Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las últimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las últimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las últimas vulnerabilidades incorporadas al repositorio.

CVE-2026-29007

Fecha de publicación:

08/07/2026

Idioma:

Inglés

*** Pendiente de traducción *** U-Boot through 2026.04-rc3 contains an out-of-bounds read vulnerability in tcp_rx_state_machine() (net/tcp.c) when CONFIG_PROT_TCP is enabled, allowing remote attackers to read beyond TCP segment boundaries by crafting a malicious packet with a mismatched IP total length and TCP data offset field. Attackers can send a packet with an IP total length of 40 bytes and a TCP data offset claiming 60 bytes of header to cause tcp_parse_options() to read 40 bytes past the end of the TCP segment, potentially corrupting connection state variables such as rmt_win_scale and rmt_timestamp to disrupt TCP window calculations.

Gravedad CVSS v4.0: MEDIA

Última modificación:

14/07/2026

CVE-2025-3110

Fecha de publicación:

08/07/2026

Idioma:

Inglés

*** Pendiente de traducción *** OpenVPN Access Server 2.7.2 through 3.1.0 accepts bare line-feed sequences inside HTTP header values, allowing remote attackers to perform HTTP request smuggling when deployed behind a reverse proxy

Gravedad CVSS v4.0: MEDIA

Última modificación:

10/07/2026

CVE-2026-9074

Fecha de publicación:

08/07/2026

Idioma:

Inglés

*** Pendiente de traducción *** IBM API Connect 10.0.8.0 through 10.0.8.9 and 12.1.0.0 through 12.1.0.3 contains an unauthenticated SQL injection vulnerability in the password reset functionality.

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

10/07/2026

CVE-2026-59880

Fecha de publicación:

08/07/2026

Idioma:

Inglés

*** Pendiente de traducción *** Immutable.js provides many Persistent Immutable data structures. Prior to 4.3.9 and 5.1.8, Immutable.Map and Immutable.Set keep keys that share the same 32-bit hash in a HashCollisionNode collision bucket that is scanned linearly, allowing an attacker who controls keys inserted into a Map, such as through Immutable.Map(obj), Immutable.fromJS(obj), state.merge(userObject), or mergeDeep, to craft many colliding keys and degrade insertion and lookup to consume disproportionate CPU. This issue is fixed in versions 4.3.9 and 5.1.8.

Gravedad CVSS v4.0: ALTA

Última modificación:

10/07/2026

CVE-2026-59877

Fecha de publicación:

08/07/2026

Idioma:

Inglés

*** Pendiente de traducción *** protobufjs compiles protobuf definitions into JavaScript (JS) functions. Prior to 7.6.5 and 8.6.6, protobufjs parsed option names by advancing through schema tokens until reaching an = token without checking for end of input, so a crafted .proto schema that opens an option declaration and ends prematurely can cause parse, Root.load, or Root.loadSync to loop indefinitely. This issue is fixed in versions 7.6.5 and 8.6.6.

Gravedad CVSS v3.1: MEDIA

Última modificación:

10/07/2026

CVE-2026-59875

Fecha de publicación:

08/07/2026

Idioma:

Inglés

*** Pendiente de traducción *** node-tar is a tar archive manipulation library for Node.js. Prior to 7.5.17, node-tar does not strip NUL bytes from PAX path and linkpath records in src/pax.ts, allowing a crafted archive with values to reach fs.lstat or fs.open and terminate the process with an uncaught exception. This issue is fixed in version 7.5.17.

Gravedad CVSS v3.1: MEDIA

Última modificación:

10/07/2026

CVE-2026-59876

Fecha de publicación:

08/07/2026

Idioma:

Inglés

*** Pendiente de traducción *** protobufjs compiles protobuf definitions into JavaScript (JS) functions. From 8.2.0 until 8.6.5, the protobufjs Text Format extension parsed string-keyed map entries using ordinary property assignment, allowing a map entry with key __proto__ to change the prototype of the returned map object instead of creating an own map entry in protobufjs/ext/textformat. This issue is fixed in version 8.6.5.

Gravedad CVSS v3.1: MEDIA

Última modificación:

13/07/2026

CVE-2026-59874

Fecha de publicación:

08/07/2026

Idioma:

Inglés

*** Pendiente de traducción *** node-tar is a tar archive manipulation library for Node.js. Prior to 7.5.18, tar.replace accepts a checksum-valid tar header with a negative base-256 encoded entry size, causing the archive scanner to make no progress while repeatedly parsing the same header. This issue is fixed in version 7.5.18.

Gravedad CVSS v4.0: ALTA

Última modificación:

10/07/2026

CVE-2026-59873

Fecha de publicación:

08/07/2026

Idioma:

Inglés

*** Pendiente de traducción *** node-tar is a tar archive manipulation library for Node.js. Prior to 7.5.19, node-tar does not enforce hard upper bounds on total decompressed data, entry counts, or decompression ratio in extraction and parsing paths such as src/extract.ts, allowing a small crafted gzip bomb to exhaust disk space and CPU. This issue is fixed in version 7.5.19.

Gravedad CVSS v4.0: CRÍTICA

Última modificación:

10/07/2026

CVE-2026-59871

Fecha de publicación:

08/07/2026

Idioma:

Inglés

*** Pendiente de traducción *** node-tar is a tar archive manipulation library for Node.js. Prior to 7.5.18, node-tar coerces all-digit PAX path and linkpath values in src/pax.ts to JavaScript numbers, causing downstream path handling such as normalizeWindowsPath(entry.path).split(&#39;/&#39;) to throw an uncaught TypeError. This issue is fixed in version 7.5.18.

Gravedad CVSS v3.1: MEDIA

Última modificación:

10/07/2026

CVE-2026-59870

Fecha de publicación:

08/07/2026

Idioma:

Inglés

*** Pendiente de traducción *** js-yaml is a JavaScript YAML parser and dumper. From 5.0.0 before 5.2.1, YAML11_SCHEMA support for the !!omap tag in src/tag/sequence/omap.ts uses omapTag.addItem() to perform a linear duplicate-key scan on every insertion, causing O(n^2) CPU consumption when yaml.load() parses a crafted ordered-map document. This issue is fixed in version 5.2.1.

Gravedad CVSS v3.1: MEDIA

Última modificación:

10/07/2026

CVE-2026-59869

Fecha de publicación:

08/07/2026

Idioma:

Inglés

*** Pendiente de traducción *** js-yaml is a JavaScript YAML parser and dumper. From 3.0.0 before 3.15.0 and from 4.0.0 before 4.3.0, js-yaml can spend quadratic CPU time parsing a document whose size grows only linearly when a chain of mappings uses merge keys where each mapping merges the previous one. This issue is fixed in versions 3.15.0 and 4.3.0.

Gravedad CVSS v3.1: ALTA

Última modificación:

13/07/2026

Suscribirse a Vulnerabilidades