Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las últimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las últimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las últimas vulnerabilidades incorporadas al repositorio.

CVE-2026-42396

Fecha de publicación:

21/05/2026

Idioma:

Inglés

*** Pendiente de traducción *** Insufficient Validation of Member Zone Data May Cause Catalog Zone Transfer to Fail

Gravedad CVSS v3.1: MEDIA

Última modificación:

21/05/2026

CVE-2026-39461

Fecha de publicación:

21/05/2026

Idioma:

Inglés

*** Pendiente de traducción *** libcasper(3) communicates with helper processes via UNIX domain sockets, and uses the select(2) system call to wait for data to become available. However, it does not verify that its socket descriptor fits within select(2)&#39;s descriptor set size limit of FD_SETSIZE (1024). An attacker able to cause an application using libcasper(3) to allocate large file descriptors, e.g., by opening many descriptors and executing a program which is not careful to close them upon startup, may trigger stack corruption. If the target application runs with setuid root privileges, this could be used to escalate local privileges.

Gravedad CVSS v3.1: ALTA

Última modificación:

21/05/2026

CVE-2026-28764

Fecha de publicación:

21/05/2026

Idioma:

Inglés

*** Pendiente de traducción *** MediaArea MediaInfoLib LXF element parsing heap-based buffer overflow vulnerability

Gravedad CVSS v3.1: ALTA

Última modificación:

21/05/2026

CVE-2026-45250

Fecha de publicación:

21/05/2026

Idioma:

Inglés

*** Pendiente de traducción *** The setcred(2) system call is only available to privileged users. However, before the privilege level of the caller is checked, the user-supplied list of supplementary groups is copied into a fixed-size kernel stack buffer without first validating its length. If the supplied list exceeds the capacity of that buffer, a stack buffer overflow occurs. Because the bounds check on the supplementary groups list occurs after the kernel stack buffer has already been written, an unprivileged local user may trigger the overflow without holding any special privilege. Successful exploitation may allow an attacker to execute arbitrary code in the context of the kernel, allowing an unprivileged local user to gain elevated privileges on the affected system.

Gravedad CVSS v3.1: ALTA

Última modificación:

22/05/2026

CVE-2026-7837

Fecha de publicación:

21/05/2026

Idioma:

Inglés

*** Pendiente de traducción *** A time-of-check time-of-use (TOCTOU) condition in the ad_flush function in Netatalk 3.0.0 through 4.4.2 involves root-privileged file operations, which may allow a remote attacker to cause limited data modification under specific race conditions.

Gravedad CVSS v3.1: BAJA

Última modificación:

21/05/2026

CVE-2026-9157

Fecha de publicación:

21/05/2026

Idioma:

Inglés

*** Pendiente de traducción *** Improper input validation, Unrestricted upload of file with dangerous type vulnerability in Gmission Web Fax allows Remote Code Inclusion. This issue affects Web Fax: from 3.0 before 3.1.

Gravedad CVSS v4.0: ALTA

Última modificación:

21/05/2026

CVE-2026-5433

Fecha de publicación:

21/05/2026

Idioma:

Inglés

*** Pendiente de traducción *** Honeywell Control Network Module (CNM) contains command injection vulnerability in the web interface. An attacker could exploit this vulnerability via command delimiters, potentially resulting in Remote Code Execution (RCE).

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

21/05/2026

CVE-2026-5434

Fecha de publicación:

21/05/2026

Idioma:

Inglés

*** Pendiente de traducción *** Honeywell Control Network Module (CNM) contains insertion of sensitive information into an unintended directory. An attacker could exploit this vulnerability through probing system files, potentially resulting in unintended access to protected data.

Gravedad CVSS v3.1: MEDIA

Última modificación:

21/05/2026

CVE-2026-4858

Fecha de publicación:

21/05/2026

Idioma:

Inglés

*** Pendiente de traducción *** Mattermost versions 11.6.x

Gravedad CVSS v3.1: ALTA

Última modificación:

21/05/2026

CVE-2026-44071

Fecha de publicación:

21/05/2026

Idioma:

Inglés

*** Pendiente de traducción *** Netatalk 3.1.2 through 4.4.2 is compiled without FORTIFY_SOURCE, which disables built-in buffer overflow detection at runtime, potentially allowing a remote attacker to cause a minor denial of service via memory errors that would otherwise be caught and safely terminated by runtime protection.

Gravedad CVSS v3.1: BAJA

Última modificación:

21/05/2026

CVE-2026-44074

Fecha de publicación:

21/05/2026

Idioma:

Inglés

*** Pendiente de traducción *** Netatalk 2.1.0 through 4.4.2 combines multiple errno values using bitwise OR, resulting in incorrect error codes when multiple error conditions occur simultaneously, which may allow a remote attacker to cause a minor service disruption via conditions that trigger incorrect error-handling paths.

Gravedad CVSS v3.1: BAJA

Última modificación:

21/05/2026

CVE-2026-44075

Fecha de publicación:

21/05/2026

Idioma:

Inglés

*** Pendiente de traducción *** A missing break statement in DSI OpenSession processing in Netatalk 1.5.0 through 4.4.2 causes a DSIOPT_ATTNQUANT switch case to fall through into DSIOPT_SERVQUANT, resulting in unintended session option handling that may allow a remote attacker to cause a minor service disruption via crafted DSI session options.

Gravedad CVSS v3.1: BAJA

Última modificación:

21/05/2026

Suscribirse a Vulnerabilidades