Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

017 - Ir a la línea de ayuda en Ciberseguridad    Ir a Agenda     Ir a Sala de prensa     Ir a suscripción de boletines

Ir al buscador

Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las últimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las últimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las últimas vulnerabilidades incorporadas al repositorio.

CVE-2026-38764
Fecha de publicación:
23/07/2026
Idioma:
Inglés
*** Pendiente de traducción *** An issue in Unistal Systems Pvt. Ltd.Protegent 360 v2.0.0.4 allows a local attacker to escalate privileges via the kernel driver pgsecdl.sys
Gravedad: Pendiente de análisis
Última modificación:
23/07/2026

CVE-2026-39155
Fecha de publicación:
23/07/2026
Idioma:
Inglés
*** Pendiente de traducción *** Knot DNS before 3.4.10 and 3.5.x before 3.5.4 contains a vulnerability in mod-onlinesign where the next NSEC owner name can be computed incorrectly. This can create an overly broad authenticated denial interval, allowing downstream validating resolvers using aggressive negative caching to synthesize negative answers for legitimate names and causing resolver-side denial of service.
Gravedad: Pendiente de análisis
Última modificación:
23/07/2026

CVE-2026-47723
Fecha de publicación:
23/07/2026
Idioma:
Inglés
*** Pendiente de traducción *** nebula-mesh is a self-hosted control plane for Slack Nebula mesh virtual private network. Prior to version 0.3.1, none of the response paths in `internal/web/` or `internal/api/` set the standard browser-security headers. `grep` for `Content-Security-Policy`, `X-Frame-Options`, `Strict-Transport-Security`, `X-Content-Type-Options`, `Referrer-Policy` returns zero matches across the codebase. Version 0.3.1 fixes the issue.
Gravedad CVSS v4.0: ALTA
Última modificación:
23/07/2026

CVE-2026-47724
Fecha de publicación:
23/07/2026
Idioma:
Inglés
*** Pendiente de traducción *** nebula-mesh is a self-hosted control plane for Slack Nebula mesh virtual private network. Prior to version 0.3.4, the `/api/v1/*` route surface trusts the bearer token alone for authorisation on most endpoints. The codebase itself admits this at `internal/api/hosts.go:384`: "API trusts the bearer token for authorisation; per-CA ownership is enforced only in the Web layer." The Web UI gates state-changing routes through `loadAccessibleCA` (`internal/web/cas.go`); CA-management endpoints in `internal/api/cas.go` ALSO have proper `canAccessCA` gates. The gap is on the host, network, firewall, mobile-bundle, and most operator endpoints. Combined with the per-operator CA model from ADR 0002, this gives any non-admin operator API key broad cross-tenant access — instant privilege escalation in the worst case. Version 0.3.4 fixes the issue.
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
23/07/2026

CVE-2026-49035
Fecha de publicación:
23/07/2026
Idioma:
Inglés
*** Pendiente de traducción *** The affected product is vulnerable to a heap-based buffer overflow via a crafted MMS Initiate request. Remote code execution (RCE) has been demonstrated when ASLR is disabled; memory corruption or denial of service may occur in configurations where ASLR is enabled.
Gravedad CVSS v4.0: CRÍTICA
Última modificación:
23/07/2026

CVE-2026-50032
Fecha de publicación:
23/07/2026
Idioma:
Inglés
*** Pendiente de traducción *** A NULL pointer dereference in the MMS Write Named Variable List handler, which may allow a network adjacent attacker to crash the server by sending a WriteRequest with an empty listOfData field.
Gravedad CVSS v4.0: ALTA
Última modificación:
23/07/2026

CVE-2026-50039
Fecha de publicación:
23/07/2026
Idioma:
Inglés
*** Pendiente de traducción *** The affected product is vulnerable to a stack-based buffer overflow, which may allow an attacker to cause a memory corruption via a Read Request.
Gravedad CVSS v4.0: ALTA
Última modificación:
23/07/2026

CVE-2026-15968
Fecha de publicación:
23/07/2026
Idioma:
Inglés
*** Pendiente de traducción *** Improper neutralization of input during web page generation (&amp;#39;cross-site scripting&amp;#39;) vulnerability in Progress MOVEit Transfer.<br /> <br /> This issue affects MOVEit Transfer: before 2025.1.5, from 2026.0.0 before 2026.0.3.
Gravedad CVSS v3.1: ALTA
Última modificación:
23/07/2026

CVE-2026-15981
Fecha de publicación:
23/07/2026
Idioma:
Inglés
*** Pendiente de traducción *** The SAML Single Sign On – SSO Login plugin for WordPress is vulnerable to Authentication Bypass in all versions up to, and including, 5.4.4. This is due to the mo_saml_validate_signature() function performing a loose boolean check on the raw tri-state integer returned by PHP&amp;#39;s openssl_verify(), causing an error return value of -1 to be evaluated as truthy and therefore treated as a successful signature verification. This makes it possible for unauthenticated attackers to log in as any existing WordPress user, including administrators, by submitting a crafted SAMLResponse containing an attacker-controlled NameID and a deliberately malformed signature value that triggers an OpenSSL processing error — bypassing verification entirely and resulting in wp_set_auth_cookie() being called for the targeted account.
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
23/07/2026

CVE-2026-16002
Fecha de publicación:
23/07/2026
Idioma:
Inglés
*** Pendiente de traducción *** The affected product is vulnerable to an Out-of-bounds read, which may allow an attacker to crash the parsing process and cause a denial of service.
Gravedad CVSS v4.0: ALTA
Última modificación:
23/07/2026

CVE-2026-16796
Fecha de publicación:
23/07/2026
Idioma:
Inglés
*** Pendiente de traducción *** Improper neutralization of argument delimiters in the install_packages() method in AWS Bedrock AgentCore Python SDK before 1.18.1 might allow a remote authenticated user to execute arbitrary commands within the Code Interpreter sandbox via crafted package name arguments.<br /> <br /> <br /> <br /> To mitigate this issue, users should upgrade to the patched version 1.18.1.
Gravedad CVSS v4.0: ALTA
Última modificación:
23/07/2026

CVE-2026-21653
Fecha de publicación:
23/07/2026
Idioma:
Inglés
*** Pendiente de traducción *** Victor SSRF vulnerability in Johnson Controls CCure 9000 and victor application server allows Server Side Request Forgery.<br /> <br /> This issue affects CCure 9000 and victor application server: from 2.9 through 3.0.
Gravedad CVSS v4.0: ALTA
Última modificación:
23/07/2026
Suscribirse a Vulnerabilidades