Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

017 - Ir a la línea de ayuda en Ciberseguridad    Ir a Agenda     Ir a Sala de prensa     Ir a suscripción de boletines

Ir al buscador

Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las últimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las últimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las últimas vulnerabilidades incorporadas al repositorio.

CVE-2026-47390
Fecha de publicación:
21/07/2026
Idioma:
Inglés
*** Pendiente de traducción *** PraisonAI is a multi-agent teams system. Prior to version 4.6.40 of PraisonAI, corresponding to version 1.6.40 of praisonaiagents, `spider_tools` URL validation can be bypassed using alternate loopback host encodings. The tool contains a URL validation function intended to block local or unsafe targets before fetching attacker-controlled URLs. However, the validation only blocks a small set of exact host strings such as `localhost` and `127.0.0.1`. It does not normalize hostnames, resolve DNS, parse numeric IPv4 variants, or validate the final resolved IP address before making the request. As a result, certain URLs may bypass the protection and still reach loopback services. After the weak validation passes, `scrape_page()` calls `requests.Session.get()` on the attacker-controlled URL. This allows an attacker who can influence URLs passed to `scrape_page`, `crawl`, or `extract_text` to induce SSRF requests against loopback-only services. This is a server-side request forgery protection bypass. PraisonAI version 4.6.40 and praisonaiagents version 1.6.40 contain a patch.
Gravedad CVSS v3.1: MEDIA
Última modificación:
22/07/2026

CVE-2026-47391
Fecha de publicación:
21/07/2026
Idioma:
Inglés
*** Pendiente de traducción *** PraisonAI is a multi-agent teams system. Prior to version 4.6.40, PraisonAI's first-party A2A server example exposes an unauthenticated A2A JSON-RPC endpoint and registers a `calculate(expression)` tool implemented with Python `eval()`. The example also binds to `0.0.0.0`. A remote unauthenticated attacker can send `message/send` to `/a2a`; the request reaches `agent.chat()`, and a real LLM can invoke the registered `calculate` tool. In testing with `gemini/gemini-2.5-flash-lite`, this resulted in arbitrary Python execution in the server process, confirmed by creation of a marker file from an unauthenticated HTTP request. The issue affects deployments following the official A2A example or similar unauthenticated public A2A deployments with unsafe tools. The default unauthenticated A2A surface also exposes task history and task cancellation APIs, increasing confidentiality and integrity impact. Version 4.6.40 patches the issue.
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
23/07/2026

CVE-2026-28321
Fecha de publicación:
21/07/2026
Idioma:
Inglés
*** Pendiente de traducción *** SolarWinds Serv-U is affected by a broken access control vulnerability that could allow arbitrary file read and write, which can then be used to escalate privileges and execute code as root. A domain administrator access is required, and the impact is lower in Windows installations.
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
24/07/2026

CVE-2026-28317
Fecha de publicación:
21/07/2026
Idioma:
Inglés
*** Pendiente de traducción *** SolarWinds Serv-U is affected by an insecure direct object reference (IDOR) vulnerability that can lead to privilege escalation. This issue requires domain administrator access. The impact is lower in Windows deployments.
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
24/07/2026

CVE-2026-28316
Fecha de publicación:
21/07/2026
Idioma:
Inglés
*** Pendiente de traducción *** SolarWinds Serv-U is affected by an insecure direct object reference (IDOR) vulnerability that can lead to privilege escalation to a system administrator with the ability to execute commands as the root user. This issue requires a domain account with administrator access. The impact is lower in Windows deployments.
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
24/07/2026

CVE-2026-28315
Fecha de publicación:
21/07/2026
Idioma:
Inglés
*** Pendiente de traducción *** SolarWinds Serv-U was found to be affected by a stored cross-site scripting vulnerability that could lead to session hijacking or information disclosure from an administrator account.
Gravedad CVSS v3.1: MEDIA
Última modificación:
24/07/2026

CVE-2026-28314
Fecha de publicación:
21/07/2026
Idioma:
Inglés
*** Pendiente de traducción *** SolarWinds Serv-U is affected by an insecure direct object reference vulnerability that leads to an account takeover. User authentication is required. The impact is lower in Windows deployments.
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
24/07/2026

CVE-2026-28313
Fecha de publicación:
21/07/2026
Idioma:
Inglés
*** Pendiente de traducción *** SolarWinds Serv-U is affected by an insecure direct object reference (IDOR) vulnerability that can lead to SMTP hijacking leading to arbitrary account takeover. The impact is lower in Windows deployments.
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
24/07/2026

CVE-2026-28312
Fecha de publicación:
21/07/2026
Idioma:
Inglés
*** Pendiente de traducción *** SolarWinds Serv-U is affected by a privilege escalation vulnerability. This would elevate a group’s access to system administrator and allow code execution as root. The impact is lower in Windows deployments.
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
24/07/2026

CVE-2026-28310
Fecha de publicación:
21/07/2026
Idioma:
Inglés
*** Pendiente de traducción *** SolarWinds Serv-U is affected by a privilege escalation vulnerability that allows a domain administrator to escalate their user type to that of a system administrator. The impact is lower in Windows deployments.
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
24/07/2026

CVE-2026-28309
Fecha de publicación:
21/07/2026
Idioma:
Inglés
*** Pendiente de traducción *** SolarWinds Serv-U is affected by a broken access control vulnerability that allows a domain administrator to create system administrator accounts. The impact is lower in Windows deployments.
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
24/07/2026

CVE-2026-28308
Fecha de publicación:
21/07/2026
Idioma:
Inglés
*** Pendiente de traducción *** SolarWinds Serv-U is affected by an insecure direct object reference (IDOR) vulnerability that can lead to remote code execution. Domain administrator access is required. The impact is lower in Windows deployments.
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
24/07/2026
Suscribirse a Vulnerabilidades