Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las últimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las últimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las últimas vulnerabilidades incorporadas al repositorio.

CVE-2026-46417

Fecha de publicación:

22/06/2026

Idioma:

Inglés

*** Pendiente de traducción *** Angular is a development platform for building mobile and desktop web applications using TypeScript/JavaScript and other languages. Prior to 22.0.0-next.12, 21.2.13, 20.3.21, and 19.2.22, a Server-Side Request Forgery (SSRF) vulnerability exists in @angular/platform-server. The issue stems from how the server-side rendering (SSR) engine processes the request URL provided to the rendering entry points. When an absolute-form URL (e.g., http://evil.com) is passed to the rendering engine, the internal ServerPlatformLocation can be manipulated into adopting the attacker-controlled domain as the "current" hostname. Consequently, any relative HttpClient requests or PlatformLocation.hostname references are redirected to the attacker controlled server, potentially exposing internal APIs or metadata services. This vulnerability is fixed in 22.0.0-next.12, 21.2.13, 20.3.21, and 19.2.22.

Gravedad CVSS v4.0: ALTA

Última modificación:

15/07/2026

CVE-2026-42127

Fecha de publicación:

22/06/2026

Idioma:

Inglés

*** Pendiente de traducción *** The public dashboard query endpoint does not limit request body size before processing, allowing unauthenticated attackers to trigger excessive memory allocation by sending arbitrarily large JSON payloads. This can lead to denial of service through memory exhaustion. No valid dashboard access token or authentication is required to exploit this vulnerability.

Gravedad CVSS v3.1: ALTA

Última modificación:

10/07/2026

CVE-2026-11994

Fecha de publicación:

22/06/2026

Idioma:

Inglés

*** Pendiente de traducción *** Akaunting 3.1.21 contains an authenticated stored Cross-Site Scripting vulnerability in the report management workflow. A user with permission to create or update reports can store arbitrary HTML/JavaScript in the description field of a report.

Gravedad CVSS v4.0: MEDIA

Última modificación:

22/06/2026

CVE-2026-12249

Fecha de publicación:

22/06/2026

Idioma:

Inglés

*** Pendiente de traducción *** An issue was discovered in Canonical ADSys upstream versions through v0.16.2. During Active Directory Certificate Services (AD CS) certificate auto-enrollment via the vendored Samba client script (internal/policies/certificate/python/vendor_samba/gp/gp_cert_auto_enroll_ext.py), ADSys utilizes a plaintext HTTP connection (http://) instead of a secure HTTPS connection (https://) to request the CA certificate from the Active Directory Certificate Services server (GetCACert). An unauthenticated network attacker positioned between the managed Ubuntu host and the configured AD CS CA hostname can conduct a Man-in-the-Middle (MITM) attack. By intercepting the plaintext HTTP request, the attacker can supply an arbitrary, attacker-controlled Root CA certificate. Because the system automatically accepts this certificate and registers it into the local system trust store via update-ca-certificates, this results in system-wide trust store poisoning. Consequently, TLS clients utilizing the operating system trust store on the affected machine will accept rogue certificates for arbitrary domains, enabling persistent decryption and interception of subsequent TLS connections. This issue is resolved in version v0.16.3.

Gravedad CVSS v4.0: CRÍTICA

Última modificación:

22/06/2026

CVE-2026-11825

Fecha de publicación:

22/06/2026

Idioma:

Inglés

*** Pendiente de traducción *** Rejected reason: ** REJECT ** DO NOT USE THIS CANDIDATE NUMBER. Reason: This candidate was issued in error. Notes: All references and descriptions in this candidate have been removed to prevent accidental usage.

Gravedad: Pendiente de análisis

Última modificación:

22/06/2026

CVE-2026-10789

Fecha de publicación:

22/06/2026

Idioma:

Inglés

*** Pendiente de traducción *** A maliciously crafted webpage, when visited by a user with Autodesk Fusion Desktop running and the MCP extension enabled, can trigger a vulnerability in the MCP extension that could allow arbitrary code execution. A successful exploit may allow code to execute with the privileges of the current user.

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

24/06/2026

CVE-2026-8934

Fecha de publicación:

22/06/2026

Idioma:

Inglés

*** Pendiente de traducción *** A Missing Authorization vulnerability in a GraphQL private API operation of the Google App Engine section of the Cloud Console allows an unauthenticated remote attacker to leak sensitive App Engine request logs from other projects using a specially crafted request.<br /> <br /> This vulnerability was patched on 7 April 2026, and no customer action is needed.

Gravedad CVSS v4.0: MEDIA

Última modificación:

22/06/2026

CVE-2026-9006

Fecha de publicación:

22/06/2026

Idioma:

Inglés

*** Pendiente de traducción *** IBM WebSphere Application Server 9.0, and 8.5 is vulnerable to server-side request forgery (SSRF) with the Ajax Proxy configured. This may allow an attacker to send unauthorized requests from the system, resulting in a security bypass or information disclosure.

Gravedad CVSS v3.1: ALTA

Última modificación:

24/06/2026

CVE-2026-9071

Fecha de publicación:

22/06/2026

Idioma:

Inglés

*** Pendiente de traducción *** IBM WebSphere Application Server 9.0, and 8.5 and IBM WebSphere Application Server - Liberty 17.0.0.3 through 26.0.0.6 are vulnerable to a denial of service, caused by sending a specially-crafted request. A remote attacker could exploit this vulnerability to cause the server to consume memory resources.

Gravedad CVSS v3.1: ALTA

Última modificación:

23/06/2026

CVE-2026-9320

Fecha de publicación:

22/06/2026

Idioma:

Inglés

Gravedad CVSS v3.1: MEDIA

Última modificación:

23/06/2026

CVE-2026-9072

Fecha de publicación:

22/06/2026

Idioma:

Inglés

*** Pendiente de traducción *** IBM WebSphere Application Server and IBM WebSphere Application Server Liberty - when using Intelligent Management with the WebSphere WebServer Plug-in component - are vulnerable to remote code execution and denial of service. This vulnerability can be exploited when an attacker impersonates backend servers and sends crafted responses to the plug-in.

Gravedad CVSS v3.1: ALTA

Última modificación:

09/07/2026

CVE-2026-9610

Fecha de publicación:

22/06/2026

Idioma:

Inglés

*** Pendiente de traducción *** IBM Datacap 9.1.7, 9.1.8, and 9.1.9 and IBM Datacap Navigator 9.1.7, 9.1.8, and 9.1.9 exposes resources or functionality that isn&#39;t linked in the UI but is accessible by directly requesting the URL, bypassing intended access controls.

Gravedad CVSS v3.1: BAJA

Última modificación:

26/06/2026

Suscribirse a Vulnerabilidades