Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

017 - Ir a la línea de ayuda en Ciberseguridad    Ir a Agenda     Ir a Sala de prensa     Ir a suscripción de boletines

Ir al buscador

Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las últimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las últimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las últimas vulnerabilidades incorporadas al repositorio.

CVE-2026-62225
Fecha de publicación:
17/07/2026
Idioma:
Inglés
*** Pendiente de traducción *** OpenClaw versions before 2026.5.18 contain an authorization bypass vulnerability in skill command dispatch that allows lower-trust callers to execute or persist actions beyond their intended authorization. Attackers can bypass tool policy restrictions through configured input paths to perform unauthorized actions when the affected feature is enabled and reachable.
Gravedad CVSS v4.0: BAJA
Última modificación:
21/07/2026

CVE-2026-62226
Fecha de publicación:
17/07/2026
Idioma:
Inglés
*** Pendiente de traducción *** OpenClaw 2026.3.28 before 2026.5.19 contain an authorization bypass vulnerability in the browser act route that fails to properly validate current-tab URL checks. Attackers with lower-trust access or configured input paths can perform actions requiring stronger authorization or policy checks.
Gravedad CVSS v4.0: MEDIA
Última modificación:
21/07/2026

CVE-2026-62221
Fecha de publicación:
17/07/2026
Idioma:
Inglés
*** Pendiente de traducción *** OpenClaw 2026.5.12 before 2026.5.26 contain an incorrect authorization vulnerability in the ClickClack allowFrom feature. When the affected feature is enabled and reachable, a lower-trust caller or configured input path could execute or persist actions beyond the caller's intended authorization, including running non-allowlisted commands.
Gravedad CVSS v4.0: BAJA
Última modificación:
21/07/2026

CVE-2026-62215
Fecha de publicación:
17/07/2026
Idioma:
Inglés
*** Pendiente de traducción *** OpenClaw versions before 2026.6.5 contain an authentication bypass vulnerability in HTTP Canvas responses that allows lower-trust callers to forge trusted A2UI actions. Attackers can perform actions requiring stronger authorization by submitting crafted requests through configured input paths, bypassing intended policy checks.
Gravedad CVSS v4.0: MEDIA
Última modificación:
20/07/2026

CVE-2026-62214
Fecha de publicación:
17/07/2026
Idioma:
Inglés
*** Pendiente de traducción *** OpenClaw versions before 2026.5.28 Bot Framework contains an improper input validation vulnerability that allows lower-trust callers to expose bot tokens and credentials by failing to properly validate serviceUrl parameters. Attackers can supply malicious serviceUrl values through configured input paths to retrieve sensitive authentication data outside the trusted boundary.
Gravedad CVSS v4.0: MEDIA
Última modificación:
20/07/2026

CVE-2026-62219
Fecha de publicación:
17/07/2026
Idioma:
Inglés
*** Pendiente de traducción *** OpenClaw 2026.2.12 before 2026.5.26 contain an authorization bypass vulnerability in the hooks allowedAgentIds validation. A lower-trust caller or configured input path can bypass agent ID restrictions by submitting blank agent IDs, allowing actions that should require stronger authorization or policy checks.
Gravedad CVSS v4.0: MEDIA
Última modificación:
21/07/2026

CVE-2026-62218
Fecha de publicación:
17/07/2026
Idioma:
Inglés
*** Pendiente de traducción *** OpenClaw 2026.1.20 before 2026.5.27 contain an authorization bypass vulnerability in the device.pair.approve feature that allows lower-trust callers to bypass role-management checks. Attackers can perform actions requiring stronger authorization by reaching the affected feature through configured input paths.
Gravedad CVSS v4.0: ALTA
Última modificación:
21/07/2026

CVE-2026-62217
Fecha de publicación:
17/07/2026
Idioma:
Inglés
*** Pendiente de traducción *** OpenClaw 2026.5.14-beta.1 before 2026.5.27 contain an authorization flaw in the QQBot exec approvals feature. When the feature is enabled and reachable, a lower-trust caller or configured input path could execute or persist actions beyond the caller's intended authorization, allowing non-allowlisted senders to perform unauthorized operations.
Gravedad CVSS v4.0: ALTA
Última modificación:
21/07/2026

CVE-2026-62220
Fecha de publicación:
17/07/2026
Idioma:
Inglés
*** Pendiente de traducción *** OpenClaw 2026.2.25 before 2026.5.26 allow a lower-trust caller or configured input path to bypass non-browser rate limits on WebSocket authentication attempts. When the affected feature is enabled and reachable by lower-trust input, this can consume gateway resources and reduce service availability.
Gravedad CVSS v4.0: MEDIA
Última modificación:
21/07/2026

CVE-2026-62216
Fecha de publicación:
17/07/2026
Idioma:
Inglés
*** Pendiente de traducción *** OpenClaw 2026.4.20 before 2026.5.28 contain a policy bypass in the QQBot media upload feature. A lower-trust caller or configured input path could cause the media upload to reach network destinations that should have been blocked by OpenClaw policy (server-side request forgery). The practical impact depends on the operator's configuration and whether lower-trust input can reach that path.
Gravedad CVSS v4.0: BAJA
Última modificación:
23/07/2026

CVE-2026-62212
Fecha de publicación:
17/07/2026
Idioma:
Inglés
*** Pendiente de traducción *** OpenClaw before 2026.5.28 contains a race condition in the MS Teams safeFetch DNS rebinding check. When the affected feature is enabled and reachable, a lower-trust caller or configured input path could win a timing window between the DNS validation check and use, allowing actions that should have required a stronger authorization or policy check. Practical impact depends on the operator's configuration and whether lower-trust input can reach that path.
Gravedad CVSS v4.0: MEDIA
Última modificación:
20/07/2026

CVE-2026-62211
Fecha de publicación:
17/07/2026
Idioma:
Inglés
*** Pendiente de traducción *** OpenClaw versions before 2026.6.1 contain a credential redaction bypass vulnerability in the trajectory export feature that allows lower-trust callers to access data that should remain within trusted boundaries. Attackers can exploit misconfigured input paths or feature accessibility to expose sensitive credentials and data through the export mechanism.
Gravedad CVSS v4.0: MEDIA
Última modificación:
20/07/2026
Suscribirse a Vulnerabilidades