Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

017 - Ir a la línea de ayuda en Ciberseguridad    Ir a Agenda     Ir a Sala de prensa     Ir a suscripción de boletines

Ir al buscador

Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las últimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las últimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las últimas vulnerabilidades incorporadas al repositorio.

CVE-2026-23573
Fecha de publicación:
14/07/2026
Idioma:
Inglés
*** Pendiente de traducción *** An Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') vulnerability [CWE-79] vulnerability in Fortinet FortiOS 7.6.0 through 7.6.6, FortiOS 7.4 all versions, FortiOS 7.2 all versions, FortiPAM 1.8.0, FortiPAM 1.7 all versions, FortiPAM 1.6 all versions, FortiPAM 1.5 all versions, FortiPAM 1.4 all versions, FortiPAM 1.3 all versions, FortiPAM 1.2 all versions, FortiPAM 1.1 all versions, FortiPAM 1.0 all versions, FortiProxy 7.4.0 through 7.4.3, FortiProxy 7.2.0 through 7.2.9 may allow an authenticated remote user to execute code or commands via crafted requests.
Gravedad CVSS v3.1: MEDIA
Última modificación:
14/07/2026

CVE-2026-15697
Fecha de publicación:
14/07/2026
Idioma:
Inglés
*** Pendiente de traducción *** A vulnerability was found in svgdotjs svg.js up to 3.2.5. This affects the function EventTarget.on of the file svgdotjs/svg.js of the component npm Package API. Performing a manipulation results in improperly controlled modification of object prototype attributes. The attack may be initiated remotely. The project was informed of the problem early through an issue report but has not responded yet.
Gravedad CVSS v4.0: BAJA
Última modificación:
14/07/2026

CVE-2026-14504
Fecha de publicación:
14/07/2026
Idioma:
Inglés
*** Pendiente de traducción *** An authorization bypass in Nexus Repository 3's component upload API allowed a user with only read/browse privileges on a Swift, Terraform, or Conda hosted repository to upload arbitrary artifacts, bypassing the intended write-permission check.
Gravedad CVSS v4.0: ALTA
Última modificación:
14/07/2026

CVE-2026-15392
Fecha de publicación:
14/07/2026
Idioma:
Inglés
*** Pendiente de traducción *** DBD::File versions before 1.651 for Perl do not ensure the table file is not a symlink to an untrusted location.<br /> <br /> The complete_table_name method builds the absolute table file path without checking whether the file is a symbolic link. A link inside the data directory can point to a table file at any path outside of the configured f_dir and f_dir_search directories.<br /> <br /> Callers of file-based drivers can read or write files outside of the data directory.
Gravedad: Pendiente de análisis
Última modificación:
14/07/2026

CVE-2026-12523
Fecha de publicación:
14/07/2026
Idioma:
Inglés
*** Pendiente de traducción *** Summary<br /> <br /> <br /> <br /> Cloudflare quiche&amp;#39;s HTTP/3 layer was discovered to be vulnerable to resource exhaustion (i.e., memory) by means of specially crafted HTTP/3 frames.<br /> <br /> <br /> <br /> <br /> Impact<br /> <br /> <br /> <br /> HTTP/3 defines multiple frame types to support HTTP message exchanges and connection management. Each frame has a length and a payload whose length depends on the frame type. quiche was found to be vulnerable when parsing some frame types to pre-allocating memory based on the declared length. An attacker would not need to send the number of declared bytes to trigger this issue.<br /> <br /> <br /> <br /> In addition, quiche was found to not apply QPACK decompression limits correctly. This could allow an attacker to send specially crafted HEADERS frames that would cause more memory commitment than otherwise advertised by MAX_FIELD_SECTION_SIZE (configured by set_max_field_section_size()).<br /> <br /> <br /> <br /> <br /> <br /> <br /> Mitigation:<br /> <br /> * <br /> <br /> Users are requested to upgrade to quiche 0.29.3 which is the earliest version containing the fix for this issue.<br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> Credits: Disclosed responsibly by Sébastien Féry
Gravedad CVSS v3.1: ALTA
Última modificación:
14/07/2026

