Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las últimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las últimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las últimas vulnerabilidades incorporadas al repositorio.

CVE-2026-64193

Fecha de publicación:

20/07/2026

Idioma:

Inglés

*** Pendiente de traducción *** Net::DNS versions through 1.55 for Perl allow remote execution injection via EDNS EXTENDED ERROR. Net::DNS::RR::OPT::EXTENDED_ERROR::_decompose parses the EXTRA-TEXT field of an EDNS EXTENDED-ERROR option (RFC 8914) by tokenising the raw bytes and passing the result to Perl&#39;s eval. There is some escaping done for $ and @, but not for backticks. This can be exploited for command execution if $pkt->edns->option(&#39;EXTENDED-ERROR&#39;) is called in array context, for example with a payload of {0:`""`} in EXTRA-TEXT.

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

21/07/2026

CVE-2026-64194

Fecha de publicación:

20/07/2026

Idioma:

Inglés

*** Pendiente de traducción *** Net::DNS versions through 1.55 for Perl allow Denial of Service via deep DNS compression pointer chains. Net::DNS::DomainName::decode follows RFC 1035 compression pointers by recursing into itself with no depth limit. It is possible to construct a name which saturates the call stack (at least with larger TCP responses), leading to a potential Denial of Service. The guard `$link new(\$wire)` i.e. any point where the library decodes a DNS message from the network.

Gravedad CVSS v3.1: ALTA

Última modificación:

21/07/2026

CVE-2026-64619

Fecha de publicación:

20/07/2026

Idioma:

Inglés

*** Pendiente de traducción *** FileCodeBox before 2.4 contains a rate-limit bypass vulnerability in the IPRateLimit class that allows unauthenticated attackers to circumvent request throttling by supplying attacker-controlled X-Real-IP and X-Forwarded-For headers without verification of trusted reverse proxy origin. Attackers can supply unique spoofed IP values on each request to enumerate all possible share codes and retrieve other users&#39; files without authentication.

Gravedad CVSS v4.0: ALTA

Última modificación:

23/07/2026

CVE-2026-63730

Fecha de publicación:

20/07/2026

Idioma:

Inglés

*** Pendiente de traducción *** HyperDX before 2.31.0 contains a server-side request forgery vulnerability that allows authenticated team members to direct the server to make requests to arbitrary internal network destinations by supplying a caller-controlled URL to the webhook test endpoint. Attackers can bypass the insufficient hostname blacklist validation in the webhook handler to enumerate internal services, interact with internal containers, or access cloud instance metadata services including provider metadata endpoints.

Gravedad CVSS v4.0: MEDIA

Última modificación:

23/07/2026

CVE-2026-63731

Fecha de publicación:

20/07/2026

Idioma:

Inglés

*** Pendiente de traducción *** HyperDX before 2.31.0 contains a server-side request forgery vulnerability that allows authenticated team members to direct the server to arbitrary internal destinations by supplying a caller-controlled host parameter to the ClickHouse proxy test endpoint with no URL validation or allowlist enforcement. Attackers can exploit the reflected error responses from the endpoint to disclose internal service response bodies, enabling access to internal APIs, container services, and cloud provider metadata endpoints.

Gravedad CVSS v4.0: MEDIA

Última modificación:

23/07/2026

CVE-2026-63768

Fecha de publicación:

20/07/2026

Idioma:

Inglés

*** Pendiente de traducción *** cal.diy through 6.2.0 contains an open redirect vulnerability in the conferencing OAuth callback endpoint that allows attackers to redirect users to arbitrary URLs by crafting malicious state parameters. Attackers can exploit the unsigned state parameter and onErrorReturnTo field to silently redirect visitors from the trusted domain to attacker-controlled URLs for phishing attacks.

Gravedad CVSS v4.0: MEDIA

Última modificación:

23/07/2026

CVE-2026-63108

Fecha de publicación:

20/07/2026

Idioma:

Inglés

*** Pendiente de traducción *** Roo Code through 3.54.0 contains a command injection vulnerability in the auto-approve execute feature that allows attackers to bypass allowlist/denylist enforcement by nesting command substitutions inside parameter expansion defaults. The command parser in parse-command.ts replaces parameter expansions with opaque placeholders before extracting command substitutions, causing the containsDangerousSubstitution guard to miss nested payloads, which are then auto-approved based on the outer allowlisted command prefix and executed by the shell via execa, enabling arbitrary command execution.

Gravedad CVSS v4.0: ALTA

Última modificación:

23/07/2026

CVE-2026-63769

Fecha de publicación:

20/07/2026

Idioma:

Inglés

*** Pendiente de traducción *** Huginn through 2022.08.18 contains a server-side request forgery vulnerability in the fetch_url method of ScenarioImport that allows authenticated users to make arbitrary HTTP requests by submitting crafted URLs. Attackers can probe internal network services, enumerate ports via error signatures, and access cloud metadata endpoints to retrieve sensitive credentials.

Gravedad CVSS v4.0: MEDIA

Última modificación:

23/07/2026

CVE-2026-63771

Fecha de publicación:

20/07/2026

Idioma:

Inglés

*** Pendiente de traducción *** Adminer before 5.4.3 contains a cookie injection vulnerability that allows attackers to manipulate cookie attributes by injecting arbitrary values through the unsanitized X-Forwarded-Prefix HTTP header used in Set-Cookie path attributes. Attackers can exploit a misconfigured reverse proxy to downgrade SameSite protection and enable cross-origin authenticated requests, bypassing cookie security controls.

Gravedad CVSS v4.0: MEDIA

Última modificación:

23/07/2026

CVE-2026-63770

Fecha de publicación:

20/07/2026

Idioma:

Inglés

*** Pendiente de traducción *** Glance through 0.8.5 contains an IP address spoofing vulnerability in the authentication handler that allows unauthenticated attackers to bypass brute-force lockout protections by supplying arbitrary values in the X-Forwarded-For request header when the server proxied option is enabled. Attackers can manipulate the leftmost value of the X-Forwarded-For header to make each login attempt appear to originate from a distinct IP address, preventing the per-IP failed-login counter from reaching the lockout threshold and enabling unlimited credential guessing against the authentication endpoint.

Gravedad CVSS v4.0: ALTA

Última modificación:

23/07/2026