Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

017 - Ir a la línea de ayuda en Ciberseguridad    Ir a Agenda     Ir a Sala de prensa     Ir a suscripción de boletines

Ir al buscador

Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las últimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las últimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las últimas vulnerabilidades incorporadas al repositorio.

CVE-2026-19923
Fecha de publicación:
16/08/2026
Idioma:
Inglés
*** Pendiente de traducción *** A weakness has been identified in code-projects Online Shopping System 1.0. This affects an unknown part of the file /checkout_process.php. Executing a manipulation of the argument total_count can lead to sql injection. The attack can be launched remotely. The exploit has been made available to the public and could be used for attacks.
Gravedad CVSS v4.0: BAJA
Última modificación:
16/08/2026

CVE-2026-19922
Fecha de publicación:
16/08/2026
Idioma:
Inglés
*** Pendiente de traducción *** A security flaw has been discovered in code-projects Online Shopping System 1.0. Affected by this issue is some unknown functionality of the file /checkout.php. Performing a manipulation of the argument amount_1 results in cross site scripting. The attack can be initiated remotely. The exploit has been released to the public and may be used for attacks.
Gravedad CVSS v4.0: BAJA
Última modificación:
16/08/2026

CVE-2026-19918
Fecha de publicación:
16/08/2026
Idioma:
Inglés
*** Pendiente de traducción *** A vulnerability has been found in SpaceX Starlink Router Gen 3 2025.11.14.mr64708.3. This affects the function get_status of the component gRPC Management Interface. The manipulation leads to improper access controls. The attack can only be initiated within the local network. The exploit has been disclosed to the public and may be used. The vendor was contacted early about this disclosure but did not respond in any way.
Gravedad CVSS v4.0: BAJA
Última modificación:
16/08/2026

CVE-2026-19919
Fecha de publicación:
16/08/2026
Idioma:
Inglés
*** Pendiente de traducción *** A vulnerability was found in code-projects Online Shopping System 1.0. This impacts an unknown function of the file /login.php of the component Login. The manipulation of the argument email results in sql injection. The attack may be performed from remote. The exploit has been made public and could be used.
Gravedad CVSS v4.0: MEDIA
Última modificación:
16/08/2026

CVE-2026-19920
Fecha de publicación:
16/08/2026
Idioma:
Inglés
*** Pendiente de traducción *** A vulnerability was determined in code-projects Online Shopping System 1.0. Affected is an unknown function of the file /action.php. This manipulation of the argument proId causes sql injection. It is possible to initiate the attack remotely. The exploit has been publicly disclosed and may be utilized.
Gravedad CVSS v4.0: BAJA
Última modificación:
16/08/2026

CVE-2026-19921
Fecha de publicación:
16/08/2026
Idioma:
Inglés
*** Pendiente de traducción *** A vulnerability was identified in code-projects Online Shopping System 1.0. Affected by this vulnerability is an unknown functionality of the file /homeaction.php. Such manipulation of the argument cat_id leads to sql injection. It is possible to launch the attack remotely. The exploit is publicly available and might be used.
Gravedad CVSS v4.0: BAJA
Última modificación:
16/08/2026

CVE-2026-19917
Fecha de publicación:
15/08/2026
Idioma:
Inglés
*** Pendiente de traducción *** A flaw has been found in code-projects Online Food Order System 1.0. The impacted element is an unknown function of the file delete_food_items1.php. Executing a manipulation of the argument checkbox can lead to sql injection. The attack can be executed remotely. The exploit has been published and may be used.
Gravedad CVSS v4.0: BAJA
Última modificación:
15/08/2026

CVE-2026-73052
Fecha de publicación:
15/08/2026
Idioma:
Inglés
*** Pendiente de traducción *** SiYuan before v3.7.4 stores attribute-view field names without HTML escaping and interpolates them directly into option elements via innerHTML in the sort menu. Attackers can inject markup by renaming a database field to execute arbitrary JavaScript when users open the sort menu, with Node integration enabled in the desktop client enabling code execution.
Gravedad CVSS v4.0: CRÍTICA
Última modificación:
15/08/2026

CVE-2026-73053
Fecha de publicación:
15/08/2026
Idioma:
Inglés
*** Pendiente de traducción *** SiYuan versions before v3.7.4 contain a cross-site scripting vulnerability in the unicode2Emoji function that fails to sanitize codepoint branch output. Attackers can craft document icons with hex-encoded markup that executes in the renderer with Node integration enabled, achieving arbitrary code execution on the host system.
Gravedad CVSS v4.0: CRÍTICA
Última modificación:
15/08/2026

CVE-2026-73054
Fecha de publicación:
15/08/2026
Idioma:
Inglés
*** Pendiente de traducción *** SiYuan versions before v3.7.4 contain an authentication bypass vulnerability in the WebSocket endpoint caused by differential parsing of query parameters between authentication exemption and session quarantine checks. Unauthenticated attackers can craft a malicious WebSocket URI with duplicated query parameters to bypass access auth code validation and receive the live kernel event stream including document identifiers, titles, and operation logs.
Gravedad CVSS v4.0: ALTA
Última modificación:
15/08/2026

CVE-2026-73055
Fecha de publicación:
15/08/2026
Idioma:
Inglés
*** Pendiente de traducción *** Shescape before 2.1.15 (and 3.0.0 before 3.0.2) fails to properly escape tilde (~) characters in assignment contexts on Unix systems where the shell is explicitly configured to "sh" or true and /bin/sh points to BusyBox. Using the escape and escapeAll APIs with untrusted input in an assignment prefixed to a command, an attacker can inject a tilde payload to disclose the user's home directory location and, depending on usage, alter the location on which a command operates.
Gravedad CVSS v4.0: CRÍTICA
Última modificación:
15/08/2026

CVE-2026-74764
Fecha de publicación:
15/08/2026
Idioma:
Inglés
*** Pendiente de traducción *** Pandora contains a path traversal vulnerability in its TAR archive extraction functionality. When processing a submitted TAR archive, the extractor passed archive member names directly to Python&amp;#39;s tarfile.TarFile.extract() without applying an extraction filter.<br /> <br /> <br /> An attacker able to submit a specially crafted TAR archive containing malicious member paths, such as paths using ../ sequences or absolute paths, could cause extracted files to be written outside the intended extraction directory. This may allow the attacker to overwrite files accessible to the Pandora worker process and could potentially result in application compromise, arbitrary code execution, or denial of service depending on the files targeted and the privileges of the Pandora process.<br /> <br /> <br /> The vulnerability is corrected by using Python&amp;#39;s filter=&amp;#39;data&amp;#39; extraction filter, which rejects or sanitizes dangerous TAR members, including paths that escape the destination directory and unsafe link targets. <br /> <br /> <br /> The weakness corresponds to MITRE&amp;#39;s general path traversal category, which includes archive extraction cases where attacker-controlled filenames cause files to be written outside the intended directory.
Gravedad CVSS v4.0: CRÍTICA
Última modificación:
15/08/2026
Suscribirse a Vulnerabilidades