Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

017 - Ir a la línea de ayuda en Ciberseguridad    Ir a Agenda     Ir a Sala de prensa     Ir a suscripción de boletines

Ir al buscador

Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las últimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las últimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las últimas vulnerabilidades incorporadas al repositorio.

CVE-2026-48800
Fecha de publicación:
26/06/2026
Idioma:
Inglés
*** Pendiente de traducción *** Notepad++ is a free and open-source source code editor. Prior to 8.9.6.1, the tag text content inside in shortcuts.xml is read by NppXml::value(aNode) (Parameters.cpp:3658) in the feedUserCmds() function and stored in UserCommand._cmd without any validation. When the user clicks the corresponding entry in the Run menu, NppCommands.cpp:4264 creates a Command object with string2wstring(ucmd.getCmd()) and calls run(), which invokes ShellExecute (RunDlg.cpp:221) with the attacker-controlled string as the executable path. The injected command appears as a normal menu item in the Run menu, making it a viable persistence mechanism. This vulnerability is fixed in 8.9.6.1.
Gravedad CVSS v3.1: ALTA
Última modificación:
30/06/2026

CVE-2026-46710
Fecha de publicación:
26/06/2026
Idioma:
Inglés
*** Pendiente de traducción *** Notepad++ is a free and open-source source code editor. From 8.9.4 until 8.9.6, Notepad++ contains a local privilege escalation vulnerability in the installer. During installation, the installer invokes powershell.exe without using an absolute path after setting the working directory to the installation contextMenu directory. If an attacker can pre-place a malicious powershell.exe in a user-writable custom installation directory, and a privileged user later runs the installer and selects that directory, the attacker-controlled executable is launched with the elevated privileges of the installer. This vulnerability is fixed in 8.9.6.
Gravedad CVSS v4.0: ALTA
Última modificación:
29/06/2026

CVE-2026-38639
Fecha de publicación:
26/06/2026
Idioma:
Inglés
*** Pendiente de traducción *** An issue in the parse_month function (/time/strptime.rs) of relibc commit ab6a2e allows attackers to cause a Denial of Service (DoS) via parsing a crafted input.
Gravedad CVSS v3.1: ALTA
Última modificación:
29/06/2026

CVE-2026-38641
Fecha de publicación:
26/06/2026
Idioma:
Inglés
*** Pendiente de traducción *** An issue in the DSO::mmap_and_copy function of relibc commit 61f42d allows attackers to cause a Denial of Service (DoS) via loading a crafted shared library.
Gravedad CVSS v3.1: ALTA
Última modificación:
29/06/2026

CVE-2026-39031
Fecha de publicación:
26/06/2026
Idioma:
Inglés
*** Pendiente de traducción *** Lansweeper lsrunase 2.0 and lsencrypt 2.0 use RC4 encryption with a hardcoded 142-byte static key array to encrypt credentials. An 8-character prefix is stored in cleartext alongside the ciphertext. This allows an attacker with local access to recover any encrypted password to plaintext using a single SHA-1 hash and RC4 decryption operation, with no brute force required.
Gravedad CVSS v3.1: MEDIA
Última modificación:
29/06/2026

CVE-2026-46604
Fecha de publicación:
26/06/2026
Idioma:
Inglés
*** Pendiente de traducción *** The TIFF decoder can panic when decoding an invalid image with an out-of-bounds strip offset.
Gravedad CVSS v3.1: ALTA
Última modificación:
01/07/2026

CVE-2024-23581
Fecha de publicación:
26/06/2026
Idioma:
Inglés
*** Pendiente de traducción *** The HCL Traveler for Microsoft Outlook libraries are being flagged as potentially malicious software or an unrecognized application.
Gravedad CVSS v3.1: MEDIA
Última modificación:
06/07/2026

CVE-2026-55188
Fecha de publicación:
26/06/2026
Idioma:
Inglés
*** Pendiente de traducción *** RustFS is a distributed object storage system built in Rust. From 1.0.0-alpha.1 until 1.0.0-beta.9, RustFS contains an authorization bypass in the bucket replication admin API. The ListRemoteTargetHandler handler for listing remote replication targets only checks whether request credentials exist, but does not verify that the caller has replication or administrator permissions. As a result, an authenticated user with no effective bucket or admin permissions can list remote replication target configuration for a bucket. Because the returned BucketTarget objects include remote target credentials, this can disclose replication access keys and secret keys. This vulnerability is fixed in 1.0.0-beta.9.
Gravedad CVSS v3.1: ALTA
Última modificación:
27/06/2026

