Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las últimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las últimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las últimas vulnerabilidades incorporadas al repositorio.

CVE-2026-44580

Fecha de publicación:

13/05/2026

Idioma:

Inglés

*** Pendiente de traducción *** Next.js is a React framework for building full-stack web applications. From 13.0.0 to before 15.5.16 and 16.2.5, applications that use beforeInteractive scripts together with untrusted content can be vulnerable to cross-site scripting. In affected versions, serialized script content was not escaped safely before being embedded into the document, which could allow attacker-controlled input to break out of the intended script context and execute arbitrary JavaScript in a visitor&#39;s browser. This vulnerability is fixed in 15.5.16 and 16.2.5.

Gravedad CVSS v3.1: MEDIA

Última modificación:

14/05/2026

CVE-2026-44579

Fecha de publicación:

13/05/2026

Idioma:

Inglés

*** Pendiente de traducción *** Next.js is a React framework for building full-stack web applications. From to before 15.5.16 and 16.2.5, applications using Partial Prerendering through the Cache Components feature can be vulnerable to connection exhaustion through crafted POST requests to a server action. In affected configurations, a malicious request can trigger a request-body handling deadlock that leaves connections open for an extended period, consuming file descriptors and server capacity until legitimate users are denied service. This vulnerability is fixed in 15.5.16 and 16.2.5.

Gravedad CVSS v3.1: ALTA

Última modificación:

14/05/2026

CVE-2026-44581

Fecha de publicación:

13/05/2026

Idioma:

Inglés

*** Pendiente de traducción *** Next.js is a React framework for building full-stack web applications. From 13.4.0 to before 15.5.16 and 16.2.5, App Router applications that rely on CSP nonces can be vulnerable to stored cross-site scripting when deployed behind shared caches. In affected versions, malformed nonce values derived from request headers could be reflected into rendered HTML in an unsafe way, allowing an attacker to poison cached responses and cause script execution for later visitors. This vulnerability is fixed in 15.5.16 and 16.2.5.

Gravedad CVSS v3.1: MEDIA

Última modificación:

14/05/2026

CVE-2026-44578

Fecha de publicación:

13/05/2026

Idioma:

Inglés

*** Pendiente de traducción *** Next.js is a React framework for building full-stack web applications. From 13.4.13 to before 15.5.16 and 16.2.5, self-hosted applications using the built-in Node.js server can be vulnerable to server-side request forgery through crafted WebSocket upgrade requests. An attacker can cause the server to proxy requests to arbitrary internal or external destinations, which may expose internal services or cloud metadata endpoints. Vercel-hosted deployments are not affected. This vulnerability is fixed in 15.5.16 and 16.2.5.

Gravedad CVSS v3.1: ALTA

Última modificación:

14/05/2026

CVE-2026-44009

Fecha de publicación:

13/05/2026

Idioma:

Inglés

*** Pendiente de traducción *** vm2 is an open source vm/sandbox for Node.js. Prior to 3.11.2, This vulnerability is fixed in 3.11.2.

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

14/05/2026

CVE-2026-44008

Fecha de publicación:

13/05/2026

Idioma:

Inglés

*** Pendiente de traducción *** vm2 is an open source vm/sandbox for Node.js. Prior to 3.11.2, the new method neutralizeArraySpeciesBatch works with objects from the other side but can call into this side via getter on the array prototype exposing objects of the wrong side into the sandbox. This can be used to get host objects and get the host Function object. This allows attackers to write code which can escape from the VM2 sandbox and execute arbitrary commands on the host system. This vulnerability is fixed in 3.11.2.

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

14/05/2026

CVE-2026-44007

Fecha de publicación:

13/05/2026

Idioma:

Inglés

*** Pendiente de traducción *** vm2 is an open source vm/sandbox for Node.js. Prior to 3.11.1, when a NodeVM is created with nesting: true, sandbox code can unconditionally require(&#39;vm2&#39;) regardless of the outer VM&#39;s require configuration — including require: false. With access to vm2, the sandbox constructs a new inner NodeVM with its own unrestricted require settings and executes arbitrary OS commands on the host. Any application that runs untrusted code inside a NodeVM with nesting: true is fully compromised. This vulnerability is fixed in 3.11.1.

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

14/05/2026

CVE-2026-44006

Fecha de publicación:

13/05/2026

Idioma:

Inglés

*** Pendiente de traducción *** vm2 is an open source vm/sandbox for Node.js. Prior to 3.11.0, It is possible to reach BaseHandler.getPrototypeOf, which can be used to get arbitrary prototypes. This vulnerability is fixed in 3.11.0.

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

14/05/2026

CVE-2026-44004

Fecha de publicación:

13/05/2026

Idioma:

Inglés

*** Pendiente de traducción *** vm2 is an open source vm/sandbox for Node.js. Prior to 3.11.0, sandboxed code can call Buffer.alloc() with an arbitrary size to allocate memory directly on the host heap. Because Buffer.alloc is a synchronous C++ native call, vm2&#39;s timeout option cannot interrupt it. A single request can exhaust host memory and crash the process with a FATAL ERROR: Reached heap limit. This vulnerability is fixed in 3.11.0.

Gravedad CVSS v3.1: ALTA

Última modificación:

14/05/2026

CVE-2026-44005

Fecha de publicación:

13/05/2026

Idioma:

Inglés

*** Pendiente de traducción *** vm2 is an open source vm/sandbox for Node.js. From 3.9.6 to 3.10.5, vm2&#39;s bridge exposes mutable proxies for real host-realm intrinsic prototypes and then forwards sandbox writes into the underlying host objects with otherReflectSet() and otherReflectDefineProperty(), which lets attacker-controlled JavaScript running in a default VM or inherited NodeVM mutate shared host Object.prototype, Array.prototype, and Function.prototype from inside the sandbox This vulnerability is fixed in 3.11.0.

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

14/05/2026

CVE-2026-44001

Fecha de publicación:

13/05/2026

Idioma:

Inglés

*** Pendiente de traducción *** vm2 is an open source vm/sandbox for Node.js. Prior to 3.11.0, a sandbox escape vulnerability in vm2 v3.10.5 allows any sandboxed code to crash the host Node.js process via a single Promise constructor that triggers an unhandled rejection propagating to the host. The fix for CVE-2026-22709 (v3.10.2) only sanitized the onRejected callback in .then() and .catch() overrides and did not address the executor-to-unhandledRejection path. This vulnerability is fixed in 3.11.0.

Gravedad CVSS v3.1: ALTA

Última modificación:

18/05/2026

CVE-2026-44003

Fecha de publicación:

13/05/2026

Idioma:

Inglés

*** Pendiente de traducción *** vm2 is an open source vm/sandbox for Node.js. Prior to 3.11.0, vm2&#39;s code transformer has a performance optimization that skips AST analysis when the code does not contain catch, import, or async keywords. This fast-path bypass allows sandboxed code to directly access the internal VM2_INTERNAL_STATE_DO_NOT_USE_OR_PROGRAM_WILL_FAIL variable, which exposes internal security functions (handleException, wrapWith, import). This vulnerability is fixed in 3.11.0.

Gravedad CVSS v3.1: MEDIA

Última modificación:

14/05/2026

Suscribirse a Vulnerabilidades