Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las últimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las últimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las últimas vulnerabilidades incorporadas al repositorio.

CVE-2026-97072

Fecha de publicación:
03/11/2026
Idioma:
Inglés
*** Pendiente de traducción *** Missing Authorization vulnerability in myCred myCred mycred allows Exploiting Incorrectly Configured Access Control Security Levels.This issue affects myCred: from n/a through 4.0.2.
Gravedad CVSS v3.1: MEDIA
Última modificación:
03/11/2026

CVE-2026-38600

Fecha de publicación:
03/11/2026
Idioma:
Inglés
*** Pendiente de traducción *** A Zip Slip vulnerability in the /upload endpoint of codeskyblue gohttpserver through v1.3.0 allows attackers to write arbitrary files via uploading a crafted Zip archive.
Gravedad: Pendiente de análisis
Última modificación:
03/11/2026

CVE-2026-38601

Fecha de publicación:
03/11/2026
Idioma:
Inglés
*** Pendiente de traducción *** A hardcoded session secret key in codeskyblue gohttpserver through v1.3.0 allows attackers to impersonate any user, bypass OpenID Connect authentication and access all controls via forged session cookies.
Gravedad: Pendiente de análisis
Última modificación:
03/11/2026

CVE-2026-39743

Fecha de publicación:
03/11/2026
Idioma:
Inglés
*** Pendiente de traducción *** Missing Authorization vulnerability in WC Lovers WCFM Membership wc-multivendor-membership allows Exploiting Incorrectly Configured Access Control Security Levels.This issue affects WCFM Membership: from n/a through 2.12.0.
Gravedad CVSS v3.1: MEDIA
Última modificación:
03/11/2026

CVE-2026-39777

Fecha de publicación:
03/11/2026
Idioma:
Inglés
*** Pendiente de traducción *** Missing Authorization vulnerability in WC Lovers WCFM Membership wc-multivendor-membership allows Exploiting Incorrectly Configured Access Control Security Levels.This issue affects WCFM Membership: from n/a through 2.12.0.
Gravedad CVSS v3.1: MEDIA
Última modificación:
03/11/2026

CVE-2026-28327

Fecha de publicación:
03/11/2026
Idioma:
Inglés
*** Pendiente de traducción *** SolarWinds Dameware was found to be affected by a DLL hijacking vulnerability. The hijack occurs during installations only and requires access to the local machine and admin privileges.
Gravedad CVSS v3.1: ALTA
Última modificación:
03/11/2026

CVE-2026-28335

Fecha de publicación:
03/11/2026
Idioma:
Inglés
*** Pendiente de traducción *** SolarWinds Dameware was found to be affected by a buffer overflow vulnerability that can result in remote code execution. Authentication is required.
Gravedad CVSS v3.1: ALTA
Última modificación:
03/11/2026

CVE-2026-28336

Fecha de publicación:
03/11/2026
Idioma:
Inglés
*** Pendiente de traducción *** SolarWinds Dameware was found to be affected by a command injection vulnerability that could lead to the compromise of the remotely controlled host. Authentication is required.
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
03/11/2026

CVE-2026-38595

Fecha de publicación:
03/11/2026
Idioma:
Inglés
*** Pendiente de traducción *** An issue in im3x Scriptables through v2-dev branch allows attackers to inject arbitrary OS commands via uploading a file with a crafted filename to the /sync endpoint.
Gravedad: Pendiente de análisis
Última modificación:
03/11/2026

CVE-2026-121587

Fecha de publicación:
03/11/2026
Idioma:
Inglés
*** Pendiente de traducción *** Coolify before 4.1.1 contains an information disclosure vulnerability that allows unauthenticated attackers to enumerate application names across all teams via manual GitHub, GitLab, Bitbucket and Gitea webhooks. Attackers can send a repository name of % or empty with a common branch like main, exploiting unescaped LIKE wildcards to receive every matching application name before signature verification.
Gravedad CVSS v4.0: MEDIA
Última modificación:
03/11/2026

CVE-2026-121588

Fecha de publicación:
03/11/2026
Idioma:
Inglés
*** Pendiente de traducción *** TeXlyre from 0.11.0 before 0.13.5 contains a stored cross-site scripting vulnerability that allows attackers to execute script by supplying malicious LSP or typesetter recipe icons. Attackers can trick victims into importing a recipe whose icon contains an HTML event handler, persistently accessing local projects and repository credentials.
Gravedad CVSS v4.0: MEDIA
Última modificación:
03/11/2026

CVE-2026-121602

Fecha de publicación:
03/11/2026
Idioma:
Inglés
*** Pendiente de traducción *** Solanum before commit 2ce64de contains a heap-based buffer overflow vulnerability that allows a malicious linked server to corrupt memory by sending overlong channel names in JOIN or SJOIN messages. Attackers controlling a peer server can trigger strcpy and sprintf overflows in ms_join and ms_sjoin to crash the ircd or potentially achieve remote code execution.
Gravedad CVSS v4.0: ALTA
Última modificación:
03/11/2026