Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las últimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las últimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las últimas vulnerabilidades incorporadas al repositorio.

CVE-2026-65084

Fecha de publicación:

25/08/2026

Idioma:

Inglés

*** Pendiente de traducción *** NVIDIA NemoClaw for Linux contains a vulnerability in its deployment process, where an attacker could cause improper certificate validation. A successful exploit of this vulnerability might lead to information disclosure, data tampering, code execution, and escalation of privileges.

Gravedad CVSS v3.1: ALTA

Última modificación:

28/08/2026

CVE-2026-65085

Fecha de publicación:

25/08/2026

Idioma:

Inglés

*** Pendiente de traducción *** NVIDIA OpenShell for Linux contains a vulnerability in its inference proxy, where an attacker could cause an improper encoding or escaping of output. A successful exploit of this vulnerability might lead to information disclosure and data tampering.

Gravedad CVSS v3.1: MEDIA

Última modificación:

28/08/2026

CVE-2026-65086

Fecha de publicación:

25/08/2026

Idioma:

Inglés

*** Pendiente de traducción *** NVIDIA OpenShell for Linux contains a vulnerability in its sandbox exec handler, where an attacker could cause an OS command injection. A successful exploit of this vulnerability might lead to code execution, information disclosure, and data tampering.

Gravedad CVSS v3.1: MEDIA

Última modificación:

28/08/2026

CVE-2026-65087

Fecha de publicación:

25/08/2026

Idioma:

Inglés

*** Pendiente de traducción *** NVIDIA NemoClaw contains a vulnerability where an attacker could cause<br /> insufficiently protected credentials . A successful exploit of this vulnerability might lead to information disclosure and data tampering.

Gravedad CVSS v3.1: MEDIA

Última modificación:

28/08/2026

CVE-2026-65088

Fecha de publicación:

25/08/2026

Idioma:

Inglés

*** Pendiente de traducción *** NVIDIA NemoClaw contains a vulnerability where an attacker could cause<br /> invocation of process using visible sensitive information. A successful exploit of this vulnerability might lead to information disclosure.

Gravedad CVSS v3.1: MEDIA

Última modificación:

28/08/2026

CVE-2026-65089

Fecha de publicación:

25/08/2026

Idioma:

Inglés

*** Pendiente de traducción *** NVIDIA NemoClaw for Linux contains a vulnerability in its status and logs plugin commands, where an attacker could cause OS command injection. A successful exploit of this vulnerability might lead to code execution, data tampering, information disclosure, and denial of service.

Gravedad CVSS v3.1: ALTA

Última modificación:

28/08/2026

CVE-2026-65090

Fecha de publicación:

25/08/2026

Idioma:

Inglés

*** Pendiente de traducción *** NVIDIA NemoClaw for Linux contains a vulnerability in its NIM management component, where an attacker could cause OS command injection. A successful exploit of this vulnerability might lead to code execution, data tampering, information disclosure, and denial of service.

Gravedad CVSS v3.1: ALTA

Última modificación:

28/08/2026

CVE-2026-65081

Fecha de publicación:

25/08/2026

Idioma:

Inglés

*** Pendiente de traducción *** NVIDIA NemoClaw for Linux contains a vulnerability in its installation process, where an attacker could cause execution of untrusted code. A successful exploit of this vulnerability might lead to code execution, escalation of privileges, data tampering, information disclosure, and denial of service.

Gravedad CVSS v3.1: ALTA

Última modificación:

28/08/2026

CVE-2026-65082

Fecha de publicación:

25/08/2026

Idioma:

Inglés

*** Pendiente de traducción *** NVIDIA NemoClaw for Linux contains a vulnerability in its migration command, where a local attacker could cause code injection. A successful exploit of this vulnerability might lead to code execution, data tampering, information disclosure, and denial of service.

Gravedad CVSS v3.1: ALTA

Última modificación:

28/08/2026

CVE-2026-55588

Fecha de publicación:

25/08/2026

Idioma:

Inglés

*** Pendiente de traducción *** ORAS (OCI Registry As Storage) is a CLI and library for managing artifacts in OCI registries. In ORAS CLI versions up to and including 1.3.2, the recursive referrer traversal does not track visited descriptors, so a malicious OCI registry that returns a cyclic referrer graph causes unbounded recursion and memory growth. This affects oras discover, whose recursive traversal is enabled by default because the --depth option defaults to 0 (unlimited), as well as the recursive referrer counting used by the oras backup and oras restore workflows. A cyclic graph can be as simple as A referring to B and B referring back to A. A malicious registry can use this to cause a client-side denial of service, exhausting CPU and memory and hanging automation or CI/CD pipelines that run ORAS against untrusted registry metadata. The vulnerability does not extend to code execution, artifact substitution, or integrity bypass. This issue has been fixed in version 1.3.3.

Gravedad CVSS v3.1: MEDIA

Última modificación:

27/08/2026

CVE-2026-51368

Fecha de publicación:

25/08/2026

Idioma:

Inglés

*** Pendiente de traducción *** An issue in Beijing Tongtech Co., Ltd tongweb v.7.0.24 in the Spring HttpInovkerServiceExporter component allows a remote attacker to execute arbitrary code via a crafted request to the console/heimdall endpoint

Gravedad: Pendiente de análisis

Última modificación:

25/08/2026

CVE-2026-53965

Fecha de publicación:

25/08/2026

Idioma:

Inglés

*** Pendiente de traducción *** The MCP PHP SDK (Composer package mcp/sdk) is the official Model Context Protocol SDK for PHP. In versions 0.5.0 through 0.7.0, the HTTP client transport reads a Server-Sent Events response stream incrementally and appends each chunk to an in-memory buffer with no upper bound. The buffer is only flushed when an SSE event delimiter, a double newline, is found, so a remote MCP server that streams response bytes without ever sending the delimiter causes the buffer to grow without limit. A malicious, compromised, or man-in-the-middle-controlled server that the client connects to over the HTTP transport can exploit this to exhaust the client process&#39;s memory, triggering a fatal allocation error or OS out-of-memory kill and denying service to the MCP client. The issue affects any client using HttpTransport against an untrusted server endpoint and does not require authentication or user interaction beyond initiating the connection. This issue is fixed in version 0.7.1.

Gravedad CVSS v4.0: MEDIA

Última modificación:

26/08/2026

Suscribirse a Vulnerabilidades