Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las últimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las últimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las últimas vulnerabilidades incorporadas al repositorio.

CVE-2026-56279

Fecha de publicación:

10/07/2026

Idioma:

Inglés

*** Pendiente de traducción *** Capgo before 12.128.2 contains an information disclosure vulnerability in the get_orgs_v7(userid) RPC function that remains publicly invokable despite intended private access controls. Unauthenticated attackers can supply arbitrary user UUIDs to retrieve foreign users&#39; organization membership, roles, management emails, and billing metadata.

Gravedad CVSS v4.0: ALTA

Última modificación:

10/07/2026

CVE-2026-56309

Fecha de publicación:

10/07/2026

Idioma:

Inglés

*** Pendiente de traducción *** Capgo before 12.128.2 fails to enforce plan/quota restrictions on the /files/upload/attachments endpoint, allowing plan-blocked apps to create publicly readable R2 objects. Attackers can upload arbitrary attachments using upload-scoped API keys that bypass plan checks, persist outside normal bundle metadata, and survive app deletion, enabling storage and bandwidth abuse.

Gravedad CVSS v4.0: MEDIA

Última modificación:

10/07/2026

CVE-2026-56335

Fecha de publicación:

10/07/2026

Idioma:

Inglés

*** Pendiente de traducción *** Capgo before 12.128.2 contains an authorization bypass vulnerability where write-scoped API keys can directly mutate protected channel configuration fields through PostgREST by exploiting a null authentication check in the immutability trigger. Attackers with write API keys can modify sensitive channel attributes such as public, allow_emulator, and security-related flags outside intended application routes.

Gravedad CVSS v4.0: ALTA

Última modificación:

10/07/2026

CVE-2026-56312

Fecha de publicación:

10/07/2026

Idioma:

Inglés

*** Pendiente de traducción *** Capgo before 12.128.2 contains an improper validation vulnerability in the accept_invitation endpoint that creates user accounts before captcha validation is enforced. Attackers can bypass captcha protection by sending POST requests with invalid captcha tokens to create unwanted accounts and burn invite links.

Gravedad CVSS v4.0: MEDIA

Última modificación:

10/07/2026

CVE-2026-56329

Fecha de publicación:

10/07/2026

Idioma:

Inglés

*** Pendiente de traducción *** Capgo before 12.128.2 contains a cross-tenant preview namespace collision vulnerability caused by non-bijective decoding of double underscores to dots in preview hostname parsing. Attackers can register app IDs with underscores that collide with other tenants&#39; dotted app IDs, causing preview misrouting and denial of preview access for victim applications.

Gravedad CVSS v4.0: MEDIA

Última modificación:

10/07/2026

CVE-2026-56261

Fecha de publicación:

10/07/2026

Idioma:

Inglés

*** Pendiente de traducción *** Crawl4AI before 0.8.7 contains a server-side request forgery (SSRF) vulnerability in the Docker API server&#39;s /crawl/job and /llm/job endpoints, which accept webhook URLs without destination validation. An attacker can supply webhook URLs pointing to private or internal IP ranges, Docker networks, or cloud metadata endpoints (e.g. 169.254.169.254), causing the server to make requests to internal services and potentially expose cloud metadata.

Gravedad CVSS v4.0: CRÍTICA

Última modificación:

13/07/2026

CVE-2026-56305

Fecha de publicación:

10/07/2026

Idioma:

Inglés

*** Pendiente de traducción *** Capgo before 12.128.2 contains an authentication bypass vulnerability in the password change endpoint that allows attackers to change user passwords without requiring current password confirmation. Attackers with temporary session access can exploit this flaw to permanently lock out legitimate users and achieve full account takeover.

Gravedad CVSS v4.0: ALTA

Última modificación:

14/07/2026

CVE-2026-56254

Fecha de publicación:

10/07/2026

Idioma:

Inglés

*** Pendiente de traducción *** In @capgo/capacitor-updater (Cap-go/capgo) before 12.128.2, the end-to-end encryption scheme distributes the private key to each device that downloads the app. Because the public key can be derived from the private key, an attacker performing a man-in-the-middle attack or compromising the Capgo server can create a validly signed update bundle and cause devices to install an update not produced by the original app maker.

Gravedad CVSS v4.0: ALTA

Última modificación:

10/07/2026

CVE-2026-38057

Fecha de publicación:

10/07/2026

Idioma:

Inglés

*** Pendiente de traducción *** The iDirect iQ200 does not validate CSRF tokens on state-changing API endpoints after authentication. The /api/reboot endpoint accepts POST requests authenticated solely by a session cookie that lacks the SameSite attribute. A remote attacker can host a malicious web page that, when visited by an authenticated administrator, automatically submits a cross-site POST request causing an immediate device reboot and satellite link loss. Repeated attacks can sustain a denial-of-service condition.

Gravedad CVSS v4.0: ALTA

Última modificación:

10/07/2026

CVE-2026-38059

Fecha de publicación:

10/07/2026

Idioma:

Inglés

*** Pendiente de traducción *** The iDirect iQ200 exposes the /api/identity and /api/ REST API endpoints without authentication. An unauthenticated attacker with network access can retrieve sensitive device information including the serial number, Device ID (DID), Terminal Private Key identifier (TPK), MAC address, and exact firmware version. The DID and TPK are used for satellite network authentication in the iDirect platform, potentially enabling terminal impersonation and network reconnaissance.

Gravedad CVSS v4.0: ALTA

Última modificación:

10/07/2026

CVE-2026-29519

Fecha de publicación:

10/07/2026

Idioma:

Inglés

*** Pendiente de traducción *** Lucee CFML Server versions across the 5.3.x, 6.1.x, 6.2.x, and 7.0.x release lines contain a reflected cross-site scripting vulnerability in URL path parsing that allows unauthenticated remote attackers to execute arbitrary JavaScript in a victim&#39;s browser by embedding HTML or JavaScript payloads within the request path. Attackers can craft a malicious URL containing injected script content that is reflected in the server&#39;s response without proper output encoding, enabling session hijacking or unauthorized actions against the Lucee administrative interface when a victim visits the crafted link.

Gravedad CVSS v4.0: MEDIA

Última modificación:

14/07/2026

CVE-2026-22659

Fecha de publicación:

10/07/2026

Idioma:

Inglés

*** Pendiente de traducción *** FlaskBB through 2.2.0, fixed in commit acc88cf, contains an authorization bypass vulnerability that allows authenticated moderators to perform unauthorized actions on topics in forums they do not control by submitting crafted topic ID lists. Attackers can include a low-ID topic from a permitted forum as an anchor in a batch request, causing the permission check applied only to the first result to pass, and then execute lock, unlock, delete, or hide actions against topics in unmoderated forums.

Gravedad CVSS v4.0: ALTA

Última modificación:

14/07/2026

Suscribirse a Vulnerabilidades