Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las últimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las últimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las últimas vulnerabilidades incorporadas al repositorio.

CVE-2026-38470

Fecha de publicación:

25/08/2026

Idioma:

Inglés

*** Pendiente de traducción *** A Broken access control vulnerability in the API user endpoint in GazellePW (GazellePosterWall) commit 86c4bedf727691b5a97af42a4864869d18446449 allows unprivileged, authenticated users to enable or disable arbitrary user accounts via the req=disable or req=enable action using a normal user-created API token.

Gravedad: Pendiente de análisis

Última modificación:

25/08/2026

CVE-2026-38472

Fecha de publicación:

25/08/2026

Idioma:

Inglés

*** Pendiente de traducción *** A Stored XSS vulnerability in forum reward comments in GazellePW (GazellePosterWall) commit 86c4bedf727691b5a97af42a4864869d18446449 allows remote attackers to inject arbitrary JavaScript via the c parameter in /forums.php?action=ajax_get_jf which is later rendered in the data-tooltip attribute in /forums.php?action=viewthread and interpreted as HTML by the Tooltipster configuration.

Gravedad: Pendiente de análisis

Última modificación:

25/08/2026

CVE-2026-38473

Fecha de publicación:

25/08/2026

Idioma:

Inglés

*** Pendiente de traducción *** A Stored XSS vulnerability in the subtitle deletion flow in GazellePW (GazellePosterWall) commit 86c4bedf727691b5a97af42a4864869d18446449 allows remote authenticated users to inject arbitrary JavaScript via a crafted subtitle filename, which is stored during upload and later rendered in /subtitles.php?action=delete.

Gravedad: Pendiente de análisis

Última modificación:

25/08/2026

CVE-2026-32637

Fecha de publicación:

25/08/2026

Idioma:

Inglés

*** Pendiente de traducción *** Velero is an open source tool for backing up, restoring, and migrating Kubernetes cluster resources and persistent volumes. Prior to 1.18.1, an attacker who compromises the backup object-storage backend can upload a malicious backup tarball containing parent-directory paths that escape the extraction directory during restore and overwrite sensitive files in the Velero pod filesystem. This issue is fixed in version 1.18.1.

Gravedad CVSS v4.0: MEDIA

Última modificación:

25/08/2026

CVE-2026-80104

Fecha de publicación:

25/08/2026

Idioma:

Inglés

*** Pendiente de traducción *** DB-GPT builds the destination path for an uploaded skill from the multipart filename without constraining it to the upload directory. skill_upload in packages/dbgpt-app/src/dbgpt_app/openapi/api_v1/agentic_data_api.py takes file.filename as given and writes the request body to upload_dir / filename. A path composed with that operator discards the left operand when the right one is absolute and follows parent references otherwise, so a filename such as ../../../tmp/x or /tmp/x resolves outside the intended directory; nothing canonicalises the result, checks that it remains under the upload root, or prevents a .py suffix. The route&#39;s only dependency is get_user_from_headers in dbgpt_serve/utils/auth.py, which returns a request carrying the admin role whether or not a user_id header is supplied, so the endpoint is reachable without credentials. A remote attacker holding no account can therefore write attacker-controlled bytes to any path the server process can write, place a new Python module inside the application package or replace one the application already imports, and obtain code execution in the server process when that module is next imported.

Gravedad CVSS v4.0: CRÍTICA

Última modificación:

25/08/2026

CVE-2026-80101

Fecha de publicación:

25/08/2026

Idioma:

Inglés

*** Pendiente de traducción *** A flaw was found in the file-xwd plugin in GIMP. When processing a specially crafted XWD image file, the plugin validates the image width and bytes-per-line parameters independently rather than ensuring their combined values are consistent with the allocated buffer size. This incorrect validation leads to improper bounds checking, causing a heap out-of-bounds read. This issue can result in an application crash, leading to a denial of service, or a limited information disclosure of heap memory contents into the produced image.

Gravedad CVSS v3.1: MEDIA

Última modificación:

26/08/2026

CVE-2026-79792

Fecha de publicación:

25/08/2026

Idioma:

Inglés

*** Pendiente de traducción *** A flaw has been found in zackees transcribe-anything up to 4.1.0. Affected is the function ytdlp_download of the file src/transcribe_anything/ytldp_download.py of the component Yt-dlp Download. This manipulation of the argument url causes os command injection. The attack may be initiated remotely. The attack&#39;s complexity is rated as high. The exploitability is told to be difficult. The exploit has been published and may be used. The project was informed of the problem early through an issue report but has not responded yet.

Gravedad CVSS v4.0: BAJA

Última modificación:

26/08/2026

CVE-2026-79793

Fecha de publicación:

25/08/2026

Idioma:

Inglés

*** Pendiente de traducción *** A vulnerability has been found in code-projects Online Shopping System 1.0. Affected by this vulnerability is an unknown functionality of the file /admin/sumit_form.php. Such manipulation of the argument Success leads to cross site scripting. The attack may be launched remotely. The exploit has been disclosed to the public and may be used.

Gravedad CVSS v4.0: BAJA

Última modificación:

26/08/2026

CVE-2026-79290

Fecha de publicación:

25/08/2026

Idioma:

Inglés

*** Pendiente de traducción *** Use after free in Aura in Google Chrome prior to 152.0.7977.65 allowed a remote attacker to execute arbitrary code outside the sandbox via a crafted HTML page. (Chromium security severity: Critical)

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

27/08/2026

CVE-2026-79292

Fecha de publicación:

25/08/2026

Idioma:

Inglés

*** Pendiente de traducción *** Integer overflow in Chromecast in Google Chrome prior to 152.0.7977.65 allowed a remote attacker who had compromised the renderer process to potentially execute arbitrary code outside the sandbox via a crafted HTML page. (Chromium security severity: High)

Gravedad CVSS v3.1: ALTA

Última modificación:

27/08/2026

CVE-2026-79291

Fecha de publicación:

25/08/2026

Idioma:

Inglés

*** Pendiente de traducción *** Information leak in CSS in Google Chrome prior to 152.0.7977.65 allowed a remote attacker to obtain sensitive information via a crafted HTML page. (Chromium security severity: Medium)

Gravedad CVSS v3.1: MEDIA

Última modificación:

26/08/2026

CVE-2026-79293

Fecha de publicación:

25/08/2026

Idioma:

Inglés

*** Pendiente de traducción *** Information leak in Animation in Google Chrome prior to 152.0.7977.65 allowed a remote attacker to obtain sensitive information via a crafted HTML page. (Chromium security severity: Medium)

Gravedad CVSS v3.1: MEDIA

Última modificación:

26/08/2026

Suscribirse a Vulnerabilidades