traducción *** Arbitrary Wiki Markup rendering due to lack of authentication in Apache JSPWiki up to 2.12.3 allows attacker to obtain sensitive data stored in JSPWiki variables. Users are recommended to upgrade to version 2.12.4 or 3.0.0, which fixes this issue.

Gravedad CVSS v3.1: ALTA

Última modificación:

05/08/2026

CVE-2026-28813

Fecha de publicación:

30/07/2026

Idioma:

Inglés

*** Pendiente de traducción *** Apache JSPWiki, up to 2.12.3, is vulnerable to JSON Hijacking, which leads to csrf vulnerabilities. Users are recommended to upgrade to version 2.12.4, which fixes this issue.

Gravedad CVSS v3.1: ALTA

Última modificación:

05/08/2026

CVE-2026-23985

Fecha de publicación:

30/07/2026

Idioma:

Inglés

*** Pendiente de traducción *** A Regular Expression Denial of Service (ReDoS) vulnerability exists in Apache Superset versions 1.5.0 through 5.0.0. The vulnerability is located in the sql_parse.py component, specifically within the SQL_REGEX used for parsing SQL statements in the sqlparse library integration. The affected regular expression contains overlapping disjunctions that share a common outer quantifier. An authenticated attacker can exploit this by sending a maliciously crafted input string (specifically a long sequence of backslashes or similar characters) to endpoints that process SQL queries This issue affects Apache Superset: before 6.0.0. Users are recommended to upgrade to version 6.0.0, which fixes the issue. Workarounds: ● WAF Rules: Implement Web Application Firewall (WAF) rules to detect and block requests containing excessively long sequences of backslashes or suspicious repeated patterns in the queries.extras.where parameter. ● Rate Limiting: Ensure strict rate limiting is applied to the /api/v1/chart/data endpoint to reduce the impact of potential attacks.

Gravedad CVSS v4.0: MEDIA

Última modificación:

05/08/2026

CVE-2026-23981

Fecha de publicación:

30/07/2026

Idioma:

Inglés

*** Pendiente de traducción *** An Improper Authorization vulnerability exists in Apache Superset allowing an authenticated user with permissions to update charts to modify dashboards they do not own. When updating a chart&#39;s properties via the REST API, a user can provide a list of dashboard IDs (dashboards) to associate the chart with. The validation logic in the UpdateChartCommand failed to verify that the user had write permissions for the target dashboards specified in the request body. This issue affects Apache Superset: before 6.0.0. Users are recommended to upgrade to version 6.0.0, which fixes the issue.

Gravedad CVSS v4.0: MEDIA

Última modificación:

05/08/2026

CVE-2026-28812

Fecha de publicación:

30/07/2026

Idioma:

Inglés

*** Pendiente de traducción *** UserManager lack of checks allows impersonation in Apache JSPWiki up to 2.12.3 which may allow attackers to escalate privileges. Users are recommended to upgrade to version 2.12.4 or newer which fixes this issue.

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

05/08/2026

CVE-2026-28811

Fecha de publicación:

30/07/2026

Idioma:

Inglés

*** Pendiente de traducción *** Debug Messages Revealing Unnecessary Information in Apache JSPWiki up to 2.12.3. Users are recommended to upgrade to version 2.12.4, which fixes this issue.

Gravedad CVSS v3.1: ALTA

Última modificación:

05/08/2026

CVE-2026-28323

Fecha de publicación:

30/07/2026

Idioma:

Inglés

*** Pendiente de traducción *** SolarWinds Web Help Desk is found to be affected by a SAML authentication bypass vulnerability. This requires the SAML 2.0 authentication method to be enabled.

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

17/08/2026

CVE-2026-15657

Fecha de publicación:

30/07/2026

Idioma:

Inglés

*** Pendiente de traducción *** A vulnerability in the foreUP customer REST API allows any authenticated user to read cleartext payment-processor merchant credentials in the response body.

Gravedad CVSS v3.1: MEDIA

Última modificación:

31/07/2026

CVE-2026-15658

Fecha de publicación:

30/07/2026

Idioma:

Inglés

*** Pendiente de traducción *** A vulnerability in the foreUP customer REST API allows any authenticated, low-privilege customer to access an endpoint that returns the records of other users without checking that the caller owns the data associated with that record.

Gravedad CVSS v3.1: ALTA

Última modificación:

31/07/2026

CVE-2026-10842

Fecha de publicación:

30/07/2026

Idioma:

Inglés

*** Pendiente de traducción *** IBM WebSphere Application Server 8.5, and 9.0 and IBM WebSphere Application Server - Liberty 17.0.0.3 through 26.0.0.7 Traditional and Liberty could allow a remote attacker to bypass security constraints.

Gravedad CVSS v3.1: ALTA

Última modificación:

05/08/2026

CVE-2026-6540

Fecha de publicación:

30/07/2026

Idioma:

Inglés

*** Pendiente de traducción *** Calico&#39;s Application Layer Policy (disabled by default), which enforces HTTP rules through Dikastes, fails to perform URL path normalization. As a result, HTTP requests using path-traversal segments, encoded slashes, or repeated slashes are not correctly evaluated by Prefix path rules. Dikastes authorizes the request under the permitted prefix while the downstream workload or a fronting proxy normalizes the path and serves the restricted endpoint. An attacker with network access and no special RBAC can potentially reach HTTP endpoints the policy was intended to restrict.

Gravedad CVSS v4.0: ALTA

Última modificación:

08/08/2026

CVE-2026-67347

Fecha de publicación:

30/07/2026

Idioma:

Inglés

*** Pendiente de traducción *** Vendure through 3.7.1, fixed in commit f67ef5f, contains a cross-channel authorization bypass vulnerability in stock-location.service.ts and asset.service.ts update methods that allows channel-scoped administrators to modify other tenants&#39; data. Attackers can supply global IDs of StockLocation or Asset entities from different channels to overwrite inventory locations or catalog assets belonging to other tenants without proper channel isolation validation.

Gravedad CVSS v4.0: MEDIA

Última modificación:

30/07/2026

Suscribirse a Vulnerabilidades