Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

017 - Ir a la línea de ayuda en Ciberseguridad    Ir a Agenda     Ir a Sala de prensa     Ir a suscripción de boletines

Ir al buscador

Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las últimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las últimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las últimas vulnerabilidades incorporadas al repositorio.

CVE-2026-41516
Fecha de publicación:
06/07/2026
Idioma:
Inglés
*** Pendiente de traducción *** OP-TEE is a Trusted Execution Environment (TEE) designed as companion to a non-secure Linux kernel running on Arm; Cortex-A cores using the TrustZone technology. Starting in version 4.5.0 and prior to version 4.11.0, the RSA PKCS#1 v1.5 decryption implementation in the Hisilicon HPRE crypto driver uses non-constant-time `memcmp()` for label hash verification and has multiple distinguishable error paths. This creates a Bleichenbacher-style padding oracle that allows an attacker to recover RSA PKCS#1 v1.5 plaintext. Version 4.11.0 contains a patch. As a workaround, disable Hisilicon HPRE RSA driver with `CFG_HISILICON_ACC_V3=n`.
Gravedad CVSS v3.1: BAJA
Última modificación:
07/07/2026

CVE-2026-41514
Fecha de publicación:
06/07/2026
Idioma:
Inglés
*** Pendiente de traducción *** OP-TEE is a Trusted Execution Environment (TEE) designed as companion to a non-secure Linux kernel running on Arm; Cortex-A cores using the TrustZone technology. Starting in version 4.5.0 and prior to version 4.11.0, the RSA-OAEP decryption implementation in the Hisilicon HPRE crypto driver uses non-constant-time `memcmp()` for label hash verification and has multiple distinguishable error paths. This creates a Manger-style padding oracle that allows an attacker to recover RSA-OAEP plaintext with approximately 1000-2000 adaptive chosen ciphertext queries. Only affects plat-d06 with `CFG_HISILICON_ACC_V3=y`, which seems to be disabled by default. Version 4.11.0 contains a patch. As a workaround, disable Hisilicon HPRE RSA driver with `CFG_HISILICON_ACC_V3=n`.
Gravedad CVSS v3.1: BAJA
Última modificación:
07/07/2026

CVE-2026-14898
Fecha de publicación:
06/07/2026
Idioma:
Inglés
*** Pendiente de traducción *** The OpenAI Codex desktop app for macOS rendered remote images from Markdown in model responses. An attacker who could place an indirect prompt injection in content processed by Codex, such as a connected-tool result or another untrusted source, could induce the model to construct a remote image URL containing sensitive data. The app automatically fetched that URL when rendering the response, sending the embedded data to an attacker-controlled server without a separate user click. Successful exploitation could exfiltrate secrets and other information accessible in the Codex session, including API keys, source code, and data returned by connected tools. No direct integrity or availability impact was demonstrated, and there is no known exploitation in the wild.
Gravedad CVSS v3.1: MEDIA
Última modificación:
07/07/2026

CVE-2026-11405
Fecha de publicación:
06/07/2026
Idioma:
Inglés
*** Pendiente de traducción *** The web server binary /bin/httpd contains a hidden backdoor authentication mechanism in the login() function at 004c88b8.<br /> <br /> - The function contains a normal authentication path using MD5/hash-based password verification (prod_encode64/PasswordToMd5/check_rand_key).<br /> - After normal authentication fails, it calls GetValue("sys.rzadmin.password") to read a backdoor password from the device configuration.<br /> - It performs a direct strcmp() comparison (plaintext, not hashed) between the config value and the user-supplied password.<br /> <br /> A successful match grants role=2 (admin-level access) and creates a valid session. The rzadmin username is never checked — any username works with the backdoor
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
08/07/2026

CVE-2026-14536
Fecha de publicación:
06/07/2026
Idioma:
Inglés
*** Pendiente de traducción *** Improper enforcement of a mandatory multi-factor authentication policy in Devolutions Server 2026.2.9.0 allows an attacker with valid user credentials to bypass the MFA Required policy and authenticate without completing multi-factor authentication. The problem occurs when DVLS encounters an invalid default MFA value.
Gravedad CVSS v3.1: ALTA
Última modificación:
09/07/2026

