Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las últimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las últimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las últimas vulnerabilidades incorporadas al repositorio.

CVE-2026-16753

Fecha de publicación:
13/10/2026
Idioma:
Inglés
*** Pendiente de traducción *** Incorrect authorization in the library-query execution endpoint in Lowcoder version, up to and including 2.4.10, allows an authenticated administrator or developer in one organization to execute a library query belonging to another organization via a crafted request containing the victim library-query identifier.
Gravedad: Pendiente de análisis
Última modificación:
13/10/2026

CVE-2026-110005

Fecha de publicación:
13/10/2026
Idioma:
Inglés
*** Pendiente de traducción *** The `periphery` agent's container-management functionality of Komodo version 2.2.0 contains an OS command injection vulnerability. An authenticated low-privileged user with `Execute`, or `Read` plus `Logs`, permission on a managed server can supply shell metacharacters in a container name processed by the `DestroyContainer` or `SearchContainerLog` operations. The container name is interpolated without escaping into a command executed using `sh -c`, allowing arbitrary commands to execute as root on the managed host. This permits a user without Komodo's `Terminal` permission to obtain unrestricted host-level command execution.
Gravedad: Pendiente de análisis
Última modificación:
13/10/2026

CVE-2026-104252

Fecha de publicación:
13/10/2026
Idioma:
Inglés
*** Pendiente de traducción *** Vitess is a database clustering system for horizontal scaling of MySQL. Prior to 23.0.5 and 24.0.2, twopczHandler in go/vt/vttablet/tabletserver/twopcz.go writes the Action and dtid form values from the vttablet and vtcombo /twopcz HTTP debug endpoint into a text/html response without HTML escaping. Under the default allow-all ACL policy, a remote unauthenticated attacker can send an operator a crafted request that executes script in the operator's browser after the request is opened. The script runs with the vttablet debug origin and can read same-origin diagnostic endpoints that expose query, transaction, environment, variable, or profiling data available in that deployment. This issue is fixed in versions 23.0.5 and 24.0.2.
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
13/10/2026

CVE-2026-102855

Fecha de publicación:
13/10/2026
Idioma:
Inglés
*** Pendiente de traducción *** Heap-based buffer overflow in Microsoft Office Visio allows an unauthorized attacker to execute code over a network.
Gravedad CVSS v3.1: ALTA
Última modificación:
13/10/2026

CVE-2026-102234

Fecha de publicación:
13/10/2026
Idioma:
Inglés
*** Pendiente de traducción *** Reliance on untrusted inputs in a security decision in Visual Studio Code allows an unauthorized attacker to bypass a security feature over a network.
Gravedad CVSS v3.1: ALTA
Última modificación:
13/10/2026

CVE-2026-102235

Fecha de publicación:
13/10/2026
Idioma:
Inglés
*** Pendiente de traducción *** Improper encoding or escaping of output in Visual Studio Code allows an unauthorized attacker to execute code over a network.
Gravedad CVSS v3.1: ALTA
Última modificación:
13/10/2026

CVE-2026-102238

Fecha de publicación:
13/10/2026
Idioma:
Inglés
*** Pendiente de traducción *** Improper limitation of a pathname to a restricted directory ('path traversal') in Visual Studio Code allows an unauthorized attacker to execute code over a network.
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
13/10/2026

CVE-2026-97816

Fecha de publicación:
13/10/2026
Idioma:
Inglés
*** Pendiente de traducción *** Use after free in OpenSSH for Windows allows an unauthorized attacker to execute code over a network.
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
13/10/2026

CVE-2026-97817

Fecha de publicación:
13/10/2026
Idioma:
Inglés
*** Pendiente de traducción *** Heap-based buffer overflow in DNS Server allows an authorized attacker to disclose information over a network.
Gravedad CVSS v3.1: MEDIA
Última modificación:
13/10/2026

CVE-2026-97819

Fecha de publicación:
13/10/2026
Idioma:
Inglés
*** Pendiente de traducción *** Out-of-bounds read in DNS Server allows an authorized attacker to disclose information over a network.
Gravedad CVSS v3.1: MEDIA
Última modificación:
13/10/2026

CVE-2026-97809

Fecha de publicación:
13/10/2026
Idioma:
Inglés
*** Pendiente de traducción *** Use after free in Windows Broadcast DVR User Service allows an authorized attacker to elevate privileges locally.
Gravedad CVSS v3.1: ALTA
Última modificación:
13/10/2026

CVE-2026-97810

Fecha de publicación:
13/10/2026
Idioma:
Inglés
*** Pendiente de traducción *** Heap-based buffer overflow in Windows Container Isolation FS Filter Driver (unionfs.sys) allows an authorized attacker to elevate privileges locally.
Gravedad CVSS v3.1: ALTA
Última modificación:
13/10/2026