Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las últimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las últimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las últimas vulnerabilidades incorporadas al repositorio.

CVE-2026-63136

Fecha de publicación:
21/07/2026
Idioma:
Inglés
*** Pendiente de traducción *** Uncontrolled Resource Consumption (CWE-400) in Elasticsearch can lead to denial of service via Excessive Allocation (CAPEC-130). A user with search privileges can submit a specially crafted search request that causes a data node to exhaust available heap memory, resulting in node unavailability and cluster degradation. An attacker could leverage this vulnerability to cause cluster downtime requiring manual intervention to restore service.
Gravedad CVSS v3.1: MEDIA
Última modificación:
22/07/2026

CVE-2026-63139

Fecha de publicación:
21/07/2026
Idioma:
Inglés
*** Pendiente de traducción *** Uncontrolled Resource Consumption (CWE-400) in Kibana can lead to denial of service via Excessive Allocation (CAPEC-130). An authenticated low-privileged user can exploit an uncontrolled resource consumption vulnerability in Kibana's Canvas functionality by sending a specially crafted request, causing the Kibana server process to terminate and resulting in a denial of service for all users of the affected Kibana instance.
Gravedad CVSS v3.1: MEDIA
Última modificación:
22/07/2026

CVE-2026-52474

Fecha de publicación:
21/07/2026
Idioma:
Inglés
*** Pendiente de traducción *** An issue in aiflowy
Gravedad CVSS v3.1: ALTA
Última modificación:
22/07/2026

CVE-2026-52475

Fecha de publicación:
21/07/2026
Idioma:
Inglés
*** Pendiente de traducción *** Cross Site Scripting vulnerability in aiflowy
Gravedad CVSS v3.1: MEDIA
Última modificación:
22/07/2026

CVE-2026-52476

Fecha de publicación:
21/07/2026
Idioma:
Inglés
*** Pendiente de traducción *** SQL Injection vulnerability in aiflowy
Gravedad CVSS v3.1: ALTA
Última modificación:
22/07/2026

CVE-2026-63092

Fecha de publicación:
21/07/2026
Idioma:
Inglés
*** Pendiente de traducción *** kirby-modules through 5.5.7, fixed in commit 315417e, contains an information disclosure vulnerability that allows any authenticated Kirby Panel user to retrieve the full plaintext commercial license key by sending a GET request to the modules/activate dialog endpoint. The plugin's activate dialog handler in lib/areas.php returns the complete key via ModulesLicense::readKey() without performing an administrator check, as the dialog is gated only by the access.system permission which defaults to true for all non-admin roles, enabling attackers to use the disclosed key to activate the plugin on arbitrary third-party installations.
Gravedad CVSS v4.0: MEDIA
Última modificación:
23/07/2026

CVE-2026-63080

Fecha de publicación:
21/07/2026
Idioma:
Inglés
*** Pendiente de traducción *** Aptabase through commit 5a89368 contains a SQL injection vulnerability in the ClickHouse query backend that allows authenticated attackers to read event data across all tenants by injecting unsanitized filter parameters into Liquid SQL templates. Attackers can supply malicious values through EventName, CountryCode, OsName, DeviceModel, AppVersion, or SessionId parameters to inject a UNION ALL statement that bypasses the app_id tenant isolation filter across thirteen of the fifteen stats API endpoints.
Gravedad CVSS v4.0: ALTA
Última modificación:
23/07/2026

CVE-2026-52469

Fecha de publicación:
21/07/2026
Idioma:
Inglés
*** Pendiente de traducción *** SQL injection vulnerability in Crocus v.1.3.44 allows a remote attacker to escalate privileges via the DeviceInfoMapper.xml file
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
22/07/2026

CVE-2026-52470

Fecha de publicación:
21/07/2026
Idioma:
Inglés
*** Pendiente de traducción *** SQL injection vulnerability in Crocus v.1.3.44 allows a remote attacker to escalate privileges via the RecordStateMapper.xml file
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
22/07/2026

CVE-2026-52472

Fecha de publicación:
21/07/2026
Idioma:
Inglés
*** Pendiente de traducción *** SQL injection vulnerability in Wgcloud 3.6.4 allows a remote attacker to escalate privileges via the PortInfoMapper.xml file
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
22/07/2026

CVE-2026-47690

Fecha de publicación:
21/07/2026
Idioma:
Inglés
*** Pendiente de traducción *** MeltanoHub is the source code for hub.meltano.com, the central place for Meltano plugins. Versions of the repo prior to commit 923820de8f64d753951fbbd54f7282a3d5f75173 were vulnerable to exfiltration of `GITHUB_TOKEN` with write permissions to the repository. The vulnerable workflow used pull_request_target, which runs in the context of the base repository with access to secrets. Commit 923820de8f64d753951fbbd54f7282a3d5f75173 fixes the issue. No known workarounds are available.
Gravedad CVSS v3.1: ALTA
Última modificación:
23/07/2026

CVE-2026-47708

Fecha de publicación:
21/07/2026
Idioma:
Inglés
*** Pendiente de traducción *** MCP-for-Stata is an MCP server for Stata to integrate Stata into an agent. Prior to version 1.17.3, the `log_file_name` parameter in the `stata_do` API and CLI is directly interpolated into a Stata command string without sanitization. The security guard (`GuardValidator`) only scans the do-file content but does not validate this parameter. An attacker can inject arbitrary Stata commands (including `shell`, `python`, `erase`, etc.) by crafting a malicious `log_file_name` containing quotes, newlines, or Stata command separators. Version 1.17.3 contains a patch for the issue.
Gravedad CVSS v4.0: CRÍTICA
Última modificación:
23/07/2026