Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

017 - Ir a la línea de ayuda en Ciberseguridad    Ir a Agenda     Ir a Sala de prensa     Ir a suscripción de boletines

Ir al buscador

Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las últimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las últimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las últimas vulnerabilidades incorporadas al repositorio.

CVE-2026-61873
Fecha de publicación:
15/07/2026
Idioma:
Inglés
*** Pendiente de traducción *** Grav before 9.1.8 contains an arbitrary file write vulnerability in the Form plugin's process.save.filename parameter, which is validated against path traversal before Twig processing but never re-validated after rendering. Attackers can submit form data containing path traversal sequences that are processed through Twig templates, allowing them to write arbitrary files including PHP webshells to the web root or other sensitive directories.
Gravedad CVSS v4.0: ALTA
Última modificación:
15/07/2026

CVE-2026-61862
Fecha de publicación:
15/07/2026
Idioma:
Inglés
*** Pendiente de traducción *** ImageMagick before 7.1.2-26 and 6.9.13-51 contains an information disclosure vulnerability: when a profile is displayed with the identify command and the profile value is not printable, a single byte at the end of the profile can be printed (read past the profile boundary). This behavior occurs when debug output is enabled.
Gravedad CVSS v4.0: BAJA
Última modificación:
15/07/2026

CVE-2026-61864
Fecha de publicación:
15/07/2026
Idioma:
Inglés
*** Pendiente de traducción *** ImageMagick before 7.1.2-26 and 6.9.13-51 contains a memory leak in color transformation to the log colorspace: when the operation fails, a small amount of memory is not released.
Gravedad CVSS v4.0: BAJA
Última modificación:
15/07/2026

CVE-2026-61865
Fecha de publicación:
15/07/2026
Idioma:
Inglés
*** Pendiente de traducción *** ImageMagick before 7.1.2-26 and 6.9.13-51 contains a memory leak in the hough lines operation: when a specific operation fails, a small memory leak occurs.
Gravedad CVSS v4.0: BAJA
Última modificación:
15/07/2026

CVE-2026-61867
Fecha de publicación:
15/07/2026
Idioma:
Inglés
*** Pendiente de traducción *** ImageMagick before 7.1.2-26 contains a memory leak vulnerability in the TIFF encoder when memory allocation fails. Attackers can trigger allocation failures during TIFF image processing to cause memory exhaustion and denial of service.
Gravedad CVSS v4.0: BAJA
Última modificación:
15/07/2026

CVE-2026-61868
Fecha de publicación:
15/07/2026
Idioma:
Inglés
*** Pendiente de traducción *** ImageMagick before 7.1.2-26 and 6.9.x before 6.9.13-51 contains a memory leak in the YUV decoder that occurs when opening of the blob fails. Repeated triggering can lead to resource exhaustion (denial of service).
Gravedad CVSS v4.0: MEDIA
Última modificación:
15/07/2026

CVE-2026-61863
Fecha de publicación:
15/07/2026
Idioma:
Inglés
*** Pendiente de traducción *** ImageMagick before 7.1.2-26 (and 6.x before 6.9.13-51) contains a memory leak in the TIFF encoder that occurs when a temporary file cannot be created, resulting in a small memory leak.
Gravedad CVSS v4.0: BAJA
Última modificación:
16/07/2026

CVE-2026-61866
Fecha de publicación:
15/07/2026
Idioma:
Inglés
*** Pendiente de traducción *** ImageMagick before 7.1.2-26 contains a memory leak vulnerability in the JNG encoder when a blob cannot be opened. Attackers can trigger the memory leak by providing malformed JNG files that fail blob operations, causing resource exhaustion.
Gravedad CVSS v4.0: BAJA
Última modificación:
16/07/2026

CVE-2026-61464
Fecha de publicación:
15/07/2026
Idioma:
Inglés
*** Pendiente de traducción *** ImageMagick before 7.1.2-26 and 6.9.13-51 contains a heap-based buffer over-write vulnerability that occurs when running an X11 import with a crafted window title, which can result in heap memory corruption and denial of service.
Gravedad CVSS v4.0: BAJA
Última modificación:
15/07/2026

CVE-2026-61860
Fecha de publicación:
15/07/2026
Idioma:
Inglés
*** Pendiente de traducción *** ImageMagick before 7.1.2-26 and 6.9.13-51 contains a use-after-free vulnerability that occurs when freetype initialization fails: the method does not exit and continues to use memory that was already freed. This can be triggered during image processing and may lead to a denial of service.
Gravedad CVSS v4.0: MEDIA
Última modificación:
15/07/2026

CVE-2026-61452
Fecha de publicación:
15/07/2026
Idioma:
Inglés
*** Pendiente de traducción *** The Grav API plugin (getgrav/grav-plugin-api) before 2.0.4 contains an improper session invalidation vulnerability where JWT access tokens are issued without a jti (JWT ID) claim and therefore cannot be revoked server-side. Unlike refresh tokens, access tokens remain valid for their full lifetime (default 1 hour) regardless of logout, password change, new token issuance, or account disablement. An attacker who has stolen an access token retains full API access until the token naturally expires.
Gravedad CVSS v4.0: MEDIA
Última modificación:
15/07/2026

CVE-2026-61453
Fecha de publicación:
15/07/2026
Idioma:
Inglés
*** Pendiente de traducción *** Grav v2.0.0 contains a cross-site scripting vulnerability (fixed in 2.0.1). The XSS blueprint validator (Security::detectXss()) runs on raw page content before Twig processing. When Twig content processing is enabled (twig_content.process_enabled: true), an attacker with page-write API permission can use Twig's string concatenation operator (~) to dynamically construct event handler names, dangerous tag names, or dangerous protocols at render time (e.g. {% set x = "on" ~ "error" %}). The validator sees only the harmless Twig expression and allows the content, but after Twig rendering the output (rendered via {{ page.content|raw }}) contains an active payload such as , executing arbitrary JavaScript in visitors' browsers.
Gravedad CVSS v4.0: MEDIA
Última modificación:
15/07/2026
Suscribirse a Vulnerabilidades