Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las últimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las últimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las últimas vulnerabilidades incorporadas al repositorio.

CVE-2026-54059

Fecha de publicación:

06/07/2026

Idioma:

Inglés

*** Pendiente de traducción *** Pillow is a Python imaging library. Prior to 12.3.0, PIL/PcfFontFile.py _load_bitmaps() read glyph dimensions from the PCF METRICS section and passed them directly to Image.frombytes() without calling Image._decompression_bomb_check(), allowing crafted PCF font data to cause excessive memory allocation. This issue is fixed in version 12.3.0.

Gravedad CVSS v3.1: ALTA

Última modificación:

07/07/2026

CVE-2026-55798

Fecha de publicación:

06/07/2026

Idioma:

Inglés

*** Pendiente de traducción *** Pillow is a Python imaging library. Prior to 12.3.0, WindowsViewer.get_command() constructed a cmd.exe shell command by directly embedding a file path into an f-string without escaping and passed the result to subprocess.Popen(..., shell=True), allowing shell metacharacters in the file path to inject arbitrary cmd.exe commands. This issue is fixed in version 12.3.0.

Gravedad CVSS v3.1: MEDIA

Última modificación:

07/07/2026

CVE-2026-54060

Fecha de publicación:

06/07/2026

Idioma:

Inglés

*** Pendiente de traducción *** Pillow is a Python imaging library. Prior to 12.3.0, PIL/FontFile.py FontFile.compile() assembled per-glyph images into a combined bitmap with Image.new("1", (xsize, ysize)) without calling Image._decompression_bomb_check(), allowing a font to trigger excessive allocation during conversion or saving. This issue is fixed in version 12.3.0.

Gravedad CVSS v3.1: ALTA

Última modificación:

07/07/2026

CVE-2026-55380

Fecha de publicación:

06/07/2026

Idioma:

Inglés

*** Pendiente de traducción *** Pillow is a Python imaging library. Prior to 12.3.0, PIL/GdImageFile.py GdImageFile._open() read image dimensions from the GD 2.x header and stored them in self._size without calling Image._decompression_bomb_check(), allowing a crafted .gd file to trigger excessive C-heap allocation when loaded. This issue is fixed in version 12.3.0.

Gravedad CVSS v3.1: ALTA

Última modificación:

07/07/2026

CVE-2026-55379

Fecha de publicación:

06/07/2026

Idioma:

Inglés

*** Pendiente de traducción *** Pillow is a Python imaging library. Prior to 12.3.0, PIL/BdfFontFile.py bdf_char() read the BBX width and height field from a BDF font file and passed attacker-controlled dimensions to Image.new() without calling Image._decompression_bomb_check(), bypassing Pillow&#39;s documented decompression bomb protection and allowing excessive memory allocation. This issue is fixed in version 12.3.0.

Gravedad CVSS v3.1: ALTA

Última modificación:

07/07/2026

CVE-2026-54291

Fecha de publicación:

06/07/2026

Idioma:

Inglés

*** Pendiente de traducción *** pgjdbc is an open source postgresql JDBC Driver. In releases 42.7.4 through 42.7.11, channelBinding=require connections can be silently downgraded from SCRAM-SHA-256-PLUS with channel binding to plain SCRAM-SHA-256 without it, losing the man-in-the-middle protection the setting is meant to guarantee. An attacker who can intercept the TLS connection can trigger the downgrade with a certificate whose signature algorithm has no tls-server-end-point channel-binding hash, because the bundled com.ongres.scram:scram-client returns an empty byte array instead of failing and pgJDBC ScramAuthenticator checks only that the server advertised a PLUS mechanism, without rejecting the empty binding or checking that the negotiated mechanism uses channel binding. This issue is fixed in version 42.7.12.

Gravedad CVSS v4.0: ALTA

Última modificación:

09/07/2026

CVE-2026-13753

Fecha de publicación:

06/07/2026

Idioma:

Inglés

*** Pendiente de traducción *** A missing authorization vulnerability exists in the embedded webserver of HP Deskjet 2800 Series Printers running firmware version

Gravedad CVSS v3.1: ALTA

Última modificación:

06/07/2026

CVE-2026-48614

Fecha de publicación:

06/07/2026

Idioma:

Inglés

*** Pendiente de traducción *** An improper authorization vulnerability in the Plesk XML API allows an authenticated user to inject arbitrary configuration directives, resulting in arbitrary file write as root and full privilege escalation on the underlying server.

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

06/07/2026

CVE-2026-41434

Fecha de publicación:

06/07/2026

Idioma:

Inglés

*** Pendiente de traducción *** OP-TEE is a Trusted Execution Environment (TEE) designed as companion to a non-secure Linux kernel running on Arm; Cortex-A cores using the TrustZone technology. Starting in version 3.10.0 and prior to version 4.11.0, an unbounded recursion can crash the PKCS#11 TA. Version 4.11.0 contains a patch. No known workarounds are available.

Gravedad CVSS v3.1: BAJA

Última modificación:

07/07/2026

CVE-2026-12154

Fecha de publicación:

06/07/2026

Idioma:

Inglés

*** Pendiente de traducción *** The Reviews Widgets for Google, Yelp & TripAdvisor plugin for WordPress is vulnerable to Stored Cross-Site Scripting via the &#39;page_id&#39; shortcode attribute of the [fbrev] shortcode in versions up to and including 2.7.3. This is due to insufficient input sanitization and output escaping in the Feed_Shortcode::fbrev() method, which passes the raw shortcode attribute through Feed_Old::get_feed() into the View::render() method, where it is echoed directly into the data-id HTML attribute without esc_attr(). This makes it possible for authenticated attackers, with contributor-level access and above, to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page.

Gravedad CVSS v3.1: MEDIA

Última modificación:

07/07/2026

CVE-2026-48316

Fecha de publicación:

06/07/2026

Idioma:

Inglés

*** Pendiente de traducción *** ColdFusion versions 2025.9, 2023.20 and earlier are affected by an Improper Input Validation vulnerability that could result in arbitrary code execution in the context of the current user. Exploitation of this issue does not require user interaction. Scope is changed.

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

09/07/2026

CVE-2026-40140

Fecha de publicación:

06/07/2026

Idioma:

Inglés

*** Pendiente de traducción *** BeyondTrust Remote Support and Privileged Remote Access contain a high-severity pre-authentication vulnerability in the network communication subsystem. Insufficient validation of client-supplied input may allow an unauthenticated remote attacker to trigger a denial-of-service condition affecting appliance availability.

Gravedad CVSS v4.0: ALTA

Última modificación:

07/07/2026

Suscribirse a Vulnerabilidades