Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las últimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las últimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las últimas vulnerabilidades incorporadas al repositorio.

CVE-2026-35093

Fecha de publicación:

01/04/2026

Idioma:

Inglés

*** Pendiente de traducción *** A flaw was found in libinput. A local attacker who can place a specially crafted Lua bytecode file in certain system or user configuration directories can bypass security restrictions. This allows the attacker to run unauthorized code with the same permissions as the program using libinput, such as a graphical compositor. This could lead to the attacker monitoring keyboard input and sending that information to an external location.

Gravedad CVSS v3.1: ALTA

Última modificación:

07/04/2026

CVE-2026-35091

Fecha de publicación:

01/04/2026

Idioma:

Inglés

*** Pendiente de traducción *** A flaw was found in Corosync. A remote unauthenticated attacker can exploit a wrong return value vulnerability in the Corosync membership commit token sanity check by sending a specially crafted User Datagram Protocol (UDP) packet. This can lead to an out-of-bounds read, causing a denial of service (DoS) and potentially disclosing limited memory contents

Gravedad CVSS v3.1: ALTA

Última modificación:

19/05/2026

CVE-2026-35092

Fecha de publicación:

01/04/2026

Idioma:

Inglés

*** Pendiente de traducción *** A flaw was found in Corosync. An integer overflow vulnerability in Corosync&#39;s join message sanity validation allows a remote, unauthenticated attacker to send crafted User Datagram Protocol (UDP) packets. This can cause the service to crash, leading to a denial of service. This vulnerability specifically affects Corosync deployments configured to use totemudp/totemudpu mode.

Gravedad CVSS v3.1: ALTA

Última modificación:

19/05/2026

CVE-2026-34999

Fecha de publicación:

01/04/2026

Idioma:

Inglés

*** Pendiente de traducción *** OpenViking versions 0.2.5 prior to 0.2.14 contain a missing authentication vulnerability in the bot proxy router that allows remote unauthenticated attackers to access protected bot proxy functionality by sending requests to the POST /bot/v1/chat and POST /bot/v1/chat/stream endpoints. Attackers can bypass authentication checks and interact directly with the upstream bot backend through the OpenViking proxy without providing valid credentials.

Gravedad CVSS v4.0: MEDIA

Última modificación:

07/04/2026

CVE-2026-34430

Fecha de publicación:

01/04/2026

Idioma:

Inglés

*** Pendiente de traducción *** ByteDance DeerFlow versions prior to commit 92c7a20 contain a sandbox escape vulnerability in bash tool handling that allows attackers to execute arbitrary commands on the host system by bypassing regex-based validation using shell features such as directory changes and relative paths. Attackers can exploit the incomplete shell semantics modeling to read and modify files outside the sandbox boundary and achieve arbitrary command execution through subprocess invocation with shell interpretation enabled.

Gravedad CVSS v4.0: ALTA

Última modificación:

12/05/2026

CVE-2026-30522

Fecha de publicación:

01/04/2026

Idioma:

Inglés

*** Pendiente de traducción *** A Business Logic vulnerability exists in SourceCodester Loan Management System v1.0 due to improper server-side validation. The application allows administrators to create "Loan Plans" with specific penalty rates for overdue payments. While the frontend interface prevents users from entering negative numbers in the "Monthly Overdue Penalty" field, this constraint is not enforced on the backend. An authenticated attacker can bypass the client-side restriction by manipulating the HTTP POST request to submit a negative value for the penalty_rate.

Gravedad CVSS v3.1: MEDIA

Última modificación:

01/04/2026

CVE-2026-30287

Fecha de publicación:

01/04/2026

Idioma:

Inglés

*** Pendiente de traducción *** An arbitrary file overwrite vulnerability in Deep Thought Industries ACE Scanner PDF Scanner v1.4.5 allows attackers to overwrite critical internal files via the file import process, leading to arbitrary code execution or information exposure.

Gravedad CVSS v3.1: ALTA

Última modificación:

02/04/2026

CVE-2026-30289

Fecha de publicación:

01/04/2026

Idioma:

Inglés

*** Pendiente de traducción *** An arbitrary file overwrite vulnerability in Tinybeans Private Family Album App v5.9.5-prod allows attackers to overwrite critical internal files via the file import process, leading to arbitrary code execution or information exposure.

Gravedad CVSS v3.1: ALTA

Última modificación:

02/04/2026

CVE-2026-0522

Fecha de publicación:

01/04/2026

Idioma:

Inglés

*** Pendiente de traducción *** A local file inclusion vulnerability in the upload/download flow of the VertiGIS FM application allows authenticated attackers to read arbitrary files from the server by manipulating a file&#39;s path during its upload. When the file is subsequently downloaded, the file in the attacker controlled path is returned. Due to the application&#39;s ASP.NET architecture, this could potentially lead to remote code execution when the "web.config" file is obtained. Furthermore, the application resolves UNC paths which may enable NTLM-relaying attacks. This issue affects VertiGIS FM: 10.5.00119 (0d29d428).

Gravedad CVSS v4.0: ALTA

Última modificación:

07/04/2026

CVE-2026-29014

Fecha de publicación:

01/04/2026

Idioma:

Inglés

*** Pendiente de traducción *** MetInfo CMS versions 7.9, 8.0, and 8.1 contain an unauthenticated PHP code injection vulnerability that allows remote attackers to execute arbitrary code by sending crafted requests with malicious PHP code. Attackers can exploit insufficient input neutralization in the execution path to achieve remote code execution and gain full control over the affected server.

Gravedad CVSS v4.0: CRÍTICA

Última modificación:

07/04/2026

CVE-2026-22768

Fecha de publicación:

01/04/2026

Idioma:

Inglés

*** Pendiente de traducción *** Dell AppSync, version(s) 4.6.0, contain(s) an Incorrect Permission Assignment for Critical Resource vulnerability. A low privileged attacker with local access could potentially exploit this vulnerability, leading to Elevation of privileges.

Gravedad CVSS v3.1: ALTA

Última modificación:

02/04/2026

CVE-2026-22767

Fecha de publicación:

01/04/2026

Idioma:

Inglés

*** Pendiente de traducción *** Dell AppSync, version(s) 4.6.0, contain(s) an UNIX Symbolic Link (Symlink) Following vulnerability. A low privileged attacker with local access could potentially exploit this vulnerability, leading to Information tampering.

Gravedad CVSS v3.1: ALTA

Última modificación:

02/04/2026

Suscribirse a Vulnerabilidades