Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las últimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las últimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las últimas vulnerabilidades incorporadas al repositorio.

CVE-2026-44006

Fecha de publicación:

13/05/2026

Idioma:

Inglés

*** Pendiente de traducción *** vm2 is an open source vm/sandbox for Node.js. Prior to 3.11.0, It is possible to reach BaseHandler.getPrototypeOf, which can be used to get arbitrary prototypes. This vulnerability is fixed in 3.11.0.

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

14/05/2026

CVE-2026-44004

Fecha de publicación:

13/05/2026

Idioma:

Inglés

*** Pendiente de traducción *** vm2 is an open source vm/sandbox for Node.js. Prior to 3.11.0, sandboxed code can call Buffer.alloc() with an arbitrary size to allocate memory directly on the host heap. Because Buffer.alloc is a synchronous C++ native call, vm2&#39;s timeout option cannot interrupt it. A single request can exhaust host memory and crash the process with a FATAL ERROR: Reached heap limit. This vulnerability is fixed in 3.11.0.

Gravedad CVSS v3.1: ALTA

Última modificación:

14/05/2026

CVE-2026-44005

Fecha de publicación:

13/05/2026

Idioma:

Inglés

*** Pendiente de traducción *** vm2 is an open source vm/sandbox for Node.js. From 3.9.6 to 3.10.5, vm2&#39;s bridge exposes mutable proxies for real host-realm intrinsic prototypes and then forwards sandbox writes into the underlying host objects with otherReflectSet() and otherReflectDefineProperty(), which lets attacker-controlled JavaScript running in a default VM or inherited NodeVM mutate shared host Object.prototype, Array.prototype, and Function.prototype from inside the sandbox This vulnerability is fixed in 3.11.0.

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

14/05/2026

CVE-2026-44578

Fecha de publicación:

13/05/2026

Idioma:

Inglés

*** Pendiente de traducción *** Next.js is a React framework for building full-stack web applications. From 13.4.13 to before 15.5.16 and 16.2.5, self-hosted applications using the built-in Node.js server can be vulnerable to server-side request forgery through crafted WebSocket upgrade requests. An attacker can cause the server to proxy requests to arbitrary internal or external destinations, which may expose internal services or cloud metadata endpoints. Vercel-hosted deployments are not affected. This vulnerability is fixed in 15.5.16 and 16.2.5.

Gravedad CVSS v3.1: ALTA

Última modificación:

14/05/2026

CVE-2026-44003

Fecha de publicación:

13/05/2026

Idioma:

Inglés

*** Pendiente de traducción *** vm2 is an open source vm/sandbox for Node.js. Prior to 3.11.0, vm2&#39;s code transformer has a performance optimization that skips AST analysis when the code does not contain catch, import, or async keywords. This fast-path bypass allows sandboxed code to directly access the internal VM2_INTERNAL_STATE_DO_NOT_USE_OR_PROGRAM_WILL_FAIL variable, which exposes internal security functions (handleException, wrapWith, import). This vulnerability is fixed in 3.11.0.

Gravedad CVSS v3.1: MEDIA

Última modificación:

14/05/2026

CVE-2026-44002

Fecha de publicación:

13/05/2026

Idioma:

Inglés

*** Pendiente de traducción *** vm2 is an open source vm/sandbox for Node.js. Prior to 3.11.0, vm2&#39;s CallSite wrapper class (intended as a safe wrapper for V8&#39;s native CallSite) blocks getThis() and getFunction() to prevent host object leakage, but allows getFileName() to return unsanitized host absolute paths. Any sandboxed code can extract the full directory structure, library paths, and framework versions of the host server. This vulnerability is fixed in 3.11.0.

