Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las últimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las últimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las últimas vulnerabilidades incorporadas al repositorio.

CVE-2026-77337

Fecha de publicación:
24/08/2026
Idioma:
Inglés
*** Pendiente de traducción *** CakePHP Authentication is an authentication plugin for CakePHP that can also be used in PSR-7 based applications. Versions before 2.11.2, from 3.0.0 through 3.3.6, and from 4.0.0 through 4.2.0 allow authentication bypass and potential CPU or memory exhaustion when CookieAuthenticator uses unencrypted, forgeable legacy tokens. This issue is fixed in versions 2.11.2, 3.3.7, and 4.2.1.
Gravedad CVSS v4.0: CRÍTICA
Última modificación:
24/08/2026

CVE-2026-77384

Fecha de publicación:
24/08/2026
Idioma:
Inglés
*** Pendiente de traducción *** libp2p is a JavaScript implementation of the libp2p networking stack. Prior to version 4.2.9, the reservation refresh path in reservation-store.ts reuses the same retimeableSignal but unconditionally registers another abort listener on every refresh. As a result, a remote peer can repeatedly send valid RESERVE requests for the same reservation, causing unbounded listener and closure growth in @libp2p/circuit-relay-v2 relay servers and leading to denial of service. This issue is fixed in version 4.2.9.
Gravedad CVSS v3.1: ALTA
Última modificación:
24/08/2026

CVE-2026-78259

Fecha de publicación:
24/08/2026
Idioma:
Inglés
*** Pendiente de traducción *** Unauthenticated Broken Authentication in WPLegalPages
Gravedad CVSS v3.1: ALTA
Última modificación:
24/08/2026

CVE-2026-78262

Fecha de publicación:
24/08/2026
Idioma:
Inglés
*** Pendiente de traducción *** Unauthenticated PHP Object Injection in WP Project Manager
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
24/08/2026

CVE-2026-68516

Fecha de publicación:
24/08/2026
Idioma:
Inglés
*** Pendiente de traducción *** OpenEXR is the reference implementation and specification for the EXR image format, widely used in the motion picture industry. From version 3.4.0 through 3.4.13, a crafted HTJ2K-compressed EXR can crash OpenEXR during normal decode. An HTJ2K-compressed EXR whose JPEG 2000 SIZ fields place the first tile outside the visible image can reach invalid tile and codeblock geometry in the vendored OpenJPH AVX2 decoder, causing a stack out-of-bounds write and denial of service. OpenEXR's HTJ2K path validates the decoded codestream dimensions against the EXR chunk size, but it does not reject SIZ image-offset/tile-grid geometry where the first tile does not intersect the image. This issue is fixed in version 3.4.14.
Gravedad CVSS v3.1: MEDIA
Última modificación:
25/08/2026

CVE-2026-45404

Fecha de publicación:
24/08/2026
Idioma:
Inglés
*** Pendiente de traducción *** OpenTelemetry-Go is the Go implementation of OpenTelemetry. From version 0.11.0 through 1.44.0, the OpenTracing bridge's bridgeSpan contains an unsynchronized extraBaggageItems map which can cause a panic. Because Go maps are not safe for concurrent read/write access, concurrent SetBaggageItem and correlation.MapFromContext calls on the same hooked bridgeSpan can trigger a fatal runtime error—such as concurrent map read and map write or concurrent map iteration and map write—terminating the process and causing denial of service. This issue is fixed in version 1.45.0.
Gravedad CVSS v4.0: MEDIA
Última modificación:
24/08/2026

CVE-2026-32560

Fecha de publicación:
24/08/2026
Idioma:
Inglés
*** Pendiente de traducción *** Subscriber Local File Inclusion in MagicAI for WordPress - AI Text, Image, Chat, Code, and Voice Generator
Gravedad CVSS v3.1: ALTA
Última modificación:
25/08/2026

CVE-2026-32561

Fecha de publicación:
24/08/2026
Idioma:
Inglés
*** Pendiente de traducción *** Subscriber Privilege Escalation in Booking Hub
Gravedad CVSS v3.1: ALTA
Última modificación:
25/08/2026

CVE-2026-32563

Fecha de publicación:
24/08/2026
Idioma:
Inglés
*** Pendiente de traducción *** Subscriber PHP Object Injection in ACPT (Pro) - Custom Post Types Plugin for WordPress
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
25/08/2026

CVE-2026-27364

Fecha de publicación:
24/08/2026
Idioma:
Inglés
*** Pendiente de traducción *** Subscriber Broken Access Control in Style Kits
Gravedad CVSS v3.1: MEDIA
Última modificación:
24/08/2026

CVE-2026-32554

Fecha de publicación:
24/08/2026
Idioma:
Inglés
*** Pendiente de traducción *** Unauthenticated SQL Injection in WooBeWoo Product Filter Pro
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
25/08/2026

CVE-2026-32556

Fecha de publicación:
24/08/2026
Idioma:
Inglés
*** Pendiente de traducción *** Unauthenticated Cross Site Scripting (XSS) in Boost
Gravedad CVSS v3.1: ALTA
Última modificación:
25/08/2026