Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

017 - Ir a la línea de ayuda en Ciberseguridad    Ir a Agenda     Ir a Sala de prensa     Ir a suscripción de boletines

Ir al buscador

Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las últimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las últimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las últimas vulnerabilidades incorporadas al repositorio.

CVE-2026-48910
Fecha de publicación:
30/07/2026
Idioma:
Inglés
*** Pendiente de traducción *** A carefully crafted editing request could trigger an XSS vulnerability <br /> on Apache JSPWiki when parsing errors on the markdown renderer, which <br /> could allow the attacker to execute javascript in the victim&amp;#39;s browser <br /> and get some sensitive information about the victim.<br /> <br /> <br /> This issue affects Apache JSPWiki: through 2.12.3.<br /> <br /> Users are recommended to upgrade to version 2.12.4, which fixes the issue.
Gravedad CVSS v3.1: MEDIA
Última modificación:
30/07/2026

CVE-2026-44613
Fecha de publicación:
30/07/2026
Idioma:
Inglés
*** Pendiente de traducción *** Cross-Site Request Forgery (CSRF) vulnerability in Apache Zeppelin. The default CORS configuration allowed cross-origin state-changing requests and accepted text/plain request bodies, allowing an attacker who lures an authenticated user to a                   malicious site to perform actions on the user&amp;#39;s behalf through REST and WebSocket endpoints. This issue affects Apache Zeppelin versions 0.6.0 through 0.12.0. Users are recommended to upgrade to version 0.12.1, which fixes this issue.
Gravedad: Pendiente de análisis
Última modificación:
30/07/2026

CVE-2026-44616
Fecha de publicación:
30/07/2026
Idioma:
Inglés
*** Pendiente de traducción *** LDAP injection vulnerability in Apache Zeppelin. ActiveDirectoryGroupRealm constructed LDAP search filters without escaping user-controlled input, allowing an authenticated attacker to inject LDAP filter syntax through the user-search endpoint                   and potentially expose directory information. The role-lookup path was also affected after successful LDAP authentication. This issue affects Apache Zeppelin versions 0.6.0 through 0.12.0. Users are recommended to upgrade to version 0.12.1, which                   fixes this issue.
Gravedad: Pendiente de análisis
Última modificación:
30/07/2026

CVE-2026-44617
Fecha de publicación:
30/07/2026
Idioma:
Inglés
*** Pendiente de traducción *** LDAP filter injection vulnerability in Apache Zeppelin. LdapRealm used RFC 4514 distinguished-name escaping when constructing LDAP search filters instead of RFC 4515 filter escaping, leaving special filter characters insufficiently escaped.                   This is an incomplete fix of CVE-2024-31867. This issue affects Apache Zeppelin versions 0.11.1, 0.11.2, and 0.12.0. Users are recommended to upgrade to version 0.12.1, which fixes this issue.
Gravedad: Pendiente de análisis
Última modificación:
30/07/2026

CVE-2026-4978
Fecha de publicación:
30/07/2026
Idioma:
Inglés
*** Pendiente de traducción *** Improper neutralization of special elements used in an SQL command (&amp;#39;SQL injection&amp;#39;) vulnerability in UMAI Vision Traffic Analysis System allows SQL Injection.<br /> <br /> This issue affects Traffic Analysis System: from 30 before 34.
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
30/07/2026

CVE-2026-28813
Fecha de publicación:
30/07/2026
Idioma:
Inglés
*** Pendiente de traducción *** Apache JSPWiki, up to 2.12.3, is vulnerable to JSON Hijacking, which leads to csrf vulnerabilities.<br /> Users are recommended to upgrade to version 2.12.4, which fixes this issue.
Gravedad: Pendiente de análisis
Última modificación:
30/07/2026

CVE-2026-28814
Fecha de publicación:
30/07/2026
Idioma:
Inglés
*** Pendiente de traducción *** Arbitrary Wiki Markup rendering due to lack of authentication in Apache JSPWiki up to 2.12.3 allows attacker to obtain sensitive data stored in JSPWiki variables.<br /> Users are recommended to upgrade to version 2.12.4 or 3.0.0, which fixes this issue.
Gravedad: Pendiente de análisis
Última modificación:
30/07/2026

CVE-2026-23981
Fecha de publicación:
30/07/2026
Idioma:
Inglés
*** Pendiente de traducción *** An Improper Authorization vulnerability exists in Apache Superset allowing an authenticated user with permissions to update charts to modify dashboards they do not own. When updating a chart&amp;#39;s properties via the REST API, a user can provide a list of dashboard IDs (dashboards) to associate the chart with. The validation logic in the UpdateChartCommand failed to verify that the user had write permissions for the target dashboards specified in the request body. <br /> <br /> This issue affects Apache Superset: before 6.0.0.<br /> <br /> Users are recommended to upgrade to version 6.0.0, which fixes the issue.
Gravedad CVSS v4.0: MEDIA
Última modificación:
30/07/2026

CVE-2026-23985
Fecha de publicación:
30/07/2026
Idioma:
Inglés
*** Pendiente de traducción *** A Regular Expression Denial of Service (ReDoS) vulnerability exists in Apache Superset versions 1.5.0 through 5.0.0. The vulnerability is located in the sql_parse.py component, specifically within the SQL_REGEX used for parsing SQL statements in the sqlparse library integration.<br /> The affected regular expression contains overlapping disjunctions that share a common outer quantifier. An authenticated attacker can exploit this by sending a maliciously crafted input string (specifically a long sequence of backslashes or similar characters) to endpoints that process SQL queries<br /> <br /> This issue affects Apache Superset: before 6.0.0.<br /> <br /> Users are recommended to upgrade to version 6.0.0, which fixes the issue. <br /> <br /> Workarounds:<br /> ● WAF Rules: Implement Web Application Firewall (WAF) rules to detect and block<br /> requests containing excessively long sequences of backslashes or suspicious repeated<br /> patterns in the queries.extras.where parameter.<br /> ● Rate Limiting: Ensure strict rate limiting is applied to the /api/v1/chart/data endpoint to<br /> reduce the impact of potential attacks.
Gravedad CVSS v4.0: MEDIA
Última modificación:
30/07/2026

CVE-2026-28811
Fecha de publicación:
30/07/2026
Idioma:
Inglés
*** Pendiente de traducción *** Debug Messages Revealing Unnecessary Information in Apache JSPWiki up to 2.12.3.<br /> Users are recommended to upgrade to version 2.12.4, which fixes this issue.
Gravedad: Pendiente de análisis
Última modificación:
30/07/2026

CVE-2026-28812
Fecha de publicación:
30/07/2026
Idioma:
Inglés
*** Pendiente de traducción *** UserManager lack of checks allows impersonation in Apache JSPWiki up to 2.12.3 which may allow attackers to escalate privileges.<br /> Users are recommended to upgrade to version 2.12.4 or newer which fixes this issue.
Gravedad: Pendiente de análisis
Última modificación:
30/07/2026

CVE-2026-28323
Fecha de publicación:
30/07/2026
Idioma:
Inglés
*** Pendiente de traducción *** SolarWinds Web Help Desk is found to be affected by a SAML authentication bypass vulnerability. This requires the SAML 2.0 authentication method to be enabled.
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
30/07/2026
Suscribirse a Vulnerabilidades