Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

017 - Ir a la línea de ayuda en Ciberseguridad    Ir a Agenda     Ir a Sala de prensa     Ir a suscripción de boletines

Ir al buscador

Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las últimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las últimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las últimas vulnerabilidades incorporadas al repositorio.

CVE-2026-68771
Fecha de publicación:
31/07/2026
Idioma:
Inglés
*** Pendiente de traducción *** ComfyUI v0.23.0 contains an unsafe deserialization vulnerability in the LoadTrainingDataset node that allows unauthenticated remote attackers to execute arbitrary Python code by uploading a crafted pickle file and triggering its deserialization. Attackers can upload a malicious shard_*.pkl file via the unauthenticated POST /upload/image endpoint and then queue a workflow graph via POST /prompt referencing the uploaded file, causing torch.load to deserialize the attacker-controlled pickle payload using __reduce__ and execute arbitrary commands as the ComfyUI process user.
Gravedad CVSS v4.0: CRÍTICA
Última modificación:
31/07/2026

CVE-2026-45086
Fecha de publicación:
31/07/2026
Idioma:
Inglés
*** Pendiente de traducción *** Decidim is a participatory democracy framework. From 0.31.1 before 0.31.5 and in 0.32.0.rc1 before 0.32.0.rc2, a participant can directly load /admin/demographics/questions/edit_questions and reach the demographics questionnaire editor without the required administrator authorization. The demographics questionnaire editor should require admin access, but the route under /admin/demographics/questions renders the editor interface without checking whether the caller is an admin. A normal participant can load the page and see the live update form action, which proves the protected interface is reachable. This issue is fixed in versions 0.31.5 and 0.32.0.rc2.
Gravedad CVSS v3.1: MEDIA
Última modificación:
31/07/2026

CVE-2026-51953
Fecha de publicación:
31/07/2026
Idioma:
Inglés
*** Pendiente de traducción *** An issue in FeehiCMS v.2.1.1 allows an attacker to escalate privileges via the Session management module, authentication logic, logout handler components
Gravedad: Pendiente de análisis
Última modificación:
31/07/2026

CVE-2026-52134
Fecha de publicación:
31/07/2026
Idioma:
Inglés
*** Pendiente de traducción *** An issue in the parseGoosePayload() function (/goose/goose_receiver.c) of libiec61850 v1.6 allows attackers to bypass authentication via a captured GOOSE frame.
Gravedad: Pendiente de análisis
Última modificación:
31/07/2026

CVE-2026-52232
Fecha de publicación:
31/07/2026
Idioma:
Inglés
*** Pendiente de traducción *** A reflected cross-site scripting (XSS) vulnerability in the /logo.asp component of FS Inc S3150-8T2F Switch 2.2.0D Build 118101 allows attackers to execute arbitrary Javascript in the context of the victim's browser via a crafted URL.
Gravedad: Pendiente de análisis
Última modificación:
31/07/2026

CVE-2026-52371
Fecha de publicación:
31/07/2026
Idioma:
Inglés
*** Pendiente de traducción *** A Server-Side Request Forgery (SSRF) in the xxl-job-admin/jobinfo/trigger component of xxl-job v3.4.0 allows authenticated attackers to scan resources via supplying a crafted HTTP request.
Gravedad: Pendiente de análisis
Última modificación:
31/07/2026

CVE-2026-68770
Fecha de publicación:
31/07/2026
Idioma:
Inglés
*** Pendiente de traducción *** sentence-transformers contains a security control bypass vulnerability that allows attackers to achieve arbitrary code execution by exploiting a logic flaw in the import_module_class helper within sentence_transformers/util/misc.py, where the guard condition includes an 'or os.path.exists(model_name_or_path)' clause that satisfies the trust gate whenever the supplied path exists on the local filesystem, regardless of the trust_remote_code=False argument. Attackers who can control or influence the contents of a model directory on disk can place malicious Python files such as modeling_*.py referenced via modules.json, causing the code to execute at import time when an application loads the model with SentenceTransformer(path, trust_remote_code=False), bypassing the documented security contract and achieving code execution within the loading process.
Gravedad CVSS v4.0: CRÍTICA
Última modificación:
31/07/2026

CVE-2026-50986
Fecha de publicación:
31/07/2026
Idioma:
Inglés
*** Pendiente de traducción *** PrestaShop module, totadministrativemandate
Gravedad: Pendiente de análisis
Última modificación:
31/07/2026

CVE-2026-51785
Fecha de publicación:
31/07/2026
Idioma:
Inglés
*** Pendiente de traducción *** An issue in Hugo Leisink Hiawatha v.12.1 and before allows a remote attacker to execute arbitrary code via a crafted request
Gravedad: Pendiente de análisis
Última modificación:
31/07/2026

CVE-2026-65981
Fecha de publicación:
31/07/2026
Idioma:
Inglés
*** Pendiente de traducción *** Coturn is a free open source implementation of TURN and STUN Server. Prior to 4.15.0, a server using --mobility authenticates a resumed REFRESH request with the resuming user's credentials but does not verify that identity against the original allocation owner, allowing an authenticated attacker who obtains a victim MOBILITY-TICKET to receive and inject relayed traffic and consume the victim's quota. In the handle_turn_refresh resume branch, the victim allocation (orig_ss) is located solely by the attacker-controlled mobile id, and credentials are only adopted (via copy_auth_parameters) when the resuming session is unauthenticated. Because the attacker's session already has hmackey_set set to 1 from its own prior authentication (which is never reset for long-term-credential sessions), the credential copy is skipped and check_stun_auth validates the REFRESH against the attacker's own identity rather than the allocation owner's. This issue is fixed in version 4.15.0.
Gravedad CVSS v3.1: ALTA
Última modificación:
31/07/2026

CVE-2025-69948
Fecha de publicación:
31/07/2026
Idioma:
Inglés
*** Pendiente de traducción *** SourceCodester Modern Loan Management System 1.0 is vulnerable to SQL Injection in /admin/delete_group.php?id=1.
Gravedad: Pendiente de análisis
Última modificación:
31/07/2026

CVE-2026-38708
Fecha de publicación:
31/07/2026
Idioma:
Inglés
*** Pendiente de traducción *** TR1200 v2.4.15, TR3000 v2.4.21, WR300 v2.4.25, WR1200 v2.4.23, WR1300 v2.4.22, WR1500 v2.3.10, WR3000 v2.4.19, WR3600 v2.3.16, and WR6500 v2.3.15 were discovered to contain a command injection vulnerability in the system.setclock interface. This vulnerability allows attackers to execute arbitrary commands as root via a crafted input.
Gravedad: Pendiente de análisis
Última modificación:
31/07/2026
Suscribirse a Vulnerabilidades