CVE-2026-12707
Fecha de publicación:
14/07/2026
Idioma:
Inglés
*** Pendiente de traducción *** Summary<br /> <br /> <br /> <br /> Cloudflare quiche was discovered to be vulnerable to memory resource exhaustion due to unbounded queuing of post-handshake client migration events.<br /> <br /> <br /> <br /> Impact<br /> <br /> <br /> <br /> quiche supports the connection migration features described in Section 9 of RFC 9000, which allows a single QUIC connection to survive changes in the network path. Although quiche implements the protections described in Section 9.3 of RFC 9000 to limit server state commitment, it was discovered that the collection of PathEvents, intended to be consumed by applications via the path_event_next() function, was not bounded.<br /> <br /> <br /> <br /> Once the QUIC handshake completed, a peer could exploit rapid source address migration in order to cause unbounded queuing of the PathEvent::ReusedSourceConnectionId type. Servers are vulnerable even if active connection migration is disabled.<br /> <br /> <br /> <br /> Mitigation:<br /> <br /> * <br /> <br /> Applications can call path_event_next() to drain the PathEvent collection, mitigating the attack.<br /> <br /> <br /> * <br /> <br /> Users are requested to upgrade to quiche 0.29.3 which is the earliest version that prevents excessive queueing of PathEvent::ReusedSourceConnectionId.
Gravedad CVSS v3.1: ALTA
Última modificación:
14/07/2026

CVE-2026-12659
Fecha de publicación:
14/07/2026
Idioma:
Inglés
*** Pendiente de traducción *** A denial-of-service security issue exists in the affected products. The security issue stems from improper handling of exceptional conditions when processing crafted CIP packets sent to the adapter. A power cycle is required to recover the module and associated I/O.
Gravedad CVSS v4.0: ALTA
Última modificación:
14/07/2026

CVE-2026-11403
Fecha de publicación:
14/07/2026
Idioma:
Inglés
*** Pendiente de traducción *** A vulnerability in Sonatype Nexus Repository Manager&amp;#39;s format-specific API key generation may allow a remote attacker to gain unauthorized access to repository operations as a targeted user. A format-specific API key realm (NuGet API Key, Docker Bearer Token, or npm Bearer Token) must be enabled and the targeted user must have an active API key for this vulnerability to be exploitable.
Gravedad CVSS v4.0: ALTA
Última modificación:
14/07/2026

CVE-2026-11944
Fecha de publicación:
14/07/2026
Idioma:
Inglés
*** Pendiente de traducción *** openSIS Classic 9.3 contains an authenticated path traversal vulnerability in the legacy messaging sent-mail attachment download functionality that allows an authenticated attacker to read arbitrary files on the server via crafted path traversal sequences.
Gravedad CVSS v4.0: MEDIA
Última modificación:
14/07/2026

CVE-2026-11917
Fecha de publicación:
14/07/2026
Idioma:
Inglés
*** Pendiente de traducción *** A path traversal security issue exists within Rockwell Automation ThinManager® software due to improper limitation of file save operations within the API. An authenticated attacker could exploit this vulnerability to write arbitrary files to restricted system directories outside of the application&amp;#39;s intended directory.
Gravedad CVSS v4.0: ALTA
Última modificación:
14/07/2026

CVE-2025-43892
Fecha de publicación:
14/07/2026
Idioma:
Inglés
*** Pendiente de traducción *** A buffer over-read vulnerability in Fortinet FortiOS 7.6.0 through 7.6.2, FortiOS 7.4.0 through 7.4.8, FortiOS 7.2 all versions may allow an authenticated remote attacker to return a portion of device memory in the redirect response via submitting a specially crafted request.
Gravedad CVSS v3.1: MEDIA
Última modificación:
14/07/2026

CVE-2025-53379
Fecha de publicación:
14/07/2026
Idioma:
Inglés
*** Pendiente de traducción *** A out-of-bounds read vulnerability in Fortinet FortiAuthenticator 6.6.0 through 6.6.2, FortiAuthenticator 6.5 all versions may allow a remote unauthenticated attacker to retrieve sensitive information via a specially crafted request.
Gravedad CVSS v3.1: ALTA
Última modificación:
14/07/2026
Suscribirse a Vulnerabilidades