Gravedad CVSS v3.1: MEDIA

Última modificación:

14/05/2026

CVE-2026-44000

Fecha de publicación:

13/05/2026

Idioma:

Inglés

*** Pendiente de traducción *** vm2 is an open source vm/sandbox for Node.js. Prior to 3.11.0, a sandbox boundary violation in vm2 allows host object identity to cross into the sandbox through host Promise resolution. When a host-side Promise that resolves to a host object is exposed to the sandbox, the value delivered to the sandbox .then() callback preserves host identity. This allows the sandbox to interact with the host object directly, including performing identity checks using host-side WeakMap and mutating host object state from inside the sandbox. This behavior occurs because the Promise fulfillment wrapper uses ensureThis() instead of the stronger cross-realm conversion path (from() / proxy wrapping). If no prototype mapping is found, ensureThis() returns the original object. As a result, objects resolved by host Promises can cross the sandbox boundary without proper isolation. This vulnerability is fixed in 3.11.0.

Gravedad CVSS v3.1: MEDIA

Última modificación:

14/05/2026

CVE-2026-43998

Fecha de publicación:

13/05/2026

Idioma:

Inglés

*** Pendiente de traducción *** vm2 is an open source vm/sandbox for Node.js. In 3.10.5, NodeVM&#39;s require.root path restriction can be bypassed using filesystem symlinks, allowing sandboxed code to load modules from outside the allowed root directory in host context. Because path validation uses path.resolve() (which does not dereference symlinks) but module loading uses Node&#39;s native require() (which does), an attacker can load arbitrary host-realm modules and achieve remote code execution. This vulnerability is fixed in 3.11.0.

Gravedad CVSS v3.1: ALTA

Última modificación:

14/05/2026

CVE-2026-43997

Fecha de publicación:

13/05/2026

Idioma:

Inglés

*** Pendiente de traducción *** vm2 is an open source vm/sandbox for Node.js. Prior to 3.11.0, it is possible to obtain the host Object. There are various ways to use the host Object, to escape the sandbox, one example would be using HostObject.getOwnPropertySymbols to obtain Symbol(nodejs.util.inspect.custom). This vulnerability is fixed in 3.11.0.

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

14/05/2026

CVE-2026-43999

Fecha de publicación:

13/05/2026

Idioma:

Inglés

*** Pendiente de traducción *** vm2 is an open source vm/sandbox for Node.js. Prior to 3.11.0, NodeVM&#39;s builtin allowlist can be bypassed when the module builtin is allowed (including via the &#39;*&#39; wildcard). The module builtin exposes Node&#39;s Module._load(), which loads any module by name directly in the host context, completely bypassing vm2&#39;s builtin restriction. This allows sandboxed code to load excluded builtins like child_process and achieve remote code execution. This vulnerability is fixed in 3.11.0.

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

14/05/2026

CVE-2026-44001

Fecha de publicación:

13/05/2026

Idioma:

Inglés

*** Pendiente de traducción *** vm2 is an open source vm/sandbox for Node.js. Prior to 3.11.0, a sandbox escape vulnerability in vm2 v3.10.5 allows any sandboxed code to crash the host Node.js process via a single Promise constructor that triggers an unhandled rejection propagating to the host. The fix for CVE-2026-22709 (v3.10.2) only sanitized the onRejected callback in .then() and .catch() overrides and did not address the executor-to-unhandledRejection path. This vulnerability is fixed in 3.11.0.

Gravedad CVSS v3.1: ALTA

Última modificación:

18/05/2026

CVE-2026-0263

Fecha de publicación:

13/05/2026

Idioma:

Inglés

*** Pendiente de traducción *** A buffer overflow vulnerability in the IKEv2 processing of Palo Alto Networks PAN-OS® software allows an unauthenticated network-based attacker to execute arbitrary code with elevated privileges on the firewall, or cause a denial of service (DoS) condition.<br /> <br /> <br /> Panorama, Cloud NGFW, and Prisma® Access are not impacted by these vulnerabilities.

Gravedad CVSS v4.0: ALTA

Última modificación:

13/05/2026

Suscribirse a Vulnerabilidades