Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

017 - Ir a la línea de ayuda en Ciberseguridad    Ir a Agenda     Ir a Sala de prensa     Ir a suscripción de boletines

Ir al buscador

Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las últimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las últimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las últimas vulnerabilidades incorporadas al repositorio.

CVE-2026-35458
Fecha de publicación:
07/04/2026
Idioma:
Inglés
*** Pendiente de traducción *** Gotenberg is an API for converting document formats. In 8.29.1 and earlier, Gotenberg uses dlclark/regexp2 to compile user-supplied scope patterns without setting a proper timeout. Users with access to features using this logic can hang workers indefinitely.
Gravedad CVSS v4.0: ALTA
Última modificación:
14/04/2026

CVE-2026-35460
Fecha de publicación:
07/04/2026
Idioma:
Inglés
*** Pendiente de traducción *** Papra is a minimalistic document management and archiving platform. Prior to 26.4.0, transactional email templates in Papra interpolate user.name directly into HTML without escaping or sanitization. An attacker who registers with a display name containing HTML tags will have those tags injected into the verification and password reset email bodies. Since emails are sent from the legitimate domain (e.g: auth@mail.papra.app), this enables convincing phishing attacks that appear to originate from official Papra notifications. This vulnerability is fixed in 26.4.0.
Gravedad CVSS v3.1: MEDIA
Última modificación:
24/04/2026

CVE-2026-35457
Fecha de publicación:
07/04/2026
Idioma:
Inglés
*** Pendiente de traducción *** libp2p-rust is the official rust language Implementation of the libp2p networking stack. Prior to 0.17.1, the rendezvous server stores pagination cookies without bounds. An unauthenticated peer can repeatedly issue DISCOVER requests and force unbounded memory growth. This vulnerability is fixed in 0.17.1.
Gravedad CVSS v3.1: ALTA
Última modificación:
24/04/2026

CVE-2026-35405
Fecha de publicación:
07/04/2026
Idioma:
Inglés
*** Pendiente de traducción *** libp2p-rust is the official rust language Implementation of the libp2p networking stack. Prior to 0.17.1, libp2p-rendezvous server has no limit on how many namespaces a single peer can register. A malicious peer can just keep registering unique namespaces in a loop and the server happily accepts every single one allocating memory for each registration with no pushback. Keep doing this long enough (or with multiple sybil peers) and the server process gets OOM killed. This vulnerability is fixed in 0.17.1.
Gravedad CVSS v3.1: ALTA
Última modificación:
24/04/2026

CVE-2026-33034
Fecha de publicación:
07/04/2026
Idioma:
Inglés
*** Pendiente de traducción *** An issue was discovered in 6.0 before 6.0.4, 5.2 before 5.2.13, and 4.2 before 4.2.30.<br /> ASGI requests with a missing or understated `Content-Length` header could<br /> bypass the `DATA_UPLOAD_MAX_MEMORY_SIZE` limit when reading<br /> `HttpRequest.body`, allowing remote attackers to load an unbounded request body into<br /> memory.<br /> Earlier, unsupported Django series (such as 5.0.x, 4.1.x, and 3.2.x) were not evaluated and may also be affected.<br /> Django would like to thank Superior for reporting this issue.
Gravedad CVSS v3.1: ALTA
Última modificación:
13/04/2026

CVE-2026-33033
Fecha de publicación:
07/04/2026
Idioma:
Inglés
*** Pendiente de traducción *** An issue was discovered in 6.0 before 6.0.4, 5.2 before 5.2.13, and 4.2 before 4.2.30.<br /> `MultiPartParser` allows remote attackers to degrade performance by submitting multipart uploads with `Content-Transfer-Encoding: base64` including excessive whitespace.<br /> Earlier, unsupported Django series (such as 5.0.x, 4.1.x, and 3.2.x) were not evaluated and may also be affected.<br /> Django would like to thank Seokchan Yoon for reporting this issue.
Gravedad CVSS v3.1: MEDIA
Última modificación:
13/04/2026

CVE-2026-30079
Fecha de publicación:
07/04/2026
Idioma:
Inglés
*** Pendiente de traducción *** In OpenAirInterface V2.2.0 AMF, Out of sequence messages causes incorrect state transition during UE registration procedure. This allows authentication to be bypassed completely. If a SecurityModeComplete message is sent after InitialUERegistration, a registration reject is received followed by a registration accept! This leads the UE to be registered without proper authentication.
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
14/04/2026

CVE-2026-24450
Fecha de publicación:
07/04/2026
Idioma:
Inglés
*** Pendiente de traducción *** An integer overflow vulnerability exists in the uncompressed_fp_dng_load_raw functionality of LibRaw Commit 8dc68e2. A specially crafted malicious file can lead to a heap buffer overflow. An attacker can provide a malicious file to trigger this vulnerability.
Gravedad CVSS v3.1: ALTA
Última modificación:
10/04/2026

CVE-2026-24660
Fecha de publicación:
07/04/2026
Idioma:
Inglés
*** Pendiente de traducción *** A heap-based buffer overflow vulnerability exists in the x3f_load_huffman functionality of LibRaw Commit d20315b. A specially crafted malicious file can lead to a heap buffer overflow. An attacker can provide a malicious file to trigger this vulnerability.
Gravedad CVSS v3.1: ALTA
Última modificación:
10/04/2026

CVE-2026-20911
Fecha de publicación:
07/04/2026
Idioma:
Inglés
*** Pendiente de traducción *** A heap-based buffer overflow vulnerability exists in the HuffTable::initval functionality of LibRaw Commit 0b56545 and Commit d20315b. A specially crafted malicious file can lead to a heap buffer overflow. An attacker can provide a malicious file to trigger this vulnerability.
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
10/04/2026

CVE-2026-20884
Fecha de publicación:
07/04/2026
Idioma:
Inglés
*** Pendiente de traducción *** An integer overflow vulnerability exists in the deflate_dng_load_raw functionality of LibRaw Commit 8dc68e2. A specially crafted malicious file can lead to a heap buffer overflow. An attacker can provide a malicious file to trigger this vulnerability.
Gravedad CVSS v3.1: ALTA
Última modificación:
10/04/2026

CVE-2026-20889
Fecha de publicación:
07/04/2026
Idioma:
Inglés
*** Pendiente de traducción *** A heap-based buffer overflow vulnerability exists in the x3f_thumb_loader functionality of LibRaw Commit d20315b. A specially crafted malicious file can lead to a heap buffer overflow. An attacker can provide a malicious file to trigger this vulnerability.
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
10/04/2026
Suscribirse a Vulnerabilidades