Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las últimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las últimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las últimas vulnerabilidades incorporadas al repositorio.

CVE-2026-65088

Fecha de publicación:

25/08/2026

Idioma:

Inglés

*** Pendiente de traducción *** NVIDIA NemoClaw contains a vulnerability where an attacker could cause<br /> invocation of process using visible sensitive information. A successful exploit of this vulnerability might lead to information disclosure.

Gravedad CVSS v3.1: MEDIA

Última modificación:

25/08/2026

CVE-2026-65090

Fecha de publicación:

25/08/2026

Idioma:

Inglés

*** Pendiente de traducción *** NVIDIA NemoClaw for Linux contains a vulnerability in its NIM management component, where an attacker could cause OS command injection. A successful exploit of this vulnerability might lead to code execution, data tampering, information disclosure, and denial of service.

Gravedad CVSS v3.1: ALTA

Última modificación:

26/08/2026

CVE-2026-65089

Fecha de publicación:

25/08/2026

Idioma:

Inglés

*** Pendiente de traducción *** NVIDIA NemoClaw for Linux contains a vulnerability in its status and logs plugin commands, where an attacker could cause OS command injection. A successful exploit of this vulnerability might lead to code execution, data tampering, information disclosure, and denial of service.

Gravedad CVSS v3.1: ALTA

Última modificación:

26/08/2026

CVE-2026-65081

Fecha de publicación:

25/08/2026

Idioma:

Inglés

*** Pendiente de traducción *** NVIDIA NemoClaw for Linux contains a vulnerability in its installation process, where an attacker could cause execution of untrusted code. A successful exploit of this vulnerability might lead to code execution, escalation of privileges, data tampering, information disclosure, and denial of service.

Gravedad CVSS v3.1: ALTA

Última modificación:

25/08/2026

CVE-2026-65082

Fecha de publicación:

25/08/2026

Idioma:

Inglés

*** Pendiente de traducción *** NVIDIA NemoClaw for Linux contains a vulnerability in its migration command, where a local attacker could cause code injection. A successful exploit of this vulnerability might lead to code execution, data tampering, information disclosure, and denial of service.

Gravedad CVSS v3.1: ALTA

Última modificación:

25/08/2026

CVE-2026-55588

Fecha de publicación:

25/08/2026

Idioma:

Inglés

*** Pendiente de traducción *** ORAS (OCI Registry As Storage) is a CLI and library for managing artifacts in OCI registries. In ORAS CLI versions up to and including 1.3.2, the recursive referrer traversal does not track visited descriptors, so a malicious OCI registry that returns a cyclic referrer graph causes unbounded recursion and memory growth. This affects oras discover, whose recursive traversal is enabled by default because the --depth option defaults to 0 (unlimited), as well as the recursive referrer counting used by the oras backup and oras restore workflows. A cyclic graph can be as simple as A referring to B and B referring back to A. A malicious registry can use this to cause a client-side denial of service, exhausting CPU and memory and hanging automation or CI/CD pipelines that run ORAS against untrusted registry metadata. The vulnerability does not extend to code execution, artifact substitution, or integrity bypass. This issue has been fixed in version 1.3.3.

Gravedad CVSS v3.1: MEDIA

Última modificación:

25/08/2026

CVE-2026-51368

Fecha de publicación:

25/08/2026

Idioma:

Inglés

*** Pendiente de traducción *** An issue in Beijing Tongtech Co., Ltd tongweb v.7.0.24 in the Spring HttpInovkerServiceExporter component allows a remote attacker to execute arbitrary code via a crafted request to the console/heimdall endpoint

Gravedad: Pendiente de análisis

Última modificación:

25/08/2026

CVE-2026-52489

Fecha de publicación:

25/08/2026

Idioma:

Inglés

*** Pendiente de traducción *** Buffer Overflow vulnerability in gpac 31becc9e08b88e525a4a62013a4000de1c0f8fd9 allows an attacker to execute arbitrary code via the svgNameToImplementationName() function

Gravedad: Pendiente de análisis

Última modificación:

25/08/2026

CVE-2026-52491

Fecha de publicación:

25/08/2026

Idioma:

Inglés

*** Pendiente de traducción *** An issue in libtiff 85f2ac8e0b01cb7db2bbecf4a3b891bdbef67938 allows an attacker to execute arbitrary code via the libtiff/tools/thumbnail.c: main() component

Gravedad: Pendiente de análisis

Última modificación:

25/08/2026

CVE-2026-53965

Fecha de publicación:

25/08/2026

Idioma:

Inglés

*** Pendiente de traducción *** The MCP PHP SDK (Composer package mcp/sdk) is the official Model Context Protocol SDK for PHP. In versions 0.5.0 through 0.7.0, the HTTP client transport reads a Server-Sent Events response stream incrementally and appends each chunk to an in-memory buffer with no upper bound. The buffer is only flushed when an SSE event delimiter, a double newline, is found, so a remote MCP server that streams response bytes without ever sending the delimiter causes the buffer to grow without limit. A malicious, compromised, or man-in-the-middle-controlled server that the client connects to over the HTTP transport can exploit this to exhaust the client process&#39;s memory, triggering a fatal allocation error or OS out-of-memory kill and denying service to the MCP client. The issue affects any client using HttpTransport against an untrusted server endpoint and does not require authentication or user interaction beyond initiating the connection. This issue is fixed in version 0.7.1.

Gravedad CVSS v4.0: MEDIA

Última modificación:

26/08/2026

CVE-2026-39113

Fecha de publicación:

25/08/2026

Idioma:

Inglés

*** Pendiente de traducción *** Buffer Overflow vulnerability in SQLite affected version source snapshots/builds containing Fossil check-in 8bdc0d485e3ad0c7a1e818da66f106951d496b05cbe61d12c2c448f2f24b6d5d (Git mirror 169f68ed88b34cb68f720191c64c058f2ccec508, 2026-03-11) and later snapshots/builds allows an attacker to cause a denial of service via the ext/misc/sqlar.c, sqlarUncompressFunc(), sqlar_uncompress(), sqlite3_value_int64(), sqlite3_malloc(int), uncompress() components

Gravedad: Pendiente de análisis

Última modificación:

25/08/2026

CVE-2026-77585

Fecha de publicación:

25/08/2026

Idioma:

Inglés

*** Pendiente de traducción *** The Okta Privileged Access client does not reject a leading hyphen in the username portion of an SSH target. As a result, the value may be interpreted as a command-line option by the underlying SSH process.

Gravedad CVSS v3.1: MEDIA

Última modificación:

25/08/2026

Suscribirse a Vulnerabilidades