Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las últimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las últimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las últimas vulnerabilidades incorporadas al repositorio.

CVE-2026-77144

Fecha de publicación:

25/08/2026

Idioma:

Inglés

*** Pendiente de traducción *** The frontend management plugin attributed a newly created event to the submitting user&#39;s organizer record only when the request supplied no organizer of its own. The accompanying permission check confirmed only that the submitting user held any organizer role. A user with frontend event management access could therefore create an event that is attributed to another organizer.

Gravedad CVSS v4.0: ALTA

Última modificación:

26/08/2026

CVE-2026-77145

Fecha de publicación:

25/08/2026

Idioma:

Inglés

*** Pendiente de traducción *** The permission check for the frontend management update flow verified a different event than the one the request went on to modify. A user with frontend event management access could therefore modify events belonging to other organizers.

Gravedad CVSS v4.0: ALTA

Última modificación:

26/08/2026

CVE-2026-77146

Fecha de publicación:

25/08/2026

Idioma:

Inglés

*** Pendiente de traducción *** The extension&#39;s invitation controller fails to stop processing after redirecting on invalid input (missing hash, non-existent, disabled, or deleted users), allowing an unauthenticated attacker to set a new password for and re-enable an arbitrary existing frontend user account. This vulnerability is only present in the 8.x versions of the extension.

Gravedad CVSS v4.0: ALTA

Última modificación:

26/08/2026

CVE-2026-77135

Fecha de publicación:

25/08/2026

Idioma:

Inglés

*** Pendiente de traducción *** The extension&#39;s user detail view fails to verify that a requested user record matches the configured or logged-in target, allowing any visitor with access to the Detail or List plugin to retrieve another frontend user&#39;s profile data, including name, email, date of birth and address, by supplying an arbitrary user ID.

Gravedad CVSS v4.0: ALTA

Última modificación:

26/08/2026

CVE-2026-77136

Fecha de publicación:

25/08/2026

Idioma:

Inglés

*** Pendiente de traducción *** The extension passes the raw value of a form field configured as "This field contains the name of the sender" directly into a Fluid View as template source, without any sanitization, and renders it. An anonymous, unauthenticated user can submit Fluid template syntax in that field to execute arbitrary Fluid ViewHelpers leading to disclosure of server configuration, environment variables and application source, and potentially remote code execution. Exploitation requires only that a form field is configured as the sender_name field, a common and default-adjacent Powermail configuration. No authentication or user interaction beyond a normal form submission is required. This vulnerability is reported to be actively exploited in the wild.

Gravedad CVSS v4.0: CRÍTICA

Última modificación:

26/08/2026

CVE-2026-77137

Fecha de publicación:

25/08/2026

Idioma:

Inglés

*** Pendiente de traducción *** The extension fails to properly sanitize user input before using it in a database query. As a result, a low-privileged backend user can inject arbitrary SQL through a URL parameter within the "Forms Export" backend module. Exploitation requires a low-privileged backend user and read access to the "Forms Export" Backend module.

Gravedad CVSS v4.0: ALTA

Última modificación:

26/08/2026

CVE-2026-77138

Fecha de publicación:

25/08/2026

Idioma:

Inglés

*** Pendiente de traducción *** The extension fails to safely process untrusted client input of an attacker-controlled cookie directly to PHP&#39;s unserialize(). A remote, unauthenticated attacker can supply a crafted serialized payload to trigger PHP Object Injection, leading to Remote Code Execution on the TYPO3 server.

Gravedad CVSS v4.0: CRÍTICA

Última modificación:

26/08/2026

CVE-2026-77139

Fecha de publicación:

25/08/2026

Idioma:

Inglés

*** Pendiente de traducción *** The extension fails to validate a client-supplied template element key before using it to build file paths for saving and deleting Mask template files. An authenticated backend user with access to the Mask module can supply a key containing path traversal sequences to create or delete .html files outside the configured template directory.

Gravedad CVSS v4.0: MEDIA

Última modificación:

26/08/2026

CVE-2026-77140

Fecha de publicación:

25/08/2026

Idioma:

Inglés

*** Pendiente de traducción *** The extension validates the HMAC of a frontend employee edit link only in the action that renders the edit form, not in the action that persists the change. An unauthenticated visitor who knows the UID of a visible employee record can send a direct POST request to the update action and overwrite that record without a valid edit link or any ownership check.

Gravedad CVSS v4.0: ALTA

Última modificación:

26/08/2026

CVE-2026-77141

Fecha de publicación:

25/08/2026

Idioma:

Inglés

*** Pendiente de traducción *** The extension resolves the targeted club record from a user-supplied request argument in its frontend edit, update, and activate actions, but performs no ownership check in any of them. An unauthenticated visitor who knows the UID of a club record can send a direct request to the update or activate action and overwrite that record, or publish one still awaiting approval, without owning it.

Gravedad CVSS v4.0: ALTA

Última modificación:

26/08/2026

CVE-2026-77128

Fecha de publicación:

25/08/2026

Idioma:

Inglés

*** Pendiente de traducción *** The extension fails to enforce enable-field restrictions on a repository query parameter. An unauthenticated remote user can pass a demand-override parameter to view hidden or time-restricted events, unless the disableOverrideDemand plugin setting is active. Exploitation of this issue requires only that disableOverrideDemand is not enabled.

Gravedad CVSS v4.0: MEDIA

Última modificación:

26/08/2026

CVE-2026-77129

Fecha de publicación:

25/08/2026

Idioma:

Inglés

*** Pendiente de traducción *** The extension passes an editor-configurable email subject string directly into a Fluid template source without restriction. A backend user with edit access to the event plugin or Backend Module can supply Fluid ViewHelper syntax in this field to disclose sensitive data or execute TypoScript content objects. Exploitation of this issue requires an authenticated backend account with edit access to the event registration plugin or backend module.

Gravedad CVSS v4.0: ALTA

Última modificación:

26/08/2026

Suscribirse a Vulnerabilidades