Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las últimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las últimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las últimas vulnerabilidades incorporadas al repositorio.

CVE-2026-71442

Fecha de publicación:

25/08/2026

Idioma:

Inglés

*** Pendiente de traducción *** CAI Content Credentials is affected by an Integer Underflow (Wrap or Wraparound) vulnerability that could result in an application denial-of-service. An attacker could exploit this vulnerability to crash the application, leading to a denial-of-service condition. Exploitation of this issue does not require user interaction.

Gravedad CVSS v3.1: ALTA

Última modificación:

25/08/2026

CVE-2026-71443

Fecha de publicación:

25/08/2026

Idioma:

Inglés

*** Pendiente de traducción *** CAI Content Credentials is affected by an Improper Input Validation vulnerability that could result in an application denial-of-service. An attacker could exploit this vulnerability to crash the application, leading to a denial-of-service condition. Exploitation of this issue does not require user interaction.

Gravedad CVSS v3.1: ALTA

Última modificación:

25/08/2026

CVE-2026-71444

Fecha de publicación:

25/08/2026

Idioma:

Inglés

Gravedad CVSS v3.1: MEDIA

Última modificación:

25/08/2026

CVE-2026-71564

Fecha de publicación:

25/08/2026

Idioma:

Inglés

*** Pendiente de traducción *** Substance3D - Designer is affected by an out-of-bounds write vulnerability that could result in arbitrary code execution in the context of the current user. Exploitation of this issue requires user interaction in that a victim must open a malicious file.

Gravedad CVSS v3.1: ALTA

Última modificación:

25/08/2026

CVE-2026-71360

Fecha de publicación:

25/08/2026

Idioma:

Inglés

*** Pendiente de traducción *** CAI Content Credentials is affected by an Uncontrolled Resource Consumption vulnerability that could lead to application denial-of-service. An attacker could exploit this vulnerability to exhaust system resources, resulting in an application denial-of-service condition. Exploitation of this issue does not require user interaction.

Gravedad CVSS v3.1: ALTA

Última modificación:

25/08/2026

CVE-2026-71382

Fecha de publicación:

25/08/2026

Idioma:

Inglés

*** Pendiente de traducción *** Substance3D - Sampler is affected by an out-of-bounds write vulnerability that could result in arbitrary code execution in the context of the current user. Exploitation of this issue requires user interaction in that a victim must open a malicious file.

Gravedad CVSS v3.1: ALTA

Última modificación:

25/08/2026

CVE-2026-71399

Fecha de publicación:

25/08/2026

Idioma:

Inglés

*** Pendiente de traducción *** Adobe XD is affected by a Buffer Overflow vulnerability that could result in arbitrary code execution in the context of the current user. An attacker could exploit this vulnerability to execute arbitrary code. Exploitation of this issue requires user interaction in that a victim must open a malicious file.

Gravedad CVSS v3.1: ALTA

Última modificación:

25/08/2026

CVE-2026-59984

Fecha de publicación:

25/08/2026

Idioma:

Inglés

*** Pendiente de traducción *** OpenEXR is the reference implementation and specification for the EXR image format, widely used in the motion picture industry. OpenEXR versions 3.1.0 through 3.2.10, 3.3.0 through 3.3.12, and 3.4.0 through 3.4.13 are vulnerable on ILP32 builds to an out-of-bounds write. When a crafted B44-compressed scanline EXR causes the logical scratch size to truncate before allocation and uncompress_b44_impl() writes using the attacker-controlled channel width, allowing denial of service and memory corruption. This issue is fixed in versions 3.2.11, 3.3.13, and 3.4.14.

Gravedad CVSS v3.1: MEDIA

Última modificación:

25/08/2026

CVE-2026-59982

Fecha de publicación:

25/08/2026

Idioma:

Inglés

*** Pendiente de traducción *** OpenEXR is the reference implementation and specification for the EXR image format, widely used in the motion picture industry. OpenEXR versions before 3.2.11, 3.3.0 through 3.3.12, and 3.4.0 through 3.4.13 can return an out-of-bounds pointer from TypedDeepImageChannel::row() when a crafted deep EXR has a nonzero dataWindow origin. This vulnerability occurs because the API combines zero-based row access with an absolute-coordinate-adjusted base pointer, allowing a crash or limited information disclosure. This issue is fixed in versions 3.2.11, 3.3.13, and 3.4.14.

Gravedad CVSS v3.1: ALTA

Última modificación:

25/08/2026

CVE-2026-55623

Fecha de publicación:

25/08/2026

Idioma:

Inglés

*** Pendiente de traducción *** Rejected reason: This CVE is a duplicate of another CVE.

Gravedad: Pendiente de análisis

Última modificación:

25/08/2026

CVE-2026-55637

Fecha de publicación:

25/08/2026

Idioma:

Inglés

*** Pendiente de traducción *** genieacs-mcp is an MCP server for GenieACS written in Go. Prior to 0.3.2, the Streamable HTTP transport in cmd/server/main.go creates an unauthenticated /mcp listener on the default MCP_LISTEN_ADDR value 127.0.0.1:8080 when MCP_AUTH_TOKEN is unset and the httpSrv.Start(addr) branch does not validate the Host or Origin headers. A malicious website can use DNS rebinding to send browser requests with attacker-controlled Host and Origin values to the loopback listener, initialize an MCP session, list tools, and invoke operations against the GenieACS NBI configured by ACS_URL. Successful exploitation can expose or modify CPE management state, including device reboots, firmware tasks, TR-069 parameter changes, presets, provisions, tags, connection requests, and task operations. The npm wrapper is not affected because it forces TRANSPORT=stdio and does not expose an HTTP listener. This issue is fixed in version 0.3.2.

Gravedad CVSS v4.0: ALTA

Última modificación:

25/08/2026

CVE-2026-59983

Fecha de publicación:

25/08/2026

Idioma:

Inglés

*** Pendiente de traducción *** OpenEXR is the reference implementation and specification for the EXR image format, widely used in the motion picture industry. OpenEXR versions before 3.2.11, 3.3.0 through 3.3.12, and 3.4.0 through 3.4.13 are vulnerable on ILP32 builds to an out-of-bounds read. The vulnerability is reached when a crafted uncompressed deep-tile EXR causes the sample-count table size calculation in OpenEXRCore decoding.c to wrap before unpack_sample_table() iterates over the full attacker-controlled tile dimensions, allowing denial of service. This issue is fixed in versions 3.2.11, 3.3.13, and 3.4.14.

Gravedad CVSS v3.1: MEDIA

Última modificación:

25/08/2026

Suscribirse a Vulnerabilidades