Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las ultimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las ultimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las ultimas vulnerabilidades incorporadas al repositorio.

CVE-2026-41411

Fecha de publicación:

24/04/2026

Idioma:

Inglés

*** Pendiente de traducción *** Vim is an open source, command line text editor. Prior to 9.2.0357, A command injection vulnerability exists in Vim&#39;s tag file processing. When resolving a tag, the filename field from the tags file is passed through wildcard expansion to resolve environment variables and wildcards. If the filename field contains backtick syntax (e.g., `command`), Vim executes the embedded command via the system shell with the full privileges of the running user.

Gravedad CVSS v3.1: MEDIA

Última modificación:

24/04/2026

CVE-2026-6911

Fecha de publicación:

24/04/2026

Idioma:

Inglés

*** Pendiente de traducción *** Missing JWT signature verification in AWS Ops Wheel allows unauthenticated attackers to forge JWT tokens and gain unintended administrative access to the application, including the ability to read, modify, and delete all application data across tenants and manage Cognito user accounts within the deployment&#39;s User Pool, via a crafted JWT sent to the API Gateway endpoint.<br /> <br /> To remediate this issue, users should redeploy from the updated repository and ensure any forked or derivative code is patched to incorporate the new fixes.

Gravedad CVSS v4.0: CRÍTICA

Última modificación:

24/04/2026

CVE-2026-6912

Fecha de publicación:

24/04/2026

Idioma:

Inglés

*** Pendiente de traducción *** Improperly controlled modification of dynamically-determined object attributes in the Cognito User Pool configuration in AWS Ops Wheel before PR #165 allows remote authenticated users to escalate to deployment admin privileges and manage Cognito user accounts via a crafted UpdateUserAttributes API call that sets the custom:deployment_admin attribute.<br /> <br /> To remediate this issue, users should redeploy from the updated repository and ensure any forked or derivative code is patched to incorporate the new fixes.

Gravedad CVSS v4.0: ALTA

Última modificación:

24/04/2026

CVE-2026-41067

Fecha de publicación:

24/04/2026

Idioma:

Inglés

*** Pendiente de traducción *** Astro is a web framework. Prior to 6.1.6, the defineScriptVars function in Astro&#39;s server-side rendering pipeline uses a case-sensitive regex //g to sanitize values injected into inline tags via the define:vars directive. HTML parsers close elements case-insensitively and also accept whitespace or / before the closing >, allowing an attacker to bypass the sanitization with payloads like , , or and inject arbitrary HTML/JavaScript. This vulnerability is fixed in 6.1.6.

Gravedad CVSS v3.1: MEDIA

Última modificación:

24/04/2026

CVE-2026-41079

Fecha de publicación:

24/04/2026

Idioma:

Inglés

*** Pendiente de traducción *** OpenPrinting CUPS is an open source printing system for Linux and other Unix-like operating systems. Prior to 2.4.17, a network-adjacent attacker can send a crafted SNMP response to the CUPS SNMP backend that causes an out-of-bounds read of up to 176 bytes past a stack buffer. The leaked memory is converted from UTF-16 to UTF-8 and stored as printer supply description strings, which are subsequently visible to authenticated users via IPP Get-Printer-Attributes responses and the CUPS web interface. This vulnerability is fixed in 2.4.17.

Gravedad CVSS v3.1: MEDIA

Última modificación:

25/04/2026

CVE-2026-40897

Fecha de publicación:

24/04/2026

Idioma:

Inglés

*** Pendiente de traducción *** Math.js is an extensive math library for JavaScript and Node.js. From 13.1.1 to before 15.2.0, a vulnerability allowed executing arbitrary JavaScript via the expression parser of mathjs. You can be affected when you have an application where users can evaluate arbitrary expressions using the mathjs expression parser. This vulnerability is fixed in 15.2.0.

Gravedad CVSS v3.1: ALTA

Última modificación:

24/04/2026

CVE-2026-41066

Fecha de publicación:

24/04/2026

Idioma:

Inglés

*** Pendiente de traducción *** lxml is a library for processing XML and HTML in the Python language. Prior to 6.1.0, using either of the two parsers in the default configuration (with resolve_entities=True) allows untrusted XML input to read local files. Setting the resolve_entities option explicitly to resolve_entities=&#39;internal&#39; or resolve_entities=False disables the local file access. This vulnerability is fixed in 6.1.0.

Gravedad CVSS v3.1: ALTA

Última modificación:

24/04/2026

CVE-2026-39920

Fecha de publicación:

24/04/2026

Idioma:

Inglés

*** Pendiente de traducción *** BridgeHead FileStore versions prior to 24A (released in early 2024) expose the Apache Axis2 administration module on network-accessible endpoints with default credentials that allows unauthenticated remote attackers to execute arbitrary OS commands. Attackers can authenticate to the admin console using default credentials, upload a malicious Java archive as a web service, and execute arbitrary commands on the host via SOAP requests to the deployed service.

Gravedad CVSS v4.0: CRÍTICA

Última modificación:

24/04/2026

CVE-2026-40609

Fecha de publicación:

24/04/2026

Idioma:

Inglés

*** Pendiente de traducción *** Rejected reason: This CVE is a duplicate of another CVE.

Gravedad: Pendiente de análisis

Última modificación:

24/04/2026

CVE-2026-30368

Fecha de publicación:

24/04/2026

Idioma:

Inglés

*** Pendiente de traducción *** A client-side authorization flaw in Lightspeed Classroom v5.1.2.1763770643 allows unauthenticated attackers to impersonate users by bypassing integrity checks and abusing client-generated authorization tokens, leading to unauthorized control and monitoring of student devices.

Gravedad: Pendiente de análisis

Última modificación:

24/04/2026

CVE-2025-59308

Fecha de publicación:

24/04/2026

Idioma:

Inglés

*** Pendiente de traducción *** In Mahara before 24.04.10 and 25 before 25.04.1, an institution administrator or institution support administrator on a multi-tenanted site can masquerade as an institution member in an institution for which they are not an administrator, if they also have the &#39;Site staff&#39; role.

Gravedad CVSS v3.1: MEDIA

Última modificación:

24/04/2026

CVE-2025-67259

Fecha de publicación:

24/04/2026

Idioma:

Inglés

*** Pendiente de traducción *** A Broken Access Control vulnerability exists in ClassroomIO v0.1.13 where an authenticated low-privileged "student" user can access unauthorized course-level information by modifying intercepted API requests. Changing a captured POST request to a GET request against the /rest/v1/course PostgREST endpoint results in disclosure of sensitive information including other students details, tutor/admin profiles, and internal course metadata.

Gravedad CVSS v3.1: MEDIA

Última modificación:

24/04/2026

Suscribirse a Vulnerabilidades