Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

017 - Ir a la línea de ayuda en Ciberseguridad    Ir a Agenda     Ir a Sala de prensa     Ir a suscripción de boletines

Ir al buscador

Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las últimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las últimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las últimas vulnerabilidades incorporadas al repositorio.

CVE-2026-42490
Fecha de publicación:
18/06/2026
Idioma:
Inglés
*** Pendiente de traducción *** [This CNA information record relates to multiple CVEs; the<br /> text explains which aspects/vulnerabilities correspond to which CVE.]<br /> <br /> To create and manage guests, domctl operations are used by the control<br /> domain, a possible Xenstore domain, or by a domain controlling a<br /> particular guest. Some of these operations may not be executed in<br /> parallel, so a system-wide lock is used. The way that lock is acquired<br /> is, however, not providing any fairness. This is CVE-2026-42489.<br /> <br /> Furthermore, with XSM/Flask in use, the lock acquire will, for some<br /> operations, occur ahead of any permission checking. This is<br /> CVE-2026-42490.
Gravedad CVSS v3.1: MEDIA
Última modificación:
22/06/2026

CVE-2026-40455
Fecha de publicación:
18/06/2026
Idioma:
Inglés
*** Pendiente de traducción *** An SQL Injection vulnerability exists in LMS (LAN Management System) before commit 4cb30a7 within the "tarifflist.php" module due to insufficient sanitization of the POST "tg[]" parameter. The application directly concatenates user-supplied array values into an SQL query using "implode()", allowing authenticated attackers to perform Error-Based SQL injection and extract sensitive database information.
Gravedad CVSS v4.0: ALTA
Última modificación:
22/06/2026

CVE-2026-40456
Fecha de publicación:
18/06/2026
Idioma:
Inglés
*** Pendiente de traducción *** An OS Command Injection vulnerability exists in LMS (LAN Management System) before commit 9fcb4de due to an IP address parameter being passed to the "exec()" function without proper validation, allowing attackers to execute arbitrary operating system commands.
Gravedad CVSS v4.0: ALTA
Última modificación:
22/06/2026

CVE-2026-40457
Fecha de publicación:
18/06/2026
Idioma:
Inglés
*** Pendiente de traducción *** A Reflected Cross-Site Scripting (XSS) vulnerability exists in LMS (LAN Management System) before commit 9c5651b in the "dbrecover.php" and "netremap.php" modules where unsanitized GET parameters are directly embedded into HTML output. This allows an attacker to inject arbitrary JavaScript when an authenticated user clicks a crafted link, provided the required conditions (such as a network defined in the system) are met.
Gravedad CVSS v4.0: BAJA
Última modificación:
22/06/2026

CVE-2026-12539
Fecha de publicación:
18/06/2026
Idioma:
Inglés
*** Pendiente de traducción *** Docker Sandboxes (sbx) blocks ICMP egress with an authorizer applied only at network-creation time, and does not re-apply it to networks rebuilt from disk when the Docker daemon restarts, so a restart-surviving sandbox forwards ICMP to arbitrary hosts. A workload inside a sandbox, which the threat model treats as untrusted, can therefore defeat the documented ICMP egress block to perform network reconnaissance and exfiltrate data over an ICMP covert channel, regardless of the configured allowlist.
Gravedad CVSS v4.0: MEDIA
Última modificación:
30/06/2026

CVE-2026-12527
Fecha de publicación:
18/06/2026
Idioma:
Inglés
*** Pendiente de traducción *** A broken authorization boundary in the RTSP media delivery pipeline of Shenzhen Liandian Communication Technology LTD V380 IP Camera firmware AppFHE1_V1.0.6.020230803 enables unauthenticated network actors to bypass the device’s credential-enforced live-view workflow and directly retrieve real-time video stream data.
Gravedad CVSS v4.0: MEDIA
Última modificación:
22/06/2026

