Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las últimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las últimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las últimas vulnerabilidades incorporadas al repositorio.

CVE-2026-55075

Fecha de publicación:

07/07/2026

Idioma:

Inglés

*** Pendiente de traducción *** Coder allows organizations to provision remote development environments via Terraform. Prior to versions 2.29.7, 2.32.7, 2.33.8, and 2.34.2, two flaws in Coder&#39;s OIDC login chained into account takeover. Email-based user matching fell back to linking by email without checking for an existing link to a different IdP subject and the `email_verified` claim was only enforced when present as a boolean `false` so an absent or non-boolean claim was treated as verified. The fix in versions 2.29.7, 2.32.7, 2.33.8, and 2.34.2 restricts the email fallback to first-time and legacy linking and defaults `email_verified` to false when the claim is absent or of an unexpected type. As a workaround, configure the OIDC provider to disallow self-registration or to require email verification before issuing tokens.

Gravedad CVSS v3.1: ALTA

Última modificación:

07/07/2026

CVE-2026-55408

Fecha de publicación:

07/07/2026

Idioma:

Inglés

*** Pendiente de traducción *** Koodo Reader is an ebook reader. In version 2.3.0 and earlier, Koodo Reader is vulnerable to remote code execution through malicious EPUB files because the open-book IPC handler enables nodeIntegrationInSubFrames and EPUB chapter content is rendered with unsanitized innerHTML. An attacker can craft an EPUB book that, when imported and opened by the victim, instantiates a hidden iframe with Node.js API access and executes arbitrary operating system commands with the victim user&#39;s privileges. This issue is fixed in version 2.3.1.

Gravedad CVSS v4.0: ALTA

Última modificación:

07/07/2026

CVE-2026-55418

Fecha de publicación:

07/07/2026

Idioma:

Inglés

*** Pendiente de traducción *** FastGPT is an open source AI knowledge base platform. Prior to v4.15.0-beta5, two FastGPT file handlers authorize an unrelated resource and then sign or read an S3 object using a key taken directly from the request, without checking that the key belongs to the caller&#39;s team. Because S3 object keys are global within the bucket and carry the tenant id only as a path segment, an attacker can supply another team&#39;s key and obtain its file contents through the chat-file presign endpoint or dataset preview endpoint. This issue is fixed in version v4.15.0-beta5.

Gravedad CVSS v3.1: ALTA

Última modificación:

07/07/2026

CVE-2026-42958

Fecha de publicación:

07/07/2026

Idioma:

Inglés

*** Pendiente de traducción *** The application contains a use-after-free vulnerability that can be exploited to cause memory corruption while parsing specially crafted files. This could allow an attacker to execute arbitrary code in the context of the current process.

Gravedad CVSS v4.0: ALTA

Última modificación:

07/07/2026

CVE-2026-45796

Fecha de publicación:

07/07/2026

Idioma:

Inglés

*** Pendiente de traducción *** Coder allows organizations to provision remote development environments via Terraform. Versions prior tp 2.24.5, 2.29.13, 2.30.8, 2.31.12, 2.32.2, and 2.33.3 are vulnerable to unauthenticated semi-blind Server-Side Request Forgery (SSRF) via the Azure instance identity endpoint (`POST /api/v2/workspaceagents/azure-instance-identity`). An external attacker can force the Coder server to issue HTTP GET requests to arbitrary internal or external hosts by submitting a crafted PKCS#7 signature. The server does not return the target&#39;s response body, but error messages in the API response reveal whether the target is reachable and what type of failure occurred. Versions 2.24.5, 2.29.13, 2.30.8, 2.31.12, 2.32.2, and 2.33.3 patch the issue. As a workaround, if the Azure identity-auth mechanism is not being used then restrict access to the corresponding endpoint (`/api/v2/workspaceagents/azure-instance-identity`) using ingress firewall and/or proxy ACLs.

