Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

017 - Ir a la línea de ayuda en Ciberseguridad    Ir a Agenda     Ir a Sala de prensa     Ir a suscripción de boletines

Ir al buscador

Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las últimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las últimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las últimas vulnerabilidades incorporadas al repositorio.

CVE-2026-15615
Fecha de publicación:
23/07/2026
Idioma:
Inglés
*** Pendiente de traducción *** Logto omits validation of the SAML element, enabling attackers to strip time and audience restrictions and replay assertions indefinitely.
Gravedad: Pendiente de análisis
Última modificación:
23/07/2026

CVE-2026-15616
Fecha de publicación:
23/07/2026
Idioma:
Inglés
*** Pendiente de traducción *** Logto does not enforce locally configured MFA during SSO authentication, allowing users to bypass second-factor requirements and grants unauthorized access.
Gravedad: Pendiente de análisis
Última modificación:
23/07/2026

CVE-2026-15617
Fecha de publicación:
23/07/2026
Idioma:
Inglés
*** Pendiente de traducción *** Logto performs principal lookup without normalizing email and identifier strings, enabling principal collision and unauthorized account access via case- or Unicode-different identities.
Gravedad: Pendiente de análisis
Última modificación:
23/07/2026

CVE-2026-15611
Fecha de publicación:
23/07/2026
Idioma:
Inglés
*** Pendiente de traducción *** Logto allows unverified email-based SSO account linking, enabling an attacker to register an identity at a permissive IdP using a victim’s email and gain unauthorized access to the victim’s account.
Gravedad: Pendiente de análisis
Última modificación:
23/07/2026

CVE-2026-43820
Fecha de publicación:
23/07/2026
Idioma:
Inglés
*** Pendiente de traducción *** NIOSSLCertificate._subjectAlternativeNames provides access to the raw bytes for a cert's SANs. NIOSSL provides access to a buffer assumed to be backed by an ASN1_STRING, but not all SANs are backed by ASN1_STRING, so accessing the buffer for such a type can lead to out-of-bounds memory access. This vulnerability is addressed in swift-nio-ssl version 2.37.2.
Gravedad: Pendiente de análisis
Última modificación:
23/07/2026

CVE-2026-8287
Fecha de publicación:
23/07/2026
Idioma:
Inglés
*** Pendiente de traducción *** Allocation of resources without limits or throttling vulnerability in BizimHesap Information Systems Industry and Trade Inc. Online Pre-Accounting Software allows Excessive Allocation.<br /> <br /> This issue affects Online Pre-Accounting Software: through 17072026.
Gravedad CVSS v3.1: MEDIA
Última modificación:
23/07/2026

CVE-2026-65914
Fecha de publicación:
23/07/2026
Idioma:
Inglés
*** Pendiente de traducción *** DOMPurify before 3.3.2 contains a mutation-XSS vulnerability when sanitized HTML is reinserted into special parsing contexts using innerHTML with wrappers like script, xmp, iframe, noembed, noframes, or noscript. Attackers can craft payloads with closing sequences that break out of the wrapper context during reparsing, reactivating dangerous markup with event handlers to execute JavaScript.
Gravedad CVSS v4.0: MEDIA
Última modificación:
23/07/2026

CVE-2026-65911
Fecha de publicación:
23/07/2026
Idioma:
Inglés
*** Pendiente de traducción *** In DOMPurify through 3.3.3, function predicates supplied via ADD_ATTR or ADD_TAGS to DOMPurify.sanitize() persist in internal state (EXTRA_ELEMENT_HANDLING) across subsequent sanitize() calls on the same instance. If a later call on the same instance provides ADD_ATTR or ADD_TAGS as an array rather than a function, the previously set function handler is neither cleared nor overwritten, so it continues to approve attacker-controlled attributes or tags. This can allow dangerous event-handler attributes or forbidden tags (bypassing FORBID_TAGS) to survive sanitization, resulting in cross-site scripting. The vendor (Cure53) considers this an edge case outside DOMPurify&amp;#39;s threat model; the referenced advisory lists 3.4.0 as the patched version.
Gravedad CVSS v4.0: MEDIA
Última modificación:
23/07/2026

CVE-2026-65913
Fecha de publicación:
23/07/2026
Idioma:
Inglés
*** Pendiente de traducción *** DOMPurify before 3.3.2 contains a prototype pollution vulnerability in USE_PROFILES mode that allows attackers to bypass attribute filtering by polluting Array.prototype properties. Attackers can set Array.prototype properties like onclick to true, causing DOMPurify to accept event handlers as allowlisted attributes and resulting in DOM-based XSS when sanitized markup is rendered.
Gravedad CVSS v4.0: MEDIA
Última modificación:
23/07/2026

CVE-2026-65904
Fecha de publicación:
23/07/2026
Idioma:
Inglés
*** Pendiente de traducción *** DOMPurify through 3.3.3 fails to sanitize DOM elements passed via IN_PLACE mode when the element originates from a different window/realm (e.g., an iframe&amp;#39;s contentDocument). A cross-realm instanceof check in the private _isNode() function returns false for foreign-realm nodes, causing DOMPurify to stringify the element (yielding &amp;#39;[object HTMLDivElement]&amp;#39;), silently reset IN_PLACE to false, and return the unsanitized element unchanged with any XSS payloads intact. The vendor considers this an edge case outside DOMPurify&amp;#39;s threat model and, at time of publication, no fix was planned.
Gravedad CVSS v4.0: BAJA
Última modificación:
23/07/2026

CVE-2026-65912
Fecha de publicación:
23/07/2026
Idioma:
Inglés
*** Pendiente de traducción *** DOMPurify before 3.3.2 contains a URI validation bypass vulnerability when ADD_ATTR is provided as a predicate function via EXTRA_ELEMENT_HANDLING.attributeCheck. Attackers can supply a predicate that accepts specific attribute and tag combinations to bypass URI-safe validation, allowing unsafe protocols like javascript: to survive sanitization and execute as DOM-based XSS when the link is activated.
Gravedad CVSS v4.0: MEDIA
Última modificación:
23/07/2026

CVE-2026-65901
Fecha de publicación:
23/07/2026
Idioma:
Inglés
*** Pendiente de traducción *** DOMPurify through 3.4.6 contains a cross-site scripting vulnerability in IN_PLACE mode that trusts attacker-controlled nodeName on live non-form nodes. Attackers can supply hostile live DOM objects with real script children whose observable nodeName is clobbered to appear as allowed elements, causing scripts to execute when the sanitized tree is inserted into a live document.
Gravedad CVSS v4.0: MEDIA
Última modificación:
23/07/2026
Suscribirse a Vulnerabilidades