Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

017 - Ir a la línea de ayuda en Ciberseguridad    Ir a Agenda     Ir a Sala de prensa     Ir a suscripción de boletines

Ir al buscador

Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las últimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las últimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las últimas vulnerabilidades incorporadas al repositorio.

CVE-2026-41857
Fecha de publicación:
09/07/2026
Idioma:
Inglés
*** Pendiente de traducción *** A compromised or malicious BOSH Director can execute arbitrary shell commands on the operator&amp;#39;s workstation when the operator runs bosh ssh (or bosh scp/bosh logs -f) with default flags.<br /> Affected versions: BOSH CLI versions prior to 7.10.5.
Gravedad CVSS v4.0: ALTA
Última modificación:
13/07/2026

CVE-2026-15138
Fecha de publicación:
09/07/2026
Idioma:
Inglés
*** Pendiente de traducción *** A security vulnerability has been detected in tumf mcp-text-editor up to 1.0.2. This issue affects the function _validate_file_path of the file mcp_text_editor/text_editor.py. Such manipulation of the argument file_path leads to path traversal. The attack can be launched remotely. The exploit has been disclosed publicly and may be used. The vendor closed the GitHub issue for this vulnerability without any explanation.
Gravedad CVSS v4.0: BAJA
Última modificación:
09/07/2026

CVE-2026-47646
Fecha de publicación:
09/07/2026
Idioma:
Inglés
*** Pendiente de traducción *** Improper neutralization of input during web page generation (&amp;#39;cross-site scripting&amp;#39;) in Dynamics 365 Customer Voice allows an unauthorized attacker to perform spoofing over a network.
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
09/07/2026

CVE-2026-15135
Fecha de publicación:
09/07/2026
Idioma:
Inglés
*** Pendiente de traducción *** A security flaw has been discovered in code-projects Online Food Order System 1.0. This affects an unknown part of the file /edit_food_items.php. The manipulation of the argument update results in sql injection. It is possible to launch the attack remotely. The exploit has been released to the public and may be used for attacks.
Gravedad CVSS v4.0: MEDIA
Última modificación:
09/07/2026

CVE-2026-15137
Fecha de publicación:
09/07/2026
Idioma:
Inglés
*** Pendiente de traducción *** A weakness has been identified in code-projects Interview Management System 1.0. This vulnerability affects unknown code of the file \inc\classes\View.php. This manipulation of the argument ID causes sql injection. The attack can be initiated remotely. The exploit has been made available to the public and could be used for attacks.
Gravedad CVSS v4.0: MEDIA
Última modificación:
09/07/2026

CVE-2026-15134
Fecha de publicación:
09/07/2026
Idioma:
Inglés
*** Pendiente de traducción *** A vulnerability was determined in CodeAstro Simple Online Leave Management System 1.0. Affected by this vulnerability is an unknown functionality of the file /SimpleOnlineLeave/index.php. Executing a manipulation of the argument email can lead to sql injection. The attack may be performed from remote. The exploit has been publicly disclosed and may be utilized.
Gravedad CVSS v4.0: MEDIA
Última modificación:
09/07/2026

CVE-2026-54782
Fecha de publicación:
08/07/2026
Idioma:
Inglés
*** Pendiente de traducción *** CoreWCF is a port of the service side of Windows Communication Foundation (WCF) to .NET Core. Prior to 1.8.1 and 1.9.1, CoreWCF SAML 1.1 and SAML 2.0 token validation does not correctly resolve the issuer signing key or require signed tokens when IdentityConfiguration is used with federated bindings, allowing an unauthenticated remote attacker to impersonate any principal the trusted STS could issue. This issue is fixed in versions 1.8.1 and 1.9.1.
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
10/07/2026

CVE-2026-54783
Fecha de publicación:
08/07/2026
Idioma:
Inglés
*** Pendiente de traducción *** CoreWCF is a port of the service side of Windows Communication Foundation (WCF) to .NET Core. Prior to 1.8.1 and 1.9.1, CoreWCF WS-Security endorsing and supporting signature verification does not ensure the selected ds:Signature covers the expected Security header target, allowing an attacker with one captured signed SOAP envelope to replay arbitrary service operations as the victim principal. This issue is fixed in versions 1.8.1 and 1.9.1.
Gravedad CVSS v3.1: ALTA
Última modificación:
10/07/2026

CVE-2026-54784
Fecha de publicación:
08/07/2026
Idioma:
Inglés
*** Pendiente de traducción *** CoreWCF is a port of the service side of Windows Communication Foundation (WCF) to .NET Core. In version 1.9.0, CoreWCF SPNEGO SecurityContextToken negotiation can expose the proof key recovered from the RSTR when TransportWithMessageCredential with Windows client credentials and session establishment are used, allowing an observer to impersonate the authenticated Windows principal and decrypt or forge WS-SecureConversation traffic. This issue is fixed in version 1.9.1.
Gravedad CVSS v3.1: ALTA
Última modificación:
10/07/2026

CVE-2026-59723
Fecha de publicación:
08/07/2026
Idioma:
Inglés
*** Pendiente de traducción *** Cline is an autonomous coding agent as an SDK, IDE extension, or CLI assistant. Prior to 3.0.30, the Cline Hub dashboard server launched by the cline dashboard command accepts WebSocket connections on the /browser endpoint without validating the Origin header, and when ROOM_SECRET is unset for local 127.0.0.1 binds, isAuthorizedBrowserRequest() allows attacker-controlled websites to send desktopCommand frames that read workspace state, mutate MCP and provider settings, and trigger command execution when a provider or model is configured. This issue is fixed in version 3.0.30.
Gravedad CVSS v3.1: ALTA
Última modificación:
10/07/2026

CVE-2026-54775
Fecha de publicación:
08/07/2026
Idioma:
Inglés
*** Pendiente de traducción *** CoreWCF is a port of the service side of Windows Communication Foundation (WCF) to .NET Core. Prior to 1.8.1 and 1.9.1, a CoreWCF service listening on a Kafka topic stops processing new records from that topic when KafkaTransportPump receives a null-value tombstone record, causing a persistent endpoint denial of service for attackers with produce permission. This issue is fixed in versions 1.8.1 and 1.9.1.
Gravedad CVSS v3.1: MEDIA
Última modificación:
09/07/2026

CVE-2026-54776
Fecha de publicación:
08/07/2026
Idioma:
Inglés
*** Pendiente de traducción *** CoreWCF is a port of the service side of Windows Communication Foundation (WCF) to .NET Core. Prior to 1.8.1 and 1.9.1, a CoreWCF service hosted on Unix Domain Sockets with PosixIdentity client credentials can accept connections that skip the application/unixposix stream upgrade before dispatching messages, bypassing framing-layer identity checks in UnixPosixIdentitySecurityUpgradeProvider. This issue is fixed in versions 1.8.1 and 1.9.1.
Gravedad CVSS v3.1: MEDIA
Última modificación:
09/07/2026
Suscribirse a Vulnerabilidades