Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

017 - Ir a la línea de ayuda en Ciberseguridad    Ir a Agenda     Ir a Sala de prensa     Ir a suscripción de boletines

Ir al buscador

Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las últimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las últimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las últimas vulnerabilidades incorporadas al repositorio.

CVE-2026-31255
Fecha de publicación:
27/04/2026
Idioma:
Inglés
*** Pendiente de traducción *** A command injection vulnerability exists in Tenda AC18 V15.03.05.05_multi. The vulnerability is located in the /goform/SetSambaCfg interface, where improper handling of the guestuser parameter allows attackers to execute arbitrary system commands.
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
28/04/2026

CVE-2026-32655
Fecha de publicación:
27/04/2026
Idioma:
Inglés
*** Pendiente de traducción *** Dell Alienware Command Center (AWCC), versions prior to 6.13.8.0, contain a Least Privilege Violation vulnerability. A low privileged attacker with local access could potentially exploit this vulnerability, leading to Elevation of Privileges.
Gravedad CVSS v3.1: MEDIA
Última modificación:
28/04/2026

CVE-2026-35901
Fecha de publicación:
27/04/2026
Idioma:
Inglés
*** Pendiente de traducción *** A handling issue in the RTSP service of the Mercury MIPC252W 1.0.5 Build 230306 Rel.79931n allows an authenticated attacker to trigger session termination by repeatedly sending SETUP requests for the same media track within a single RTSP session. This causes the server to reset the RTSP connection, leading to a denial-of-service condition.
Gravedad CVSS v3.1: MEDIA
Última modificación:
05/05/2026

CVE-2026-31256
Fecha de publicación:
27/04/2026
Idioma:
Inglés
*** Pendiente de traducción *** A null pointer dereference vulnerability exists in the RTSP service of the MERCURY MIPC252W 1.0.5 Build 230306 Rel.79931n. During the processing of a SETUP request for the path rtsp://:554/stream1/track2, the device fails to properly validate the Transport header field. When this header is improperly constructed, the RTSP service can dereference a NULL pointer during request parsing. Successful exploitation causes the device to crash and automatically reboot.
Gravedad CVSS v3.1: ALTA
Última modificación:
05/05/2026

CVE-2025-69428
Fecha de publicación:
27/04/2026
Idioma:
Inglés
*** Pendiente de traducción *** An issue in Pro-Bit before v1.77.4 allows unauthenticated attackers to directly access sensitive directory and its subdirectories.
Gravedad CVSS v3.1: ALTA
Última modificación:
28/04/2026

CVE-2021-36438
Fecha de publicación:
27/04/2026
Idioma:
Inglés
*** Pendiente de traducción *** SQL Injection vulnerability exists in Sourcecodester Online Job Portal phppdo 1.0 ivia the category parameter in /jobportal/index.php.
Gravedad CVSS v3.1: MEDIA
Última modificación:
28/04/2026

CVE-2026-7145
Fecha de publicación:
27/04/2026
Idioma:
Inglés
*** Pendiente de traducción *** A weakness has been identified in mettle sendportal up to 3.0.1. Affected is the function destroy of the file app/Http/Controllers/Workspaces/WorkspaceInvitationsController.php of the component Invitation Handler. This manipulation of the argument invitation causes authorization bypass. The attack may be initiated remotely. The project was informed of the problem early through an issue report but has not responded yet.
Gravedad CVSS v4.0: MEDIA
Última modificación:
27/04/2026

CVE-2026-7143
Fecha de publicación:
27/04/2026
Idioma:
Inglés
*** Pendiente de traducción *** A vulnerability was identified in 1000 Projects Portfolio Management System MCA up to 1.0. This affects an unknown function of the file /admin/block_status.php. The manipulation of the argument q leads to sql injection. The attack can be initiated remotely. The exploit is publicly available and might be used.
Gravedad CVSS v4.0: BAJA
Última modificación:
29/04/2026

