Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las últimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las últimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las últimas vulnerabilidades incorporadas al repositorio.

CVE-2026-65981

Fecha de publicación:

31/07/2026

Idioma:

Inglés

*** Pendiente de traducción *** Coturn is a free open source implementation of TURN and STUN Server. Prior to 4.15.0, a server using --mobility authenticates a resumed REFRESH request with the resuming user&#39;s credentials but does not verify that identity against the original allocation owner, allowing an authenticated attacker who obtains a victim MOBILITY-TICKET to receive and inject relayed traffic and consume the victim&#39;s quota. In the handle_turn_refresh resume branch, the victim allocation (orig_ss) is located solely by the attacker-controlled mobile id, and credentials are only adopted (via copy_auth_parameters) when the resuming session is unauthenticated. Because the attacker&#39;s session already has hmackey_set set to 1 from its own prior authentication (which is never reset for long-term-credential sessions), the credential copy is skipped and check_stun_auth validates the REFRESH against the attacker&#39;s own identity rather than the allocation owner&#39;s. This issue is fixed in version 4.15.0.

Gravedad CVSS v3.1: ALTA

Última modificación:

31/07/2026

CVE-2025-69948

Fecha de publicación:

31/07/2026

Idioma:

Inglés

*** Pendiente de traducción *** SourceCodester Modern Loan Management System 1.0 is vulnerable to SQL Injection in /admin/delete_group.php?id=1.

Gravedad: Pendiente de análisis

Última modificación:

31/07/2026

CVE-2026-38708

Fecha de publicación:

31/07/2026

Idioma:

Inglés

*** Pendiente de traducción *** TR1200 v2.4.15, TR3000 v2.4.21, WR300 v2.4.25, WR1200 v2.4.23, WR1300 v2.4.22, WR1500 v2.3.10, WR3000 v2.4.19, WR3600 v2.3.16, and WR6500 v2.3.15 were discovered to contain a command injection vulnerability in the system.setclock interface. This vulnerability allows attackers to execute arbitrary commands as root via a crafted input.

Gravedad: Pendiente de análisis

Última modificación:

31/07/2026

CVE-2026-38710

Fecha de publicación:

31/07/2026

Idioma:

Inglés

*** Pendiente de traducción *** TR1200 v2.4.15 and TR3000 v2.4.21 were discovered to contain a command injection vulnerability in the system.setclock interface. This vulnerability allows attackers to execute arbitrary commands as root via a crafted input.

Gravedad: Pendiente de análisis

Última modificación:

31/07/2026

CVE-2026-38713

Fecha de publicación:

31/07/2026

Idioma:

Inglés

*** Pendiente de traducción *** TR1200 v2.4.15, TR3000 v2.4.21, WR300 v2.4.25, WR1200 v2.4.23, WR1300 v2.4.22, WR1500 v2.3.10, WR3000 v2.4.19, WR3600 v2.3.16, and WR6500 v2.3.15 were discovered to contain a command injection vulnerability in the ipsec_conn interface. This vulnerability allows attackers to execute arbitrary commands as root via a crafted input.

Gravedad: Pendiente de análisis

Última modificación:

31/07/2026

CVE-2025-69946

Fecha de publicación:

31/07/2026

Idioma:

Inglés

*** Pendiente de traducción *** SourceCodester Modern Loan Management System 1.0 is vulnerable to SQL Injection in ajaxData.php via the parameters district_id , division_id, region_id, and ward_id.

Gravedad: Pendiente de análisis

Última modificación:

31/07/2026

CVE-2026-62324

Fecha de publicación:

31/07/2026

Idioma:

Inglés

*** Pendiente de traducción *** Jodit Editor is a WYSIWYG editor with a built-in file browser & image editor. Prior to 4.12.31, Jodit&#39;s sanitizeHTMLElement method fails to use isDangerousUrl to normalize javascript: href values before checking the scheme, allowing case variants, control-byte prefixes, and embedded tabs or newlines to bypass filtering and execute attacker-controlled script when a victim clicks a stored link rendered by an application. This issue is fixed in version 4.12.31.

Gravedad CVSS v3.1: MEDIA

Última modificación:

31/07/2026

CVE-2026-62999

Fecha de publicación:

31/07/2026

Idioma:

Inglés

*** Pendiente de traducción *** Copier is a library and CLI app for rendering project templates. From 9.5.0 through 9.16.0, percent-encoded parent-directory segments or encoded path separators in a template URL can match a configured trusted repository prefix before an HTTP server or Git transport decodes the path, allowing unsafe template features from a repository outside the trusted prefix to run after user interaction. This issue is fixed in version 9.17.0.

Gravedad CVSS v3.1: ALTA

Última modificación:

31/07/2026

CVE-2026-65841

Fecha de publicación:

31/07/2026

Idioma:

Inglés

*** Pendiente de traducción *** Jodit Editor is a WYSIWYG editor with a built-in file browser & image editor. Prior to 4.13.6, Jodit&#39;s clean-html denyTags filter does not normalize foreign SVG or MathML script node names, allowing a script element nested directly in SVG or MathML to remain in editor.value and execute when content is loaded. This issue is fixed in version 4.13.6.

Gravedad CVSS v4.0: MEDIA

Última modificación:

31/07/2026

CVE-2026-62959

Fecha de publicación:

31/07/2026

Idioma:

Inglés

*** Pendiente de traducción *** Coturn is a free open source implementation of TURN and STUN Server. From 4.5.2 through 4.14.0, when Coturn is started with --acme-redirect and exposes a plaintext-TCP listener, an unauthenticated remote client can send a single ordinary HTTP GET request and receive a 301 response whose Location header contains up to ~870 bytes of adjacent process heap memory. The leaked region is a recycled network receive buffer that is reused without being zeroed, so on a busy server it can contain data from other clients&#39; requests (TURN credentials, OAuth tokens, relayed payloads). Root cause is a signed→unsigned conversion. This issue is fixed in version 4.15.0.

Gravedad CVSS v4.0: ALTA

Última modificación:

01/08/2026

CVE-2026-55825

Fecha de publicación:

31/07/2026

Idioma:

Inglés

*** Pendiente de traducción *** Contao is an Open Source CMS. In versions 5.7.0 through 5.7.6, an authenticated backend user who can access one job can request an attachment identifier containing ../ segments and make the job attachment download endpoint read a file from another job directory inside var/job-attachments. The controller authorizes only the jobUuid route parameter. The later attachment lookup joins that authorized job UUID with the attacker-controlled identifier, then passes the combined path to the virtual filesystem. VirtualFilesystem::resolve() canonicalizes the whole path and only rejects paths that escape the filesystem mount, so authorized-job/../victim-job/debug_log.csv becomes victim-job/debug_log.csv. This is a cross-job authorization bypass for known job attachment paths. It is not a practical brute-force against unknown jobs because job directories are UUID v4 values.

Gravedad CVSS v3.1: BAJA

Última modificación:

01/08/2026

CVE-2026-53510

Fecha de publicación:

31/07/2026

Idioma:

Inglés

*** Pendiente de traducción *** Savon is a Ruby SOAP client. From 0.9.8 until 2.17.2, Savon::Model .all_operations interpolates attacker-controlled WSDL operation names into Ruby source passed to module_eval, allowing Ruby code execution in the application process. This issue is fixed in version 2.17.2.

Gravedad CVSS v3.1: ALTA

Última modificación:

31/07/2026

Suscribirse a Vulnerabilidades