Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las últimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las últimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las últimas vulnerabilidades incorporadas al repositorio.

CVE-2026-44998

Fecha de publicación:

11/05/2026

Idioma:

Inglés

*** Pendiente de traducción *** OpenClaw before 2026.4.20 contains a tool policy bypass vulnerability allowing bundled MCP and LSP tools to circumvent configured tool restrictions. Attackers with local agent access can append restricted tools to the effective tool set after policy filtering, bypassing profile policies, allow/deny lists, owner-only restrictions, sandbox policies, and subagent policies.

Gravedad CVSS v4.0: BAJA

Última modificación:

13/05/2026

CVE-2026-44999

Fecha de publicación:

11/05/2026

Idioma:

Inglés

*** Pendiente de traducción *** OpenClaw before 2026.4.20 fails to properly preserve untrusted labels for isolated cron awareness events, allowing webhook-triggered cron agent output to be recorded as trusted system events. Attackers can exploit this trust-labeling issue to strengthen prompt-injection attacks by rendering untrusted events as trusted System events.

Gravedad CVSS v4.0: MEDIA

Última modificación:

13/05/2026

CVE-2026-44413

Fecha de publicación:

11/05/2026

Idioma:

Inglés

*** Pendiente de traducción *** In JetBrains TeamCity before 2026.1<br /> 2025.11.5 authenticated users could expose server API to unauthorised access

Gravedad CVSS v3.1: ALTA

Última modificación:

12/05/2026

CVE-2026-44991

Fecha de publicación:

11/05/2026

Idioma:

Inglés

*** Pendiente de traducción *** OpenClaw before 2026.4.21 contains an authorization bypass vulnerability in command-auth.ts that allows non-owner senders to execute owner-enforced slash commands when wildcard inbound senders are configured without explicit owner allowFrom settings. Attackers can exploit this by sending commands like /send, /config, or /debug on affected channels to bypass owner-only command authorization checks.

Gravedad CVSS v4.0: BAJA

Última modificación:

13/05/2026

CVE-2026-44992

Fecha de publicación:

11/05/2026

Idioma:

Inglés

*** Pendiente de traducción *** OpenClaw versions 2026.4.5 before 2026.4.20 contain an environment variable injection vulnerability allowing workspace dotenv to override MINIMAX_API_HOST. Attackers can redirect credentialed MiniMax API requests to attacker-controlled origins, exposing the MiniMax API key in Authorization headers.

Gravedad CVSS v4.0: MEDIA

Última modificación:

13/05/2026

CVE-2026-44658

Fecha de publicación:

11/05/2026

Idioma:

Inglés

*** Pendiente de traducción *** Zen is a firefox-based browser. Prior to 1.19.12b, RSS feed URLs entered by the user are validated to http: or https: in promptForFeedUrl, but item links inside the feed are not subject to the same restriction. The provider maps each RSS/Atom item link into item.url, filters only for presence and date, and returns the item list. The live-folder manager later creates pinned lazy tabs from these values with gBrowser.addTrustedTab(item.url, ...). This vulnerability is fixed in 1.19.12b.

Gravedad CVSS v3.1: BAJA

Última modificación:

13/05/2026

CVE-2026-44659

Fecha de publicación:

11/05/2026

Idioma:

Inglés

*** Pendiente de traducción *** Zen is a firefox-based browser. Prior to 1.19.12b, the ZEN Browser incorrectly truncates long hostnames in the address bar and shows only the attacker-controlled prefix of the subdomain, hiding the actual registrable domain (eTLD+1). As a result, an attacker can craft extremely long malicious subdomains that visually imitate trusted brands, and the browser will display only the spoofed prefix, misleading users about the actual origin of the site. This directly compromises the URL bar as a security indicator and creates a phishing/supply-chain attack vector. This vulnerability is fixed in 1.19.12b.

Gravedad CVSS v3.1: MEDIA

Última modificación:

13/05/2026

CVE-2026-44777

Fecha de publicación:

11/05/2026

Idioma:

Inglés

*** Pendiente de traducción *** jq is a command-line JSON processor. In 1.8.2rc1 and earlier, the ordinary module loader recurses without cycle detection when two<br /> otherwise valid modules include each other.

Gravedad CVSS v4.0: MEDIA

Última modificación:

13/05/2026

CVE-2026-43894

Fecha de publicación:

11/05/2026

Idioma:

Inglés

*** Pendiente de traducción *** jq is a command-line JSON processor. In 1.8.1 and earlier, when decNumberFromString is given a number literal of INT_MAX-1 (2147483646) digits, the D2U() macro overflows during signed-int arithmetic. The wrapped negative value bypasses the heap-allocation size check, causes the function to use a 30-byte stack buffer, and then writes ≈715 million 16-bit units (≈1.4 GiB) at an offset 1.43 GiB below the stack frame. The written content is fully attacker-controlled (the parsed decimal digits, packed 3-per-unit).

Gravedad CVSS v3.1: MEDIA

Última modificación:

13/05/2026

CVE-2026-43895

Fecha de publicación:

11/05/2026

Idioma:

Inglés

*** Pendiente de traducción *** jq is a command-line JSON processor. In 1.8.1 and earlier, jq accepts embedded NUL bytes in import paths at the jq-language level, but later resolves those paths through C string operations during module and data-file lookup. This creates a mismatch between the logical import string that policy or audit code may validate and the on-disk path that jq actually opens.

Gravedad CVSS v3.1: MEDIA

Última modificación:

13/05/2026

CVE-2026-43995

Fecha de publicación:

11/05/2026

Idioma:

Inglés

*** Pendiente de traducción *** Flowise is a drag & drop user interface to build a customized large language model flow. Prior to 3.1.0, multiple tool implementations directly import and invoke raw HTTP clients (node-fetch, axios) instead of using the secured wrapper. These tools include (1) OpenAPIToolkit/OpenAPIToolkit.ts, (2) WebScraperTool/WebScraperTool.ts, (3) MCP/core.ts, and (4) Arxiv/core.ts. This vulnerability is fixed in 3.1.0.

Gravedad CVSS v4.0: MEDIA

Última modificación:

13/05/2026

CVE-2026-44226

Fecha de publicación:

11/05/2026

Idioma:

Inglés

*** Pendiente de traducción *** pyLoad is a free and open-source download manager written in Python. Prior to 0.5.0b3.dev100, pyload-ng WebUI returns full Python traceback details to clients on unhandled exceptions. Because /web/ is reachable without authentication and renders attacker-controlled template names, an unauthenticated user can reliably trigger a server exception (for example by requesting a non-existent template) and receive internal stack traces in the HTTP response. This vulnerability is fixed in 0.5.0b3.dev100.

Gravedad CVSS v3.1: MEDIA

Última modificación:

13/05/2026

Suscribirse a Vulnerabilidades