CVE-2026-7144
Fecha de publicación:
27/04/2026
Idioma:
Inglés
*** Pendiente de traducción *** A security flaw has been discovered in 1000 Projects Portfolio Management System MCA 1.0. This impacts an unknown function of the file update_passwd_process.php. The manipulation of the argument temp_user results in authorization bypass. The attack can be launched remotely. The exploit has been released to the public and may be used for attacks.
Gravedad CVSS v4.0: BAJA
Última modificación:
29/04/2026

CVE-2026-7146
Fecha de publicación:
27/04/2026
Idioma:
Inglés
*** Pendiente de traducción *** A security vulnerability has been detected in AlejandroArciniegas mcp-data-vis up to de5a51525a69822290eaee569a1ab447b490746d. Affected by this vulnerability is the function axios of the file src/servers/web-scraper/server.js of the component HTTP Request Handler. Such manipulation leads to server-side request forgery. The attack may be launched remotely. The exploit has been disclosed publicly and may be used. This product operates on a rolling release basis, ensuring continuous delivery. Consequently, there are no version details for either affected or updated releases. The project was informed of the problem early through an issue report but has not responded yet.
Gravedad CVSS v4.0: MEDIA
Última modificación:
29/04/2026

CVE-2026-31690
Fecha de publicación:
27/04/2026
Idioma:
Inglés
*** Pendiente de traducción *** In the Linux kernel, the following vulnerability has been resolved:<br /> <br /> firmware: thead: Fix buffer overflow and use standard endian macros<br /> <br /> Addresses two issues in the TH1520 AON firmware protocol driver:<br /> <br /> 1. Fix a potential buffer overflow where the code used unsafe pointer<br /> arithmetic to access the &amp;#39;mode&amp;#39; field through the &amp;#39;resource&amp;#39; pointer<br /> with an offset. This was flagged by Smatch static checker as:<br /> "buffer overflow &amp;#39;data&amp;#39; 2
Gravedad CVSS v3.1: ALTA
Última modificación:
06/05/2026

CVE-2026-31689
Fecha de publicación:
27/04/2026
Idioma:
Inglés
*** Pendiente de traducción *** In the Linux kernel, the following vulnerability has been resolved:<br /> <br /> EDAC/mc: Fix error path ordering in edac_mc_alloc()<br /> <br /> When the mci-&gt;pvt_info allocation in edac_mc_alloc() fails, the error path<br /> will call put_device() which will end up calling the device&amp;#39;s release<br /> function.<br /> <br /> However, the init ordering is wrong such that device_initialize() happens<br /> *after* the failed allocation and thus the device itself and the release<br /> function pointer are not initialized yet when they&amp;#39;re called:<br /> <br /> MCE: In-kernel MCE decoding enabled.<br /> ------------[ cut here ]------------<br /> kobject: &amp;#39;(null)&amp;#39;: is not initialized, yet kobject_put() is being called.<br /> WARNING: lib/kobject.c:734 at kobject_put, CPU#22: systemd-udevd<br /> CPU: 22 UID: 0 PID: 538 Comm: systemd-udevd Not tainted 7.0.0-rc1+ #2 PREEMPT(full)<br /> RIP: 0010:kobject_put<br /> Call Trace:<br /> <br /> edac_mc_alloc+0xbe/0xe0 [edac_core]<br /> amd64_edac_init+0x7a4/0xff0 [amd64_edac]<br /> ? __pfx_amd64_edac_init+0x10/0x10 [amd64_edac]<br /> do_one_initcall<br /> ...<br /> <br /> Reorder the calling sequence so that the device is initialized and thus the<br /> release function pointer is properly set before it can be used.<br /> <br /> This was found by Claude while reviewing another EDAC patch.
Gravedad CVSS v3.1: MEDIA
Última modificación:
06/05/2026
Suscribirse a Vulnerabilidades