Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

017 - Ir a la línea de ayuda en Ciberseguridad    Ir a Agenda     Ir a Sala de prensa     Ir a suscripción de boletines

Ir al buscador

Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las últimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las últimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las últimas vulnerabilidades incorporadas al repositorio.

CVE-2026-58043
Fecha de publicación:
30/07/2026
Idioma:
Inglés
*** Pendiente de traducción *** A flaw in Node.js Permission Model enforcement can over-grant filesystem access across radix-tree prefix boundaries.<br /> <br /> Under `--permission`, an attacker who is granted access to one path can abuse boundary handling to read from or write to paths outside the intended filesystem allowlist.<br /> <br /> This vulnerability affects Node.js **main**, **22.x**, **24.x**, and **26.x**.
Gravedad CVSS v3.1: ALTA
Última modificación:
30/07/2026

CVE-2026-58046
Fecha de publicación:
30/07/2026
Idioma:
Inglés
*** Pendiente de traducción *** Improper neutralization in the Plesk XML-RPC API allows a remote authenticated low-privileged user to perform SQL injection and read arbitrary data from the Plesk database, leading to full compromise of the panel.
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
30/07/2026

CVE-2026-58066
Fecha de publicación:
30/07/2026
Idioma:
Inglés
*** Pendiente de traducción *** Rocket.Chat&amp;#39;s SAML SSO before versions 8.7.0, 8.6.1, 8.5.2, 8.4.5, 8.3.7, 8.2.7, 8.1.7, 8.0.8, and 7.10.14 verified XML signatures but did not bind the validated signature to samlp:Response / saml:Assertion. An attacker could submit a wrapped document carrying forged identity attributes alongside any valid signature made by the trusted IdP certificate, and log in as an arbitrary user.
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
30/07/2026

CVE-2026-59326
Fecha de publicación:
30/07/2026
Idioma:
Inglés
*** Pendiente de traducción *** The Spring Boot language server logs the raw value of the https_proxy/HTTPS_PROXY/http_proxy/HTTP_PROXY environment variable at INFO level whenever it creates an outbound HTTP client and no explicit http.proxy workspace setting is configured. Corporate proxy URLs frequently embed Basic-auth credentials in the form http://user:pass@proxy:8080, and the language server writes this value to its log file without any redaction. Since language server log files are often attached to bug reports or are readable by other local users/processes, this can result in disclosure of proxy credentials.<br /> Affected Spring Products and Versions:<br /> Spring Tools for Eclipse: 5.2.0 and earlier<br /> Spring Tools for VSCode / Cursor / Theia: 2.2.0 and earlier
Gravedad CVSS v3.1: BAJA
Última modificación:
30/07/2026

CVE-2026-59327
Fecha de publicación:
30/07/2026
Idioma:
Inglés
*** Pendiente de traducción *** Spring Tools for Eclipse stores the Spring Boot DevTools remote secret (spring.devtools.remote.secret) as a plain string attribute on the "Spring Boot DevTools Client" launch configuration. Eclipse persists launch configuration attributes as cleartext XML, either to workspace metadata or, if the user marks the configuration as a shared file, directly into the project tree where it can be committed to version control. This secret is the sole credential protecting the DevTools remote restart/reload endpoint, which accepts and executes arbitrary class bytes on the target application. Anyone able to read the .launch file (via filesystem access, a workspace backup, or a shared VCS repository) can extract the secret and use it to achieve remote code execution against the associated Spring Boot application.<br /> Affected Spring Products and Versions:<br /> Spring Tools for Eclipse: 5.2.0 and earlier
Gravedad CVSS v3.1: MEDIA
Última modificación:
30/07/2026

