Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las últimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las últimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las últimas vulnerabilidades incorporadas al repositorio.

CVE-2026-62386

Fecha de publicación:

17/07/2026

Idioma:

Inglés

*** Pendiente de traducción *** The Grav API plugin (getgrav/grav-plugin-api) before 1.0.0-rc.16 accepts JWT access tokens through the ?token= URL query parameter on every API route (JwtAuthenticator::extractBearerToken fallback). Because tokens are embedded in URLs, they are logged verbatim in web server access logs, leaked via the Referer header, stored in browser history, and captured by upstream proxy and CDN logs, exposing valid admin access tokens. A leaked token grants unauthorized API access, including reading configuration and user data, creating admin accounts, modifying system settings, and deleting pages.

Gravedad CVSS v4.0: ALTA

Última modificación:

23/07/2026

CVE-2026-62230

Fecha de publicación:

17/07/2026

Idioma:

Inglés

*** Pendiente de traducción *** Grav before 2.0.4 ships a default .htaccess (and reference webserver-configs/htaccess.txt) whose rules blocking access to sensitive file types (.yaml, .php, .json, etc.) lack the [NC] flag, making extension matching case-sensitive. On case-insensitive filesystems (Windows/NTFS, macOS/HFS+, or Docker volume mounts), an unauthenticated attacker can request these files with uppercase or mixed-case extensions (e.g., .YAML, .PHP) to bypass the restrictions and read sensitive configuration files that may contain API keys and credentials.

Gravedad CVSS v4.0: ALTA

Última modificación:

17/07/2026

CVE-2026-62232

Fecha de publicación:

17/07/2026

Idioma:

Inglés

*** Pendiente de traducción *** Grav before 2.0.4 contains a two-factor authentication bypass vulnerability in the login plugin where the regenerate2FASecret task checks only user existence, not authorization, during the pending TOTP challenge window. Attackers who know the victim&#39;s password can call this task without a CSRF nonce to overwrite the 2FA secret with an attacker-chosen value, compute a valid TOTP code, and complete authentication while reducing 2FA to password-only protection.

Gravedad CVSS v4.0: CRÍTICA

Última modificación:

17/07/2026

CVE-2026-62233

Fecha de publicación:

17/07/2026

Idioma:

Inglés

*** Pendiente de traducción *** grav-plugin-api before 1.0.6 fails to validate super-admin status in createApiKey, generate2fa, and disable2fa endpoints, allowing non-super api.users.write managers to escalate to super-admin. Attackers can mint API keys bound to super-admin accounts or strip 2FA from super-admin users to achieve full instance takeover.

Gravedad CVSS v4.0: ALTA

Última modificación:

17/07/2026

CVE-2026-62229

Fecha de publicación:

17/07/2026

Idioma:

Inglés

*** Pendiente de traducción *** OpenClaw before 2026.5.18 contain an authorization bypass vulnerability in exec allowlist glob matching that allows lower-trust callers to execute actions beyond intended authorization. Attackers can craft input paths that traverse the allowlist glob patterns to execute or persist unauthorized actions when the affected feature is enabled.

Gravedad CVSS v4.0: ALTA

Última modificación:

18/07/2026

CVE-2026-62231

Fecha de publicación:

17/07/2026

Idioma:

Inglés

*** Pendiente de traducción *** The Grav API plugin (getgrav/grav-plugin-api) before 1.0.6 contains an authorization bypass: API keys can be created with a restricted scopes array, but the ApiKeyAuthenticator class never reads or enforces these scopes. It loads and returns the owning user&#39;s full account object, so a key created with limited scopes (e.g. read-only) can perform any write, delete, or administrative operation the owning user is authorized for. Fixed in 1.0.6.

Gravedad CVSS v4.0: ALTA

Última modificación:

21/07/2026

CVE-2026-62228

Fecha de publicación:

17/07/2026

Idioma:

Inglés

*** Pendiente de traducción *** OpenClaw before 2026.6.5 contain an authorization bypass vulnerability in node exec approvals that allows lower-trust callers to execute actions beyond their intended authorization by using different gateway and node environments. Attackers can exploit mismatched environment configurations to persist or execute actions that exceed the caller&#39;s approved permissions.

Gravedad CVSS v4.0: ALTA

Última modificación:

21/07/2026

CVE-2026-62227

Fecha de publicación:

17/07/2026

Idioma:

Inglés

*** Pendiente de traducción *** OpenClaw 2026.4.14 before 2026.5.26 contain a server-side request forgery vulnerability in browser snapshot routes that fail to validate post-navigation destinations. Attackers with lower-trust access can bypass OpenClaw policy checks to reach network destinations that should have been blocked.

Gravedad CVSS v4.0: MEDIA

Última modificación:

21/07/2026

CVE-2026-62224

Fecha de publicación:

17/07/2026

Idioma:

Inglés

*** Pendiente de traducción *** OpenClaw MS Teams before 2026.5.12 contain an authorization bypass vulnerability where the allowFrom feature binds to mutable display names. Attackers with lower-trust access can perform actions requiring stronger authorization by exploiting the mutable display name binding in the affected feature.

Gravedad CVSS v4.0: BAJA

Última modificación:

17/07/2026

CVE-2026-62223

Fecha de publicación:

17/07/2026

Idioma:

Inglés

*** Pendiente de traducción *** OpenClaw before 2026.5.18 contain an authorization bypass vulnerability in the device-pair approval feature that allows lower-trust callers to execute actions beyond their intended authorization. Attackers can exploit misconfigured input paths to execute or persist unauthorized actions when the affected feature is enabled and reachable.

Gravedad CVSS v4.0: ALTA

Última modificación:

20/07/2026

CVE-2026-62222

Fecha de publicación:

17/07/2026

Idioma:

Inglés

*** Pendiente de traducción *** OpenClaw before 2026.5.22 contain a vulnerability in setup-mode discovery that allows loading of untrusted workspace plugins. Attackers with lower-trust caller access or control over configured input paths can execute or persist actions beyond their intended authorization level.

Gravedad CVSS v4.0: ALTA

Última modificación:

20/07/2026

CVE-2026-62225

Fecha de publicación:

17/07/2026

Idioma:

Inglés

*** Pendiente de traducción *** OpenClaw versions before 2026.5.18 contain an authorization bypass vulnerability in skill command dispatch that allows lower-trust callers to execute or persist actions beyond their intended authorization. Attackers can bypass tool policy restrictions through configured input paths to perform unauthorized actions when the affected feature is enabled and reachable.

Gravedad CVSS v4.0: BAJA

Última modificación:

21/07/2026

Suscribirse a Vulnerabilidades