CVE-2026-9181
Fecha de publicación:
06/07/2026
Idioma:
Inglés
*** Pendiente de traducción *** Esri ArcGIS Server contains a directory traversal vulnerability. ArcGIS Enterprise on Kubernetes is not impacted. An unauthenticated attacker could exploit this issue by sending crafted path parameters. Successful exploitation could allow overwriting sensitive files on the system. Abuse of this issue can allow full administrative access to ArcGIS Server, with high impact to confidentiality, integrity, and availability. This issue impacts all versions of ArcGIS Server on Windows and Linux 12.0 and prior. This issue does not impact ArcGIS Enterprise for Kubernetes.
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
08/07/2026

CVE-2026-9182
Fecha de publicación:
06/07/2026
Idioma:
Inglés
*** Pendiente de traducción *** Esri ArcGIS Server contains an unrestricted file upload vulnerability. An unauthenticated attacker could exploit this issue by uploading a crafted file to the affected endpoint. Successful exploitation could allow arbitrary file upload, potentially allowing for other attacks. This issue impacts all versions of ArcGIS Server on Windows and Linux 12.0 and prior. This issue does not impact ArcGIS Enterprise for Kubernetes.
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
08/07/2026

CVE-2026-54059
Fecha de publicación:
06/07/2026
Idioma:
Inglés
*** Pendiente de traducción *** Pillow is a Python imaging library. Prior to 12.3.0, PIL/PcfFontFile.py _load_bitmaps() read glyph dimensions from the PCF METRICS section and passed them directly to Image.frombytes() without calling Image._decompression_bomb_check(), allowing crafted PCF font data to cause excessive memory allocation. This issue is fixed in version 12.3.0.
Gravedad CVSS v3.1: ALTA
Última modificación:
07/07/2026

CVE-2026-55798
Fecha de publicación:
06/07/2026
Idioma:
Inglés
*** Pendiente de traducción *** Pillow is a Python imaging library. Prior to 12.3.0, WindowsViewer.get_command() constructed a cmd.exe shell command by directly embedding a file path into an f-string without escaping and passed the result to subprocess.Popen(..., shell=True), allowing shell metacharacters in the file path to inject arbitrary cmd.exe commands. This issue is fixed in version 12.3.0.
Gravedad CVSS v3.1: MEDIA
Última modificación:
07/07/2026

CVE-2026-54060
Fecha de publicación:
06/07/2026
Idioma:
Inglés
*** Pendiente de traducción *** Pillow is a Python imaging library. Prior to 12.3.0, PIL/FontFile.py FontFile.compile() assembled per-glyph images into a combined bitmap with Image.new("1", (xsize, ysize)) without calling Image._decompression_bomb_check(), allowing a font to trigger excessive allocation during conversion or saving. This issue is fixed in version 12.3.0.
Gravedad CVSS v3.1: ALTA
Última modificación:
07/07/2026

CVE-2026-55380
Fecha de publicación:
06/07/2026
Idioma:
Inglés
*** Pendiente de traducción *** Pillow is a Python imaging library. Prior to 12.3.0, PIL/GdImageFile.py GdImageFile._open() read image dimensions from the GD 2.x header and stored them in self._size without calling Image._decompression_bomb_check(), allowing a crafted .gd file to trigger excessive C-heap allocation when loaded. This issue is fixed in version 12.3.0.
Gravedad CVSS v3.1: ALTA
Última modificación:
07/07/2026

CVE-2026-55379
Fecha de publicación:
06/07/2026
Idioma:
Inglés
*** Pendiente de traducción *** Pillow is a Python imaging library. Prior to 12.3.0, PIL/BdfFontFile.py bdf_char() read the BBX width and height field from a BDF font file and passed attacker-controlled dimensions to Image.new() without calling Image._decompression_bomb_check(), bypassing Pillow&amp;#39;s documented decompression bomb protection and allowing excessive memory allocation. This issue is fixed in version 12.3.0.
Gravedad CVSS v3.1: ALTA
Última modificación:
07/07/2026
Suscribirse a Vulnerabilidades