Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las últimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las últimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las últimas vulnerabilidades incorporadas al repositorio.

CVE-2026-58478

Fecha de publicación:

14/07/2026

Idioma:

Inglés

*** Pendiente de traducción *** Sustainable Irrigation Platform (SIP) through version 5.2.16 contains a server-side request forgery (SSRF) vulnerability that allows unauthenticated attackers to make the device issue arbitrary HTTP requests by supplying a malicious callback URL when the optional Node-RED plugin is installed. Attackers can exploit the lack of destination validation and the default passphrase &#39;opendoor&#39; to send blind HTTP requests to arbitrary internal or external hosts not otherwise directly accessible.

Gravedad CVSS v4.0: MEDIA

Última modificación:

15/07/2026

CVE-2026-58476

Fecha de publicación:

14/07/2026

Idioma:

Inglés

*** Pendiente de traducción *** Sustainable Irrigation Platform (SIP) through version 5.2.16 contains a cross-site request forgery vulnerability that allows remote attackers to perform state-changing administrative actions by luring a logged-in administrator into visiting a malicious page that issues HTTP GET requests without CSRF token validation or origin verification. Attackers can trigger actions such as disabling the passphrase, rebooting the device, deleting programs, or installing plugins, with the default configuration exposing these endpoints to unauthenticated users due to no required passphrase and a default credential of &#39;opendoor&#39;.

Gravedad CVSS v4.0: ALTA

Última modificación:

14/07/2026

CVE-2026-58477

Fecha de publicación:

14/07/2026

Idioma:

Inglés

*** Pendiente de traducción *** Sustainable Irrigation Platform (SIP) through version 5.2.16 contains a mass assignment vulnerability that allows unauthenticated attackers to overwrite sensitive configuration settings by supplying arbitrary parameter names in HTTP requests. Attackers can manipulate parameters corresponding to sensitive values such as the passphrase and listening port, and can also achieve the same result through cross-site request forgery due to the absence of adequate request validation.

Gravedad CVSS v4.0: ALTA

Última modificación:

14/07/2026

CVE-2026-58479

Fecha de publicación:

14/07/2026

Idioma:

Inglés

*** Pendiente de traducción *** Sustainable Irrigation Platform (SIP) through version 5.2.16 contains a command injection vulnerability in the optional cli_control plugin that allows unauthenticated or cross-site request forgery attackers to execute arbitrary operating-system commands by storing a malicious payload via the plugin&#39;s HTTP endpoint. Attackers can trigger execution by activating the associated irrigation station, exploiting the absence of passphrase protection or the default passphrase &#39;opendoor&#39;, to achieve arbitrary command execution on the underlying host.

Gravedad CVSS v4.0: CRÍTICA

Última modificación:

14/07/2026

CVE-2026-51105

Fecha de publicación:

14/07/2026

Idioma:

Inglés

*** Pendiente de traducción *** Buffer Overflow vulnerability in aMULE-Project aMule v.2.3.3 allows a remote attacker to cause a denial of service via the OP_SERVERMESSAGE Handler.

Gravedad CVSS v3.1: ALTA

Última modificación:

15/07/2026

CVE-2026-52837

Fecha de publicación:

14/07/2026

Idioma:

Inglés

*** Pendiente de traducción *** Easy!Appointments is a self hosted appointment scheduler. In versions up to and including 1.5.2, the booking reschedule view at `/index.php/booking/reschedule/{appointment_hash}` (handled by `Booking::index()`) embeds the entire customer record as inline JavaScript (`const vars = {... "customer_data": {...}, ...}`) without authentication and without field whitelisting. Anyone in possession of the 12-character `appointment_hash` — which appears in plain text in reschedule emails, confirmation page URLs, and operator-side calendar links — can read every column of that customer&#39;s row in the `ea_users` table. Version 1.6.0 contains a patch.

Gravedad CVSS v4.0: MEDIA

Última modificación:

29/07/2026

CVE-2026-15736

Fecha de publicación:

14/07/2026

Idioma:

Inglés

*** Pendiente de traducción *** Snowflake SQLAlchemy versions prior to 1.11.0 contain several security vulnerabilities, including: Improper handling of user-supplied column identifiers in merge operations could allow SQL injection through attacker-controlled input keys. An attacker may be able to exploit this through request field names in a dynamic upsert endpoint, potentially enabling read access to data visible to the application&#39;s database role or modification of values within the same MERGE statement. Improper literal rendering of bound parameters when building certain Snowflake-specific table creation queries could allow SQL injection. An attacker may be able to exploit this by supplying a crafted string to any application endpoint that passes user-controlled data through the affected query-building API, potentially causing arbitrary data exfiltration within the scope of the connection role. Improper forwarding of connection configuration parameters could allow an attacker to cause the library to read arbitrary local files and transmit their contents to an attacker-controlled endpoint. An attacker may be able to exploit this in deployment environments that accept user-controlled connection parameters, potentially exposing sensitive files accessible to the application process. The fix is available in Snowflake SQLAlchemy version 1.11.0. Users must manually upgrade.

Gravedad CVSS v3.1: ALTA

Última modificación:

15/07/2026

CVE-2026-15695

Fecha de publicación:

14/07/2026

Idioma:

Inglés

*** Pendiente de traducción *** A flaw has been found in Tenda BE12 Pro 16.03.66.23. The affected element is the function fromDhcpListClient of the file /goform/DhcpListClient. This manipulation of the argument page causes stack-based buffer overflow. The attack can be initiated remotely. The exploit has been published and may be used.

Gravedad CVSS v4.0: ALTA

Última modificación:

15/07/2026

CVE-2026-15696

Fecha de publicación:

14/07/2026

Idioma:

Inglés

*** Pendiente de traducción *** A vulnerability has been found in Tenda BE12 Pro 16.03.66.23. The impacted element is the function fromVirtualSer of the file /goform/VirtualSer. Such manipulation of the argument page leads to stack-based buffer overflow. The attack can be launched remotely. The exploit has been disclosed to the public and may be used.

Gravedad CVSS v4.0: ALTA

Última modificación:

14/07/2026

CVE-2026-15694

Fecha de publicación:

14/07/2026

Idioma:

Inglés

*** Pendiente de traducción *** A vulnerability was detected in Tenda BE12 Pro 16.03.66.23. Impacted is the function fromSetIpBind of the file /goform/SetIpBind. The manipulation of the argument page results in stack-based buffer overflow. It is possible to launch the attack remotely. The exploit is now public and may be used.

Gravedad CVSS v4.0: ALTA

Última modificación:

14/07/2026

CVE-2026-14903

Fecha de publicación:

14/07/2026

Idioma:

Inglés

*** Pendiente de traducción *** Path traversal in Ivanti Xtraction before version 2026.2.1 allows a remote authenticated attacker to read arbitrary files outside the web root.

Gravedad CVSS v3.1: ALTA

Última modificación:

06/08/2026

CVE-2026-15265

Fecha de publicación:

14/07/2026

Idioma:

Inglés

*** Pendiente de traducción *** A path traversal vulnerability in Tenable Agent 11.2.0 and 11.1.3 and lower allows a privileged attacker to write arbitrary files outside the intended plugin directory, potentially leading to remote code execution.

Gravedad CVSS v4.0: CRÍTICA

Última modificación:

25/08/2026

Suscribirse a Vulnerabilidades