Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las últimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las últimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las últimas vulnerabilidades incorporadas al repositorio.

CVE-2026-77141

Fecha de publicación:

25/08/2026

Idioma:

Inglés

*** Pendiente de traducción *** The extension resolves the targeted club record from a user-supplied request argument in its frontend edit, update, and activate actions, but performs no ownership check in any of them. An unauthenticated visitor who knows the UID of a club record can send a direct request to the update or activate action and overwrite that record, or publish one still awaiting approval, without owning it.

Gravedad CVSS v4.0: ALTA

Última modificación:

25/08/2026

CVE-2026-77128

Fecha de publicación:

25/08/2026

Idioma:

Inglés

*** Pendiente de traducción *** The extension fails to enforce enable-field restrictions on a repository query parameter. An unauthenticated remote user can pass a demand-override parameter to view hidden or time-restricted events, unless the disableOverrideDemand plugin setting is active. Exploitation of this issue requires only that disableOverrideDemand is not enabled.

Gravedad CVSS v4.0: MEDIA

Última modificación:

25/08/2026

CVE-2026-77129

Fecha de publicación:

25/08/2026

Idioma:

Inglés

*** Pendiente de traducción *** The extension passes an editor-configurable email subject string directly into a Fluid template source without restriction. A backend user with edit access to the event plugin or Backend Module can supply Fluid ViewHelper syntax in this field to disclose sensitive data or execute TypoScript content objects. Exploitation of this issue requires an authenticated backend account with edit access to the event registration plugin or backend module.

Gravedad CVSS v4.0: ALTA

Última modificación:

25/08/2026

CVE-2026-77130

Fecha de publicación:

25/08/2026

Idioma:

Inglés

*** Pendiente de traducción *** The extension fails to properly validate the expiration of a client-supplied JWT token, allowing an attacker in control of a valid API key to authenticate with an expired token. Exploitation requires the attacker to already be in control of the SYSSY project&#39;s API key.

Gravedad CVSS v4.0: MEDIA

Última modificación:

25/08/2026

CVE-2026-77131

Fecha de publicación:

25/08/2026

Idioma:

Inglés

*** Pendiente de traducción *** When OpenSSL is unavailable on the server, the extension transmits TYPO3 system information in cleartext instead of encrypting it. Exploitation requires the attacker to already be in control of the SYSSY project&#39;s API key.

Gravedad CVSS v4.0: MEDIA

Última modificación:

25/08/2026

CVE-2026-77133

Fecha de publicación:

25/08/2026

Idioma:

Inglés

*** Pendiente de traducción *** The extension fails to restrict which frontend usergroups a logged-in user may assign to their own account when the profile edit plugin uses its default field configuration, allowing self-service privilege escalation into arbitrary frontend groups.

Gravedad CVSS v4.0: MEDIA

Última modificación:

25/08/2026

CVE-2026-77134

Fecha de publicación:

25/08/2026

Idioma:

Inglés

*** Pendiente de traducción *** The extension fails to require the dedicated admin confirmation token when processing an admin-approval request, so a regular user confirmation hash, obtainable by any visitor through the public resend-confirmation action, is sufficient to self-approve a pending account awaiting admin approval.

Gravedad CVSS v4.0: ALTA

Última modificación:

25/08/2026

CVE-2026-63587

Fecha de publicación:

25/08/2026

Idioma:

Inglés

*** Pendiente de traducción *** The SMS control function of IE-SR-2TX-WL-4G devices can require a password for SMS commands via the &#39;Enable Password Authorization&#39; setting. The device increments a retry counter on each failed SMS password attempt; after 5 consecutive failed attempts, SMS password authorization is automatically disabled. An unauthenticated remote attacker who is able to send SMS messages to the device can deliberately trigger this by submitting 5 or more invalid passwords, after which subsequent SMS commands are executed without requiring a password, resulting in potential limited configuration tampering, limited information leakage and potentially full loss of availability.

Gravedad CVSS v4.0: ALTA

Última modificación:

25/08/2026

CVE-2026-77127

Fecha de publicación:

25/08/2026

Idioma:

Inglés

*** Pendiente de traducción *** The extension fails to restrict a backend AJAX endpoint for inline editing to fields the current user is permitted to see or edit. An authenticated, low-privileged backend user can supply arbitrary table, field and record parameters, and trigger an error response that discloses the current database value of the requested field, leading to disclosure of sensitive information such as backend and frontend user password hashes. Exploitation requires a valid, authenticated TYPO3 backend user account with access to the extensions backend module.

Gravedad CVSS v4.0: MEDIA

Última modificación:

25/08/2026

CVE-2026-56093

Fecha de publicación:

25/08/2026

Idioma:

Inglés

*** Pendiente de traducción *** The extension&#39;s frontend detail-view document lookup does not apply the current site&#39;s siteHash filter or frontend user access filter, unlike the regular search path. A visitor who can obtain or guess a valid Solr document id can retrieve documents through this lookup without the same access restrictions enforced elsewhere.

Gravedad CVSS v4.0: MEDIA

Última modificación:

25/08/2026

CVE-2026-56094

Fecha de publicación:

25/08/2026

Idioma:

Inglés

*** Pendiente de traducción *** The extension allows a request-provided additionalFilters parameter to register a named siteHash filter before the system&#39;s own siteHash filter is applied, and the query builder does not overwrite an already-registered named filter. In a shared Solr core serving multiple TYPO3 sites, a visitor can use this to read public documents belonging to another site. The same root cause also affects the suggest top-results path when suggest is enabled.

Gravedad CVSS v4.0: MEDIA

Última modificación:

25/08/2026

CVE-2026-56095

Fecha de publicación:

25/08/2026

Idioma:

Inglés

*** Pendiente de traducción *** The extension&#39;s indexer passed every field value returned by content object rendering through PHP&#39;s unserialize() function when transferring multi-value data for the SOLR_CLASSIFICATION, SOLR_MULTIVALUE and SOLR_RELATION content object types, rather than a safe format. If user-generated content saved in the TYPO3 database can reach an indexed field, this exposes a PHP Object Injection surface.

Gravedad CVSS v4.0: ALTA

Última modificación:

25/08/2026

Suscribirse a Vulnerabilidades