Gravedad CVSS v3.1: MEDIA

Última modificación:

07/07/2026

CVE-2026-46354

Fecha de publicación:

07/07/2026

Idioma:

Inglés

*** Pendiente de traducción *** Coder allows organizations to provision remote development environments via Terraform. In versions prior tp 2.24.5, 2.29.13, 2.30.8, 2.31.12, 2.32.2, and 2.33.3, `azureidentity.Validate()` verifies that the PKCS#7 signer certificate chains to a trusted Azure CA but never verifies the PKCS#7 signature itself. An attacker can embed a legitimate Azure certificate alongside arbitrary content e.g. `{"vmId":""}` and the forged `vmId` will be accepted returning the victim workspace agent&#39;s session token. No authentication is required. The attacker only needs to know a target VM&#39;s `vmId` which is a `UUIDv4`. That&#39;s a practical limitation which would typically require prior access to be exploited. Versions 2.24.5, 2.29.13, 2.30.8, 2.31.12, 2.32.2, and 2.33.3 patch the issue. As a workaround, reconfigure any Azure templates to use token authentication rather than `azure-instance-identity`.

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

07/07/2026

CVE-2026-49033

Fecha de publicación:

07/07/2026

Idioma:

Inglés

*** Pendiente de traducción *** The application contains a stack-based buffer overflow vulnerability that can be exploited by an attacker to execute arbitrary code.

Gravedad CVSS v4.0: ALTA

Última modificación:

07/07/2026

CVE-2026-49229

Fecha de publicación:

07/07/2026

Idioma:

Inglés

*** Pendiente de traducción *** Actual is a local-first personal finance app. Prior to 26.6.0, in OpenID multi-user mode, disabling a user only blocks future OpenID login for that identity, while existing Actual session tokens for the disabled user remain valid. The shared session validation path accepts any existing token row that has not expired without checking whether the associated user is still enabled, allowing a disabled user to continue calling authenticated server endpoints. This issue is fixed in version 26.6.0.

Gravedad CVSS v3.1: ALTA

Última modificación:

07/07/2026

CVE-2026-50179

Fecha de publicación:

07/07/2026

Idioma:

Inglés

*** Pendiente de traducción *** Actual is a local-first personal finance tool. Prior to 26.6.0, exportToCSV and exportQueryToCSV in packages/loot-core/src/server/transactions/export/export-to-csv.ts pass user-controlled Payee, Notes, Account, and Category strings to csv-stringify with no cast callback and no formula-prefix neutralization. Strings that begin with equals sign, plus, minus, at sign, tab, or carriage return survive verbatim into the exported CSV, and when a recipient opens the file in Excel, LibreOffice Calc, or Google Sheets, the strings are interpreted as formulas, enabling transaction data exfiltration and attacker-chosen spreadsheet display values. This issue is fixed in version 26.6.0.

Gravedad CVSS v3.1: MEDIA

Última modificación:

07/07/2026

CVE-2026-42953

Fecha de publicación:

07/07/2026

Idioma:

Inglés

*** Pendiente de traducción *** The application contains an out-of-bounds write vulnerability that can be exploited by an attacker to cause the program to write data past the end of an allocated memory buffer. This can lead to arbitrary code execution.

Gravedad CVSS v4.0: ALTA

Última modificación:

07/07/2026

CVE-2026-28378

Fecha de publicación:

07/07/2026

Idioma:

Inglés

*** Pendiente de traducción *** The public dashboard deletion endpoint does not enforce organization isolation, allowing an Org Admin in one organization to delete public dashboards belonging to a different organization by supplying the target dashboard&#39;s identifiers.

Gravedad CVSS v3.1: BAJA

Última modificación:

07/07/2026

CVE-2026-58473

Fecha de publicación:

07/07/2026

Idioma:

Inglés

*** Pendiente de traducción *** Cognee before 1.2.0 contains an improper access control vulnerability that allows unauthenticated attackers to overwrite the global LLM provider configuration by self-registering an account and calling the settings endpoint, which performs no admin or superuser check. Attackers can redirect all LLM operations instance-wide to an attacker-controlled endpoint by exploiting the process-wide singleton configuration cache, enabling exfiltration of prompts, uploaded documents, extracted entities, and knowledge graph content from all users.

Gravedad CVSS v4.0: CRÍTICA

Última modificación:

07/07/2026

Suscribirse a Vulnerabilidades