Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las últimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las últimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las últimas vulnerabilidades incorporadas al repositorio.

CVE-2026-63741

Fecha de publicación:

20/07/2026

Idioma:

Inglés

*** Pendiente de traducción *** SurrealDB versions before 3.1.0 fail to validate DEFINE NAMESPACE or DEFINE DATABASE permissions when processing USE NS and USE DB statements. Unauthenticated attackers can create arbitrary namespaces and databases by issuing USE commands, bypassing authorization checks in the RPC use method and SurrealQL executor.

Gravedad CVSS v4.0: MEDIA

Última modificación:

23/07/2026

CVE-2026-63737

Fecha de publicación:

20/07/2026

Idioma:

Inglés

*** Pendiente de traducción *** SurrealDB versions before 3.1.5 contain a denial of service vulnerability where authenticated users can crash the server with queries containing long chains of operators. Attackers can submit queries with tens of thousands of chained operators that create unbounded expression trees, causing stack overflow during query processing and aborting the entire process.

Gravedad CVSS v4.0: ALTA

Última modificación:

22/07/2026

CVE-2026-63736

Fecha de publicación:

20/07/2026

Idioma:

Inglés

*** Pendiente de traducción *** SurrealDB before 3.2.0 contains a server-side request forgery vulnerability in the JWKS fetcher that validates only the URL hostname string against allow-lists without checking resolved IP addresses. An Owner role attacker can point an access method at an allow-listed hostname resolving to private or loopback addresses, causing the server to issue GET requests to internal addresses that would be blocked by direct URL.

Gravedad CVSS v4.0: MEDIA

Última modificación:

22/07/2026

CVE-2026-63734

Fecha de publicación:

20/07/2026

Idioma:

Inglés

*** Pendiente de traducción *** SurrealDB versions before 3.2.0 contain a denial of service vulnerability in the SurrealML header parser that allows authenticated Owner-role users to crash the server by uploading a malformed .surml file to the /ml/import endpoint. Attackers can supply non-numeric input-dimensions or other malformed header fields that trigger unchecked unwrap calls, causing a panic that aborts the entire server process and denies service to all databases.

Gravedad CVSS v4.0: MEDIA

Última modificación:

22/07/2026

CVE-2026-63733

Fecha de publicación:

20/07/2026

Idioma:

Inglés

*** Pendiente de traducción *** SurrealDB versions before 3.2.0 contain a permissions bypass vulnerability where data-modifying statements within PERMISSIONS clauses execute with enforcement disabled. Attackers with permission to perform a guarded operation can write to tables they lack permission for by embedding CREATE, UPDATE, DELETE, or UPSERT statements in the PERMISSIONS clause, causing unintended writes and data corruption.

Gravedad CVSS v4.0: MEDIA

Última modificación:

22/07/2026

CVE-2026-63735

Fecha de publicación:

20/07/2026

Idioma:

Inglés

*** Pendiente de traducción *** SurrealDB versions before 3.2.0 fail to validate namespace and database scope in custom API routes, allowing authenticated users to invoke endpoints in different namespaces/databases. Attackers with valid credentials for any namespace/database can access custom API endpoints in other tenants by specifying the target scope in the URL path, reading sensitive data or triggering unintended operations.

Gravedad CVSS v4.0: ALTA

Última modificación:

23/07/2026

CVE-2026-16254

Fecha de publicación:

20/07/2026

Idioma:

Inglés

*** Pendiente de traducción *** A flaw was found in claircore&#39;s apk package scanner. Malformed package-database data in a container layer can cause an out-of-bounds access that panics the scanner. If that panic is not recovered, the Clair indexer process can crash, leading to a denial of service.

Gravedad CVSS v3.1: MEDIA

Última modificación:

21/07/2026

CVE-2026-16246

Fecha de publicación:

20/07/2026

Idioma:

Inglés

*** Pendiente de traducción *** In BRAIN2 versions prior to 3.09, the application LogPathConfig.exe is executed during setup. As a result, the Windows group Everyone is granted full control over %ProgramData% instead of being restricted to %ProgramData%\Bizerba\BRAIN2\. Starting with BRAIN2 3.09, the setup no longer executes this tool. However, the optional component Bizerba ScriptService still executes it. Bizerba ScriptService is being deprecated and will no longer be included starting with BRAIN2 version 3.11.

Gravedad CVSS v3.1: ALTA

Última modificación:

21/07/2026

CVE-2026-16247

Fecha de publicación:

20/07/2026

Idioma:

Inglés

*** Pendiente de traducción *** In _connect.BRAIN versions prior to 5.06, the application LogPathConfig.exe is executed during setup. During this process, existing permissions on %ProgramData% are deleted and replaced, granting the Windows group Everyone full control instead of restricting access to %ProgramData%\Bizerba\_connect.BRAIN or %ProgramData%\Bizerba\BCT. Starting with _connect.BRAIN 5.06, the setup no longer executes this tool.

Gravedad CVSS v3.1: ALTA

Última modificación:

21/07/2026

CVE-2026-15588

Fecha de publicación:

20/07/2026

Idioma:

Inglés

*** Pendiente de traducción *** A denial-of-service and resource exhaustion vulnerability exists within the `GDBus` component of GLib. The `gdbusauth` authentication mechanism fails to enforce proper length limitations on data lines read from a client. An unauthenticated local or remote attacker can exploit this lack of input validation by sending excessively long streams of data, causing the application to consume massive amounts of system memory and CPU, potentially leading to a crash or system hang.

Gravedad CVSS v3.1: MEDIA

Última modificación:

21/07/2026

CVE-2026-15813

Fecha de publicación:

20/07/2026

Idioma:

Inglés

*** Pendiente de traducción *** A vulnerability was found in the network packet de-fragmentation engine of kronosnet (Version affected

Gravedad CVSS v3.1: MEDIA

Última modificación:

21/07/2026

CVE-2026-14448

Fecha de publicación:

20/07/2026

Idioma:

Inglés

*** Pendiente de traducción *** An high privileged remote attacker can exploit an authenticated OS command injection vulnerability in the system_certificates view due to improper neutralization of special elements in an OS command. This can result in a total loss of confidentiality, availability and integrity.

Gravedad CVSS v4.0: ALTA

Última modificación:

22/07/2026

Suscribirse a Vulnerabilidades