Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las últimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las últimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las últimas vulnerabilidades incorporadas al repositorio.

CVE-2026-55772

Fecha de publicación:

13/07/2026

Idioma:

Inglés

*** Pendiente de traducción *** CedarJava is an open source Java implementation of the Cedar policy language, used for fine-grained authorization decisions. In versions prior to 2.3.6, 3.4.1 and 4.9.0, under certain circumstances, improper input handling could allow Record-to-Entity type confusion across the Java-Rust FFI boundary. CedarJava sends authorization requests to the Rust cedar-policy evaluator as JSON. The JSON protocol reserves magic single-key object shapes (__entity and __extn) for entity references and extension values. When serializing a CedarMap, there is no validation preventing these reserved keys from being used. If an integrating service builds a CedarMap from caller-supplied key/value data (such as request headers, user-defined metadata, or resource tags), an actor who controls those keys could cause the Rust evaluator to interpret a record as an entity reference. This issue requires the integrating service to build a CedarMap where the an actor controls the keys, and a policy must reference that value in a when/unless clause. This vulnerability has been fixed in versions 2.3.6, 3.4.1, and 4.9.

Gravedad CVSS v3.1: ALTA

Última modificación:

21/07/2026

CVE-2026-49972

Fecha de publicación:

13/07/2026

Idioma:

Inglés

*** Pendiente de traducción *** Laravel-Mediable before 7.0.0 contains a file upload vulnerability that allows unauthenticated attackers to achieve remote code execution by uploading a file with an embedded PHP extension disguised within a double extension such as shell.php.jpg. The PATHINFO_FILENAME extraction preserves the inner .php extension in the base name, and on misconfigured Apache or nginx servers that execute any filename containing .php as PHP, the stored file is interpreted as executable code while all MIME type, extension, and aggregate type validation checks pass due to the outer .jpg extension.

Gravedad CVSS v4.0: ALTA

Última modificación:

15/07/2026

CVE-2026-49971

Fecha de publicación:

13/07/2026

Idioma:

Inglés

*** Pendiente de traducción *** Laravel-Mediable before 7.0.0 contains a stored cross-site scripting vulnerability that allows authenticated or anonymous users to execute arbitrary JavaScript by uploading unsanitized SVG files containing embedded scripts in onload event handlers, script tags, or foreignObject elements. Attackers can store persistent XSS payloads in uploaded SVG files that execute with full DOM access when victims open or preview the file, enabling session cookie theft, CSRF token capture, and account takeover.

Gravedad CVSS v4.0: MEDIA

Última modificación:

14/07/2026

CVE-2026-49969

Fecha de publicación:

13/07/2026

Idioma:

Inglés

*** Pendiente de traducción *** Laravel-Mediable before 7.0.0 contains a server-side request forgery vulnerability that allows remote attackers to issue arbitrary HTTP requests from the server by supplying unvalidated caller-controlled URLs to endpoints backed by MediaUploader::fromSource(). Attackers can craft URLs targeting RFC-1918 addresses, loopback interfaces, cloud metadata endpoints, or file:// URIs through RemoteUrlAdapter to reach internal infrastructure, retrieve sensitive files, and exfiltrate cloud credentials such as IAM tokens from instance metadata services.

Gravedad CVSS v4.0: MEDIA

Última modificación:

15/07/2026

CVE-2026-49970

Fecha de publicación:

13/07/2026

Idioma:

Inglés

*** Pendiente de traducción *** Laravel-Mediable before 7.0.0 contains a path traversal vulnerability in the File::sanitizePath() function that allows attackers to write uploaded files to arbitrary locations by controlling the directory argument passed to MediaUploader::toDestination(). Attackers can exploit the permissive character-class regex that allows both dot and slash characters combined with an ineffective trailing trim() call to bypass sanitization and upload files to sensitive locations such as the document root, environment configuration files, or application configuration directories, enabling remote code execution.

Gravedad CVSS v4.0: ALTA

Última modificación:

14/07/2026

CVE-2026-26396

Fecha de publicación:

13/07/2026

Idioma:

Inglés

*** Pendiente de traducción *** OpenBMB XAgent v1.0.0 and before is vulnerable to path traversal in the file() function in XAgent/XAgentServer/application/routers/workspace.py. The input parameter “filename” is user-controllable and is concatenated into the file path to be read without proper validation, leading to a directory traversal vulnerability that may result in sensitive information disclosure.

Gravedad CVSS v3.1: ALTA

Última modificación:

13/07/2026

CVE-2026-14906

Fecha de publicación:

13/07/2026

Idioma:

Inglés

*** Pendiente de traducción *** Pages with malicious titles could potentially allow saved PDF content to overwrite PDF files or bundled content within the Firefox for iOS application sandbox. This vulnerability was fixed in Firefox for iOS 152.4.

Gravedad CVSS v3.1: MEDIA

Última modificación:

14/07/2026

CVE-2025-45869

Fecha de publicación:

13/07/2026

Idioma:

Inglés

*** Pendiente de traducción *** LogicalDOC Enterprise Version up to and before v9.1.1 is vulnerable to Server-Side Request Forgery (SSRF). An unauthenticated attacker can exploit the ShareFileCallback servlet by manipulating input parameters to trigger a server-side request to an attacker-controlled host.

Gravedad CVSS v3.1: ALTA

Última modificación:

13/07/2026

CVE-2026-61503

Fecha de publicación:

13/07/2026

Idioma:

Inglés

*** Pendiente de traducción *** Rejetto HFS 3.0.0 through 3.2.0 returns observably different responses from its login endpoint depending on whether the submitted username exists. A remote unauthenticated attacker can use this to confirm valid account names, including the default admin account, facilitating password-guessing and session-forgery attacks.

Gravedad CVSS v4.0: MEDIA

Última modificación:

15/07/2026

CVE-2026-61501

Fecha de publicación:

13/07/2026

Idioma:

Inglés

*** Pendiente de traducción *** Rejetto HFS 3.0.0 through 3.2.0 renders log entries in the administration panel as HTML without sanitization. A remote unauthenticated attacker can submit a failed login with a crafted username that is written to the error log and executes JavaScript in an administrator&#39;s browser when the logs are viewed, allowing the attacker to create accounts or execute code on the server with the administrator&#39;s privileges.

Gravedad CVSS v4.0: MEDIA

Última modificación:

14/07/2026

CVE-2026-61502

Fecha de publicación:

13/07/2026

Idioma:

Inglés

*** Pendiente de traducción *** Rejetto HFS 3.0.0 through 3.2.0 accepts state-changing API requests via the GET method and exempts GET requests from its anti-CSRF header check. A remote attacker can perform administrative actions including account creation and configuration changes leading to code execution - by causing a logged-in administrator&#39;s browser to navigate to a crafted URL, or without any credentials against default installations when the attack originates from the server&#39;s own machine.

Gravedad CVSS v4.0: MEDIA

Última modificación:

14/07/2026

CVE-2026-61504

Fecha de publicación:

13/07/2026

Idioma:

Inglés

*** Pendiente de traducción *** Rejetto HFS 3.0.0 through 3.2.0 does not escape file names in its fallback "basic" web listing, and this listing can be forced by any browser via the ?get=basic parameter. A user with upload permission - or an anonymous user on servers with an open upload folder - can store a file whose name contains script that executes in the browser of anyone viewing the listing.

Gravedad CVSS v4.0: MEDIA

Última modificación:

14/07/2026

Suscribirse a Vulnerabilidades