CVE-2026-11958
Fecha de publicación:
18/06/2026
Idioma:
Inglés
*** Pendiente de traducción *** Local privilege escalation by loading DLLs from a shared temporary directory in ANSSI’s DFIR-ORC, versions 10.2.7 and prior. An attacker with prior access to the system, can place a malicious DLL in C:\Windows\Temp and wait for the application to be executed. Because DFIR-ORC is extracted and executed from that location with administrative privileges, the malicious library can be loaded automatically, allowing the attacker to gain administrator privileges on the affected machine.
Gravedad CVSS v4.0: ALTA
Última modificación:
22/06/2026

CVE-2026-11717
Fecha de publicación:
18/06/2026
Idioma:
Inglés
*** Pendiente de traducción *** An authentication bypass vulnerability exists in the generic opaque token validation path (validateOpaqueToken) of googleapis/mcp-toolbox.<br /> <br /> When verifying an unparsed opaque token via an OAuth 2.0 introspection endpoint (RFC 7662), the toolbox decodes the response into an introspectResp struct where the Active field is declared as a pointer to a boolean (*bool). The code only explicitly rejects a token if the response contains a populated active field set to false (if introspectResp.Active != nil &amp;&amp; !*introspectResp.Active). If an introspection endpoint responds with a payload that completely omits the mandatory active key, the internal variable remains nil, causing the conditional check to short-circuit. As a result, Toolbox accepts authorization tokens missing the "active" field, granting access to protected tools and underlying data sources.
Gravedad CVSS v4.0: CRÍTICA
Última modificación:
22/06/2026

CVE-2026-11718
Fecha de publicación:
18/06/2026
Idioma:
Inglés
*** Pendiente de traducción *** An authentication bypass vulnerability exists in the generic opaque token validation path (validateOpaqueToken) of googleapis/mcp-toolbox.<br /> <br /> When the toolbox validates an opaque token via an OAuth 2.0 introspection endpoint (RFC 7662), it decodes the response into an introspectResp struct. However, the subsequent claim-checking logic (validateClaims) evaluates the issuer condition as if a.issuer != "" &amp;&amp; iss != "". If the external OAuth provider&amp;#39;s introspection response omits the optional iss (issuer) field completely, the variable iss defaults to an empty string. This causes the conditional block to evaluate to false and be skipped silently. Consequently, the application accepts tokens issued by unauthorized or unintended third-party identity providers.
Gravedad CVSS v4.0: CRÍTICA
Última modificación:
22/06/2026

CVE-2026-11719
Fecha de publicación:
18/06/2026
Idioma:
Inglés
*** Pendiente de traducción *** An authenticated authorization bypass vulnerability exists in MCP Toolbox for Databases due to missing scope enforcement across older protocol handlers.<br /> <br /> While the 2025-11-25 protocol version handler correctly enforces per-tool restrictions defined by scopesRequired, older supported protocol versions (2025-06-18, 2025-03-26, and 2024-11-05) omit this check. An authenticated client with low-privilege tokens (e.g., read) can bypass the intended per-tool scope restrictions and execute high-privilege tools (e.g., admin) simply by specifying an older protocol version in the MCP-Protocol-Version header, or by omitting the header entirely (which causes the server to default to the vulnerable 2024-11-05 handler).
Gravedad CVSS v4.0: ALTA
Última modificación:
22/06/2026

CVE-2026-12039
Fecha de publicación:
18/06/2026
Idioma:
Inglés
*** Pendiente de traducción *** Docker Sandboxes (sbx) enforces an HTTP/S-only egress allowlist but does not apply it to DNS resolution: the per-network embedded DNS server forwards any queried name to the host resolver whenever the network is internet-connected, without consulting the policy. A workload inside a sandbox, which the threat model treats as untrusted, can therefore encode data into DNS labels for an attacker-controlled domain and exfiltrate it through a DNS covert channel, bypassing the configured allowlist.
Gravedad CVSS v4.0: MEDIA
Última modificación:
30/06/2026

CVE-2026-8811
Fecha de publicación:
18/06/2026
Idioma:
Inglés
*** Pendiente de traducción *** SEPPmail versions before 15.0.5 allow improper handling of attachment filenames during encrypted PDF generation. An attacker can exploit this to create new files outside the intended directory, potentially placing files in web-accessible locations.
Gravedad CVSS v4.0: ALTA
Última modificación:
22/06/2026
Suscribirse a Vulnerabilidades