Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las ultimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las ultimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las ultimas vulnerabilidades incorporadas al repositorio.

CVE-2026-24328

Fecha de publicación:

10/02/2026

Idioma:

Inglés

*** Pendiente de traducción *** SAP TAF_APPLAUNCHER within Business Server Pages allows unauthenticated attacker to craft malicious links that, when clicked by a victim, redirect them to attacker?controlled sites, potentially exposing or altering sensitive information in the victim�s browser. This results in a low impact on confidentiality and integrity, with no impact on the availability of the application.

Gravedad CVSS v3.1: MEDIA

Última modificación:

10/02/2026

CVE-2026-2259

Fecha de publicación:

10/02/2026

Idioma:

Inglés

*** Pendiente de traducción *** A vulnerability has been found in aardappel lobster up to 2025.4. Affected by this issue is the function lobster::Parser::ParseStatements in the library dev/src/lobster/parser.h of the component Parsing. The manipulation leads to memory corruption. The attack can only be performed from a local environment. The exploit has been disclosed to the public and may be used. The identifier of the patch is 2f45fe860d00990e79e13250251c1dde633f1f89. Applying a patch is the recommended action to fix this issue.

Gravedad CVSS v4.0: MEDIA

Última modificación:

10/02/2026

CVE-2026-2260

Fecha de publicación:

10/02/2026

Idioma:

Inglés

*** Pendiente de traducción *** A vulnerability was found in D-Link DCS-931L up to 1.13.0. This affects an unknown part of the file /goform/setSysAdmin. The manipulation of the argument AdminID results in os command injection. The attack can be executed remotely. The exploit has been made public and could be used. This vulnerability only affects products that are no longer supported by the maintainer.

Gravedad CVSS v4.0: ALTA

Última modificación:

10/02/2026

CVE-2026-24321

Fecha de publicación:

10/02/2026

Idioma:

Inglés

*** Pendiente de traducción *** SAP Commerce Cloud exposes multiple API endpoints to unauthenticated users, allowing them to submit requests to these open endpoints to retrieve sensitive information that is not intended to be publicly accessible via the front-end. This vulnerability has a low impact on confidentiality and does not affect integrity and availability.

Gravedad CVSS v3.1: MEDIA

Última modificación:

10/02/2026

CVE-2026-24322

Fecha de publicación:

10/02/2026

Idioma:

Inglés

*** Pendiente de traducción *** SAP Solution Tools Plug-In (ST-PI) contains a function module that does not perform the necessary authorization checks for authenticated users, allowing sensitive information to be disclosed. This vulnerability has a high impact on confidentiality and does not affect integrity or availability.

Gravedad CVSS v3.1: ALTA

Última modificación:

10/02/2026

CVE-2026-24323

Fecha de publicación:

10/02/2026

Idioma:

Inglés

*** Pendiente de traducción *** The BSP applications allow an unauthenticated user to inject malicious script content via user-controlled URL parameters that are not sufficiently sanitized. When a victim accesses a crafted URL, the injected script is executed in the victim�s browser, leading to a low impact on confidentiality and integrity, and no impact on the availability of the application.

Gravedad CVSS v3.1: MEDIA

Última modificación:

10/02/2026

CVE-2026-24324

Fecha de publicación:

10/02/2026

Idioma:

Inglés

*** Pendiente de traducción *** SAP BusinessObjects Business Intelligence Platform (AdminTools) allows an authenticated attacker with user privileges to execute a specific query in AdminTools that could cause the Content Management Server (CMS) to crash, rendering the CMS partially or completely unavailable and resulting in the denial of service of the Content Management Server (CMS). Successful exploitation impacts system availability, while confidentiality and integrity remain unaffected.

Gravedad CVSS v3.1: MEDIA

Última modificación:

10/02/2026

CVE-2026-24325

Fecha de publicación:

10/02/2026

Idioma:

Inglés

*** Pendiente de traducción *** SAP BusinessObjects Enterprise does not sufficiently encode user-controlled inputs, leading to Stored Cross-Site Scripting (XSS) vulnerability. This enables an admin user to inject malicious JavaScript into a website and the injected script gets executed when the user visits the compromised page.This vulnerability has low impact on confidentiality and integrity of the data. There is no impact on the availability of the application.

Gravedad CVSS v3.1: MEDIA

Última modificación:

10/02/2026

CVE-2026-24326

Fecha de publicación:

10/02/2026

Idioma:

Inglés

*** Pendiente de traducción *** Due to a missing authorization check in the Disconnected Operations of the SAP S/4HANA Defense & Security, an attacker with user privileges could call remote-enabled function modules to do direct update on standard SAP database table . This results in low impact on integrity, with no impact on confidentiality or availability of the application.

Gravedad CVSS v3.1: MEDIA

Última modificación:

10/02/2026

CVE-2026-23686

Fecha de publicación:

10/02/2026

Idioma:

Inglés

*** Pendiente de traducción *** Due to a CRLF Injection vulnerability in SAP NetWeaver Application Server Java, an authenticated attacker with administrative access could submit specially crafted content to the application. If processed by the application, this content enables injection of untrusted entries into generated configuration, allowing manipulation of application-controlled settings. Successful exploitation leads to a low impact on integrity, while confidentiality and availability remain unaffected.

Gravedad CVSS v3.1: BAJA

Última modificación:

10/02/2026

CVE-2026-23687

Fecha de publicación:

10/02/2026

Idioma:

Inglés

*** Pendiente de traducción *** SAP NetWeaver Application Server ABAP and ABAP Platform allows an authenticated attacker with normal privileges to obtain a valid signed message and send modified signed XML documents to the verifier. This may result in acceptance of tampered identity information, unauthorized access to sensitive user data and potential disruption of normal system usage.

Gravedad CVSS v3.1: ALTA

Última modificación:

10/02/2026

CVE-2026-23688

Fecha de publicación:

10/02/2026

Idioma:

Inglés

*** Pendiente de traducción *** SAP Fiori App Manage Service Entry Sheets does not perform necessary authorization checks for an authenticated user, resulting in escalation of privileges. This has low impact on integrity, confidentiality and availability are not impacted.

Gravedad CVSS v3.1: MEDIA

Última modificación:

10/02/2026

Suscribirse a Vulnerabilidades