CVE-2026-55838
Fecha de publicación:
26/06/2026
Idioma:
Inglés
*** Pendiente de traducción *** RustFS is a distributed object storage system built in Rust. In 1.0.0-beta.7 and earlier, the real-time metrics endpoint at /rustfs/admin/v3/metrics is accessible to any valid IAM user regardless of their assigned policy. Every other admin handler in the codebase calls validate_admin_request to enforce admin-action IAM checks; the MetricsHandler skips this call entirely. A restricted IAM user whose policy grants only access to their own bucket can read server-wide operational metrics including disk I/O statistics, network throughput, scanner cycle timing, and cluster RPC state.
Gravedad CVSS v3.1: MEDIA
Última modificación:
27/06/2026

CVE-2026-55189
Fecha de publicación:
26/06/2026
Idioma:
Inglés
*** Pendiente de traducción *** RustFS is a distributed object storage system built in Rust. From 1.0.0-alpha.1 until 1.0.0-beta.9, when the FTP frontend is enabled, the FTP read and probe handlers dispatch directly to the storage backend without ever calling the IAM authorization function that the FTP write/list handlers (and the entire HTTP S3 path) use. As a result, any user who can authenticate to the FTP listener — including a user whose IAM policy contains an explicit Deny on s3:GetObject — can read (RETR) and stat (SIZE/MDTM) any object in any bucket, and probe any bucket (CWD), completely regardless of their IAM policy. This vulnerability is fixed in 1.0.0-beta.9.
Gravedad CVSS v3.1: ALTA
Última modificación:
29/06/2026

CVE-2026-53324
Fecha de publicación:
26/06/2026
Idioma:
Inglés
*** Pendiente de traducción *** In the Linux kernel, the following vulnerability has been resolved:<br /> <br /> net: mana: Use pci_name() for debugfs directory naming<br /> <br /> Use pci_name(pdev) for the per-device debugfs directory instead of<br /> hardcoded "0" for PFs and pci_slot_name(pdev-&gt;slot) for VFs. The<br /> previous approach had two issues:<br /> <br /> 1. pci_slot_name() dereferences pdev-&gt;slot, which can be NULL for VFs<br /> in environments like generic VFIO passthrough or nested KVM,<br /> causing a NULL pointer dereference.<br /> <br /> 2. Multiple PFs would all use "0", and VFs across different PCI<br /> domains or buses could share the same slot name, leading to<br /> -EEXIST errors from debugfs_create_dir().<br /> <br /> pci_name(pdev) returns the unique BDF address, is always valid, and is<br /> unique across the system.
Gravedad CVSS v3.1: MEDIA
Última modificación:
06/07/2026

CVE-2026-53323
Fecha de publicación:
26/06/2026
Idioma:
Inglés
*** Pendiente de traducción *** In the Linux kernel, the following vulnerability has been resolved:<br /> <br /> net: dsa: remove redundant netdev_lock_ops() from conduit ethtool ops<br /> <br /> DSA replaces the conduit (master) device&amp;#39;s ethtool_ops with its own<br /> wrappers that aggregate stats from both the conduit and DSA switch<br /> ports. Taking the lock again inside the DSA wrappers causes a deadlock.<br /> <br /> Stumbled upon this when booting qemu with fbnic and CONFIG_NET_DSA_LOOP=y<br /> (which looks like some kind of testing device that auto-populates the ports<br /> of eth0). `ethtool -i` is enough to deadlock. This means we have basically zero<br /> coverage for DSA stuff with real ops locked devs.<br /> <br /> Remove the redundant netdev_lock_ops()/netdev_unlock_ops() calls from<br /> the DSA conduit ethtool wrappers.
Gravedad CVSS v3.1: MEDIA
Última modificación:
06/07/2026
Suscribirse a Vulnerabilidades