Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las últimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las últimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las últimas vulnerabilidades incorporadas al repositorio.

CVE-2026-79673

Fecha de publicación:

25/08/2026

Idioma:

Inglés

*** Pendiente de traducción *** Ech0 before 4.4.3 protects the PUT /user endpoint with the profile:read scope, a read-only scope, but allows write operations including password changes. An attacker with an admin&#39;s profile:read access token can change the admin&#39;s password and login to obtain an unrestricted session token that bypasses all scope enforcement.

Gravedad CVSS v4.0: ALTA

Última modificación:

25/08/2026

CVE-2026-79669

Fecha de publicación:

25/08/2026

Idioma:

Inglés

*** Pendiente de traducción *** Ech0 before 4.4.3 lacks authorization checks on system log endpoints allowing any authenticated non-admin user to read and stream all server logs. Attackers can access historical logs and real-time log streams via GET /api/system/logs, GET /api/system/logs/stream, and WS /ws/system/logs to gather reconnaissance data including internal file paths, error stack traces, and application state.

Gravedad CVSS v4.0: MEDIA

Última modificación:

25/08/2026

CVE-2026-79672

Fecha de publicación:

25/08/2026

Idioma:

Inglés

*** Pendiente de traducción *** Ech0 before 4.4.3 fails to enforce scope-based authorization on nine comment panel admin endpoints, allowing access tokens with minimal scopes to perform full comment moderation operations. Attackers with a limited-scope access token can list, approve, reject, delete comments, and modify comment system settings by directly accessing the unprotected panel endpoints.

Gravedad CVSS v4.0: ALTA

Última modificación:

25/08/2026

CVE-2026-79670

Fecha de publicación:

25/08/2026

Idioma:

Inglés

*** Pendiente de traducción *** Ech0 before 4.4.3 contains a stored cross-site scripting vulnerability in the file upload endpoint that validates Content-Type using only client-supplied headers without server-side inspection. Attackers with admin privileges can upload SVG or HTML files containing JavaScript that executes in the application origin when accessed by any user, enabling session hijacking and data exfiltration.

Gravedad CVSS v4.0: MEDIA

Última modificación:

25/08/2026

CVE-2026-79666

Fecha de publicación:

25/08/2026

Idioma:

Inglés

*** Pendiente de traducción *** Ech0 before 4.4.3 fails to enforce administrator authorization on dashboard log endpoints, allowing any authenticated user to access system logs. Attackers with valid user sessions can query GET /api/system/logs and subscribe to SSE and WebSocket log streams to retrieve sensitive operational data including file paths, stack traces, and internal URLs.

Gravedad CVSS v4.0: ALTA

Última modificación:

25/08/2026

CVE-2026-79668

Fecha de publicación:

25/08/2026

Idioma:

Inglés

*** Pendiente de traducción *** Ech0 before 4.7.3 contains an authentication bypass vulnerability in the PUT /api/echo/like/:id endpoint that allows unauthenticated attackers to increment engagement metrics without identity verification or rate limiting. Attackers can send repeated requests to arbitrarily inflate the fav_count field for any known echo identifier, compromising the integrity of engagement metrics and social ranking systems.

Gravedad CVSS v4.0: MEDIA

Última modificación:

25/08/2026

CVE-2026-79664

Fecha de publicación:

25/08/2026

Idioma:

Inglés

*** Pendiente de traducción *** Ech0 before 4.7.3 fails to properly revoke access tokens created with never-expire option, allowing attackers to maintain perpetual authenticated access after token theft. Three independent revocation mechanisms fail: logout panics on nil ExpiresAt field, RevokeToken skips when remainTTL is zero, and admin delete does not blacklist the JTI, leaving stolen tokens cryptographically valid until JWT secret rotation.

Gravedad CVSS v4.0: CRÍTICA

Última modificación:

25/08/2026

CVE-2026-79667

Fecha de publicación:

25/08/2026

Idioma:

Inglés

*** Pendiente de traducción *** Ech0 version 4.3.4 and earlier fails to reliably enforce scoped access token (least-privilege) restrictions on several privileged admin routes. Multiple privileged endpoints (e.g., /api/inbox, /api/panel/comments, /api/backup/export) omit scope checks and authorize based only on the user&#39;s admin role, and the backup export handler discards token scope metadata entirely. An attacker holding a deliberately limited (low-scope) admin access token can reach broader privileged functionality than intended, including reading the inbox and exporting a full database backup ZIP archive. Fixed in 4.4.3.

Gravedad CVSS v4.0: ALTA

Última modificación:

25/08/2026

CVE-2026-79665

Fecha de publicación:

25/08/2026

Idioma:

Inglés

*** Pendiente de traducción *** Ech0 before 4.5.1 contains an authorization bypass vulnerability where session tokens skip scope validation in RequireScopes middleware, allowing logged-in non-admin users to access admin endpoints. Attackers can read system logs, visitor statistics, user emails, and subscribe to live WebSocket logs by sending authenticated session tokens to unprotected endpoints.

Gravedad CVSS v4.0: ALTA

Última modificación:

25/08/2026

CVE-2026-79663

Fecha de publicación:

25/08/2026

Idioma:

Inglés

*** Pendiente de traducción *** Ech0 before 4.7.3 contains a stored cross-site scripting vulnerability in the public RSS feed where tag names and markdown content are rendered without HTML escaping. Attackers with admin privileges can inject malicious tag names or raw HTML in echo content that executes as JavaScript in RSS readers that render HTML-type summaries, affecting anonymous subscribers and other users.

Gravedad CVSS v4.0: MEDIA

Última modificación:

25/08/2026

CVE-2026-79662

Fecha de publicación:

25/08/2026

Idioma:

Inglés

*** Pendiente de traducción *** Ech0 through 4.5.6 contains an OAuth redirect URI validation vulnerability in parseAndValidateClientRedirect (internal/service/auth/auth.go) that compares only the scheme and host of the client-supplied redirect_uri against the admin-configured allowlist, ignoring path, query, and fragment components. The redirect_uri is embedded into the signed state JWT at login time without validation. An attacker can craft a redirect_uri whose host matches an allowed origin but whose path is attacker-influenced; after the OAuth exchange the victim is redirected to that path with a one-time exchange code in the query string. If the code leaks (e.g., via Referer, analytics, or an open redirect on that host), the attacker can trade it at the public POST /api/auth/exchange endpoint for the victim&#39;s access and refresh tokens. Fixed in 4.7.3.

Gravedad CVSS v4.0: ALTA

Última modificación:

25/08/2026

CVE-2026-79658

Fecha de publicación:

25/08/2026

Idioma:

Inglés

*** Pendiente de traducción *** Ech0 before 5.0.1 does not impose any size or shape limit on the Accept-Language header processed by its i18n middleware, which runs on every HTTP request. The header is passed unfiltered to go-i18n&#39;s NewLocalizer, which internally calls golang.org/x/text/language.ParseAcceptLanguage. The CVE-2022-32149 mitigation in x/text caps &#39;-&#39; characters but not &#39;_&#39; characters, which the parser aliases to &#39;-&#39;, allowing quadratic-time parsing to be triggered with a large header (up to Go&#39;s default 1 MiB) built from underscore separators. An unauthenticated attacker can send such requests to consume roughly 1.5 seconds of CPU each, and concurrent requests can saturate a multi-core server (denial of service).

Gravedad CVSS v4.0: ALTA

Última modificación:

25/08/2026

Suscribirse a Vulnerabilidades