Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

017 - Ir a la línea de ayuda en Ciberseguridad    Ir a Agenda     Ir a Sala de prensa     Ir a suscripción de boletines

Ir al buscador

Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las últimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las últimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las últimas vulnerabilidades incorporadas al repositorio.

CVE-2026-79717
Fecha de publicación:
25/08/2026
Idioma:
Inglés
*** Pendiente de traducción *** A server-side request forgery (SSRF) vulnerability was found in galaxy_ng, the Ansible Galaxy server plugin for Pulp. An authenticated user with namespace management permissions can set a namespace avatar URL to an arbitrary address, including internal networks, loopback, or cloud instance metadata endpoints. A background worker fetches that URL without checking the destination, which lets the attacker probe internal services and enumerate reachable IP addresses. The HTTP client is also configured without an overall timeout, so a slow or non-responsive target can pin workers and cause a denial of service.
Gravedad CVSS v3.1: MEDIA
Última modificación:
28/08/2026

CVE-2026-70551
Fecha de publicación:
25/08/2026
Idioma:
Inglés
*** Pendiente de traducción *** A user who can read an existing remote VCS repository can replace its configured origin or supply an absolute VCS data URL.
Gravedad CVSS v3.1: ALTA
Última modificación:
28/08/2026

CVE-2026-69104
Fecha de publicación:
25/08/2026
Idioma:
Inglés
*** Pendiente de traducción *** An authenticated user may initiate repository migration operations without required repository permissions, potentially causing information disclosure, unauthorized state changes, and service disruption. Fixed versions address the issue.
Gravedad CVSS v3.1: ALTA
Última modificación:
28/08/2026

CVE-2026-55624
Fecha de publicación:
25/08/2026
Idioma:
Inglés
*** Pendiente de traducción *** MintyItanium Lost-Auction is an auction plugin for Minecraft. Prior to commit 88c920b05042929db334ba06d57f052b42d6b3f8, players can take items like barrier blocks or duplicate items from the GUI. Commit 88c920b05042929db334ba06d57f052b42d6b3f8 fixes the issue.
Gravedad CVSS v4.0: MEDIA
Última modificación:
25/08/2026

CVE-2026-55531
Fecha de publicación:
25/08/2026
Idioma:
Inglés
*** Pendiente de traducción *** PraisonAI is a multi-agent teams system. Prior to praisonai 4.6.58, the MCP HTTP Stream mcp_post handler creates a new _sessions entry for every initialize request but does not call _cleanup_sessions or enforce a maximum. An unauthenticated caller can exhaust memory. The fix invokes cleanup and limits sessions through PRAISONAI_MCP_MAX_SESSIONS. This issue is fixed in version 4.6.58.
Gravedad CVSS v3.1: MEDIA
Última modificación:
25/08/2026

CVE-2026-55537
Fecha de publicación:
25/08/2026
Idioma:
Inglés
*** Pendiente de traducción *** PraisonAI is a multi-agent teams system. Prior to praisonai 4.6.58, JobSubmitRequest.validate_webhook_url() accepts webhook_url when resolution raises socket.gaierror because the exception path uses except socket.gaierror: pass. JobExecutor._send_webhook() later performs a fresh lookup, allowing DNS changes to direct the request to an internal service. This issue is fixed in version 4.6.58.
Gravedad CVSS v3.1: ALTA
Última modificación:
25/08/2026

CVE-2026-55538
Fecha de publicación:
25/08/2026
Idioma:
Inglés
*** Pendiente de traducción *** PraisonAI is a multi-agent teams system. Prior to praisonai 4.6.51, praisonai serve agents parses config["api_key"] but _create_agents_app() does not authenticate POST /agents or POST /agents/{agent_name}. Missing or incorrect bearer and X-API-Key values still reach agent execution. This issue is fixed in version 4.6.58.
Gravedad CVSS v3.1: ALTA
Última modificación:
25/08/2026

CVE-2026-55535
Fecha de publicación:
25/08/2026
Idioma:
Inglés
*** Pendiente de traducción *** PraisonAI is a multi-agent teams system. Prior to praisonai 4.6.58, the Jobs API validate_webhook_url() path fails open on socket.gaierror and does not bind the validated address to the later request. An attacker webhook_url can later resolve to 127.0.0.1, 169.254.169.254, or another internal address. This issue is fixed in version 4.6.58.
Gravedad CVSS v3.1: MEDIA
Última modificación:
25/08/2026

CVE-2026-55541
Fecha de publicación:
25/08/2026
Idioma:
Inglés
*** Pendiente de traducción *** PraisonAI is a multi-agent teams system. Prior to praisonai 4.6.58, praisonai serve agents and praisonai serve unified parse --api-key but _create_agents_app() and _create_unified_app() do not install a credential check. Unauthenticated callers can reach POST /agents and POST /api/v1/agents/{id}/invoke. This issue is fixed in version 4.6.58.
Gravedad CVSS v4.0: ALTA
Última modificación:
25/08/2026

CVE-2026-55534
Fecha de publicación:
25/08/2026
Idioma:
Inglés
*** Pendiente de traducción *** PraisonAI is a multi-agent teams system. From praisonai 4.6.34 until 4.6.58, praisonai serve agents accepts --api-key but _create_agents_app() does not authenticate POST /agents or POST /agents/{agent_name}. A network caller can invoke configured agents without credentials even when an API key was supplied. This issue is fixed in version 4.6.58.
Gravedad CVSS v3.1: ALTA
Última modificación:
27/08/2026

CVE-2026-55540
Fecha de publicación:
25/08/2026
Idioma:
Inglés
*** Pendiente de traducción *** PraisonAI is a multi-agent teams system. Prior to praisonai 4.6.51, is_path_within_directory() uses os.path.abspath() rather than os.path.realpath() for the workspace boundary. A symlink inside workspace can point outside and still pass the check, allowing read_file and other code tools to access files outside the configured workspace. This issue is fixed in version 4.6.58.
Gravedad CVSS v3.1: ALTA
Última modificación:
27/08/2026

CVE-2026-55530
Fecha de publicación:
25/08/2026
Idioma:
Inglés
*** Pendiente de traducción *** PraisonAI is a multi-agent teams system. Prior to praisonaiagents 1.6.58, ast_grep_rewrite lacks the @require_approval decorator used by sibling mutation tools. With dry_run=False, an agent-controlled call can pass --update-all and a broad path to rewrite matching files without the expected authorization gate. This issue is fixed in version 1.6.58.
Gravedad CVSS v3.1: MEDIA
Última modificación:
25/08/2026
Suscribirse a Vulnerabilidades