Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

017 - Ir a la línea de ayuda en Ciberseguridad    Ir a Agenda     Ir a Sala de prensa     Ir a suscripción de boletines

Ir al buscador

Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las últimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las últimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las últimas vulnerabilidades incorporadas al repositorio.

CVE-2026-47724
Fecha de publicación:
23/07/2026
Idioma:
Inglés
*** Pendiente de traducción *** nebula-mesh is a self-hosted control plane for Slack Nebula mesh virtual private network. Prior to version 0.3.4, the `/api/v1/*` route surface trusts the bearer token alone for authorisation on most endpoints. The codebase itself admits this at `internal/api/hosts.go:384`: "API trusts the bearer token for authorisation; per-CA ownership is enforced only in the Web layer." The Web UI gates state-changing routes through `loadAccessibleCA` (`internal/web/cas.go`); CA-management endpoints in `internal/api/cas.go` ALSO have proper `canAccessCA` gates. The gap is on the host, network, firewall, mobile-bundle, and most operator endpoints. Combined with the per-operator CA model from ADR 0002, this gives any non-admin operator API key broad cross-tenant access — instant privilege escalation in the worst case. Version 0.3.4 fixes the issue.
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
30/07/2026

CVE-2026-38764
Fecha de publicación:
23/07/2026
Idioma:
Inglés
*** Pendiente de traducción *** An issue in Unistal Systems Pvt. Ltd.Protegent 360 v2.0.0.4 allows a local attacker to escalate privileges via the kernel driver pgsecdl.sys
Gravedad CVSS v3.1: ALTA
Última modificación:
30/07/2026

CVE-2026-39155
Fecha de publicación:
23/07/2026
Idioma:
Inglés
*** Pendiente de traducción *** Knot DNS before 3.4.10 and 3.5.x before 3.5.4 contains a vulnerability in mod-onlinesign where the next NSEC owner name can be computed incorrectly. This can create an overly broad authenticated denial interval, allowing downstream validating resolvers using aggressive negative caching to synthesize negative answers for legitimate names and causing resolver-side denial of service.
Gravedad CVSS v3.1: MEDIA
Última modificación:
30/07/2026

CVE-2026-21655
Fecha de publicación:
23/07/2026
Idioma:
Inglés
*** Pendiente de traducción *** Deserialization of untrusted data vulnerability in Johnson Control victor on Windows, Johnson Controls CCure 9000, and Johnson Controls Victor Application Server allows capec-586.<br /> <br /> This issue affects victor: before 8.0; CCure 9000: before 3.2; Victor Application Server: before 4.1.
Gravedad CVSS v4.0: ALTA
Última modificación:
06/08/2026

CVE-2026-15981
Fecha de publicación:
23/07/2026
Idioma:
Inglés
*** Pendiente de traducción *** The SAML Single Sign On – SSO Login plugin for WordPress is vulnerable to Authentication Bypass in all versions up to, and including, 5.4.4. This is due to the mo_saml_validate_signature() function performing a loose boolean check on the raw tri-state integer returned by PHP&amp;#39;s openssl_verify(), causing an error return value of -1 to be evaluated as truthy and therefore treated as a successful signature verification. This makes it possible for unauthenticated attackers to log in as any existing WordPress user, including administrators, by submitting a crafted SAMLResponse containing an attacker-controlled NameID and a deliberately malformed signature value that triggers an OpenSSL processing error — bypassing verification entirely and resulting in wp_set_auth_cookie() being called for the targeted account.
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
24/07/2026

CVE-2026-16796
Fecha de publicación:
23/07/2026
Idioma:
Inglés
*** Pendiente de traducción *** Improper neutralization of argument delimiters in the install_packages() method in AWS Bedrock AgentCore Python SDK before 1.18.1 might allow a remote authenticated user to execute arbitrary commands within the Code Interpreter sandbox via crafted package name arguments.<br /> <br /> <br /> <br /> To mitigate this issue, users should upgrade to the patched version 1.18.1.
Gravedad CVSS v4.0: ALTA
Última modificación:
24/07/2026

CVE-2026-16002
Fecha de publicación:
23/07/2026
Idioma:
Inglés
*** Pendiente de traducción *** The affected product is vulnerable to an Out-of-bounds read, which may allow an attacker to crash the parsing process and cause a denial of service.
Gravedad CVSS v4.0: ALTA
Última modificación:
30/07/2026

CVE-2026-21653
Fecha de publicación:
23/07/2026
Idioma:
Inglés
*** Pendiente de traducción *** Victor SSRF vulnerability in Johnson Controls CCure 9000 and victor application server allows Server Side Request Forgery.<br /> <br /> This issue affects CCure 9000 and victor application server: from 2.9 through 3.0.
Gravedad CVSS v4.0: ALTA
Última modificación:
30/07/2026

CVE-2026-34496
Fecha de publicación:
23/07/2026
Idioma:
Inglés
*** Pendiente de traducción *** Cwe-269 vulnerability in Johnson Controls victor Web on Windows allows capec-233.<br /> <br /> This issue affects victor Web: before 7.1.
Gravedad CVSS v4.0: ALTA
Última modificación:
30/07/2026

CVE-2026-15968
Fecha de publicación:
23/07/2026
Idioma:
Inglés
*** Pendiente de traducción *** Improper neutralization of input during web page generation (&amp;#39;cross-site scripting&amp;#39;) vulnerability in Progress MOVEit Transfer.<br /> <br /> This issue affects MOVEit Transfer: before 2025.1.5, from 2026.0.0 before 2026.0.3.
Gravedad CVSS v3.1: ALTA
Última modificación:
30/07/2026

CVE-2026-15967
Fecha de publicación:
23/07/2026
Idioma:
Inglés
*** Pendiente de traducción *** Insufficient session expiration vulnerability in Progress MOVEit Transfer.<br /> <br /> This issue affects MOVEit Transfer: before 2025.1.5, from 2026.0.0 before 2026.0.3.
Gravedad CVSS v3.1: ALTA
Última modificación:
30/07/2026

CVE-2026-15966
Fecha de publicación:
23/07/2026
Idioma:
Inglés
*** Pendiente de traducción *** Permissive cross-domain security policy with untrusted domains vulnerability in Progress MOVEit Transfer.<br /> <br /> This issue affects MOVEit Transfer: before 2025.1.5, from 2026.0.0 before 2026.0.3.
Gravedad CVSS v3.1: ALTA
Última modificación:
30/07/2026
Suscribirse a Vulnerabilidades