CVE-2026-59328
Fecha de publicación:
30/07/2026
Idioma:
Inglés
*** Pendiente de traducción *** Spring Tools for Eclipse renders Spring Boot starter wizard dependency tooltips in a native embedded browser (SWT Browser) with JavaScript enabled. Using untrusted and compromised Initializr endpoints for the Spring Boot starter wizard can result in arbitrary script execution inside the embedded browser when a developer hovers a dependency checkbox in the New Spring Starter Project wizard. Impact is limited to in-IDE UI spoofing and outbound network beaconing rather than full code execution.<br /> Affected Spring Products and Versions:<br /> Spring Tools for Eclipse: 5.2.0 and earlier
Gravedad CVSS v3.1: MEDIA
Última modificación:
30/07/2026

CVE-2026-56847
Fecha de publicación:
30/07/2026
Idioma:
Inglés
*** Pendiente de traducción *** A flaw in Node.js Permission Model enforcement allows `trace_events.createTracing().enable()` Writes Trace Logs Outside `--allow-fs-write`.<br /> <br /> This can lead to confidentiality impact or bypass of the intended security boundary under affected configurations.<br /> <br /> This vulnerability affects Node.js **22.x**, **24.x**, and **26.x**.
Gravedad CVSS v3.1: BAJA
Última modificación:
30/07/2026

CVE-2026-47858
Fecha de publicación:
30/07/2026
Idioma:
Inglés
*** Pendiente de traducción *** Starting Spring Boot applications in the Spring Tools with the live information mode enabled makes the running application vulnerable against JMX-based remote code execution.<br /> Affected Spring Products and Versions:<br /> Spring Tools for Eclipse: 5.2.0 and earlier<br /> Spring Tools for VSCode / Cursor / Theia: 2.2.0 and earlier
Gravedad CVSS v3.1: ALTA
Última modificación:
30/07/2026

CVE-2026-47873
Fecha de publicación:
30/07/2026
Idioma:
Inglés
*** Pendiente de traducción *** The Boot Dashboard Docker integration in Spring Tools publishes container control ports on all of the host&amp;#39;s network interfaces (0.0.0.0) rather than restricting them to loopback.<br /> Affected Spring Products and Versions:<br /> Spring Tools for Eclipse: 5.2.0 and earlier
Gravedad CVSS v3.1: ALTA
Última modificación:
30/07/2026

CVE-2026-47882
Fecha de publicación:
30/07/2026
Idioma:
Inglés
*** Pendiente de traducción *** When enabling Spring Boot DevTools support for a remote application target (for example a Docker container or Cloud Foundry app) from the Spring Tools Boot Dashboard, Spring Tools generates a shared secret that authenticates DevTools remote-restart uploads to the deployed application. This secret was generated using a non-cryptographic pseudo-random number generator rather than a cryptographically secure source of randomness.<br /> Affected Spring Products and Versions:<br /> Spring Tools for Eclipse: 5.2.0 and earlier
Gravedad CVSS v3.1: ALTA
Última modificación:
30/07/2026

CVE-2026-16530
Fecha de publicación:
30/07/2026
Idioma:
Inglés
*** Pendiente de traducción *** A flaw was found in the PCP (Performance Co-Pilot) `pmproxy` service. A remote attacker can exploit a vulnerability in the `pmLogLoadInDom()` function by sending a specially crafted request. This bypasses a critical bounds check, which can lead to the `pmproxy` service crashing, causing a Denial of Service (DoS). Additionally, this flaw may enable the leakage of sensitive information from the system&amp;#39;s memory.
Gravedad CVSS v3.1: MEDIA
Última modificación:
30/07/2026

CVE-2026-16531
Fecha de publicación:
30/07/2026
Idioma:
Inglés
*** Pendiente de traducción *** An unauthenticated remote attacker can exploit a path traversal vulnerability in the PCP pmproxy logger servlet using a crafted hostname. This allows arbitrary file and directory creation, potentially leading to a denial of service.
Gravedad CVSS v3.1: MEDIA
Última modificación:
30/07/2026
Suscribirse a Vulnerabilidades