Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las últimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las últimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las últimas vulnerabilidades incorporadas al repositorio.

CVE-2026-58469

Fecha de publicación:

07/07/2026

Idioma:

Inglés

*** Pendiente de traducción *** GNU Wget through 1.25.0, fixed in commit 37a40fc, contains a heap buffer underread vulnerability in the clean_metalink_string() function within src/metalink.c that allows a malicious server to trigger memory corruption by serving a Metalink document containing a whitespace-only URL. Attackers can cause the function to decrement a pointer past the start of the buffer when processing an all-whitespace Metalink URL, potentially leading to abnormal program behavior.

Gravedad CVSS v4.0: ALTA

Última modificación:

09/07/2026

CVE-2026-58470

Fecha de publicación:

07/07/2026

Idioma:

Inglés

*** Pendiente de traducción *** GNU Wget through 1.25.0, fixed in commit 43d3ba9, contains an integer overflow vulnerability in the parse_content_range() function within src/http.c that allows server-controlled values to cause signed integer arithmetic to overflow. Attackers can supply malicious Content-Range header values to trigger undefined behavior and download desynchronization in the affected client.

Gravedad CVSS v4.0: MEDIA

Última modificación:

09/07/2026

CVE-2026-58471

Fecha de publicación:

07/07/2026

Idioma:

Inglés

*** Pendiente de traducción *** GNU Wget through 1.25.0, fixed in commit c2640fe, contains a heap buffer overflow vulnerability in the convert_fname() function within src/url.c that allows remote attackers to trigger memory corruption through a server-supplied filename requiring character set conversion. When the output buffer is too small during iconv E2BIG reallocation, the reallocation logic miscalculates the remaining space, leading to a heap buffer overflow that can be exploited via a maliciously crafted server response.

Gravedad CVSS v4.0: MEDIA

Última modificación:

09/07/2026

CVE-2026-55434

Fecha de publicación:

07/07/2026

Idioma:

Inglés

*** Pendiente de traducción *** Coder allows organizations to provision remote development environments via Terraform. Starting in version 2.33.0 and prior to versions 2.33.8 and 2.34.2, AI Bridge provider handlers read request bodies with `io.ReadAll` without a maximum size so an authenticated user with AI Bridge access could send an arbitrarily large body and exhaust memory. Exploitation requires authenticated access to the AI Bridge endpoints and the impact is limited to availability (denial of service). Versions 2.33.8 and 2.34.2 patch the issue. No known workarounds are available.

Gravedad CVSS v3.1: MEDIA

Última modificación:

08/07/2026

CVE-2026-55631

Fecha de publicación:

07/07/2026

Idioma:

Inglés

*** Pendiente de traducción *** DataEase is an open source data visualization and analysis tool. Prior to 2.10.24, the font management module allows authenticated users to submit an arbitrary fileTransName when creating a font record; when the record is later deleted, the backend concatenates that stored value with the font storage directory and passes it to FileUtils.deleteFile() without path traversal sanitization, allowing deletion of arbitrary writable files in the application container. This issue is fixed in version 2.10.24.

Gravedad CVSS v4.0: ALTA

Última modificación:

08/07/2026

CVE-2026-55633

Fecha de publicación:

07/07/2026

Idioma:

Inglés

*** Pendiente de traducción *** DataEase is an open source data visualization and analysis tool. Prior to 2.10.24, a bypass of the H2 zip protocol and file dropper fix allows an authenticated attacker to upload a zip archive disguised with a .ttf extension through FontManage.saveFile and then exploit it through the zip protocol to achieve remote code execution. This issue is fixed in version 2.10.24.

Gravedad CVSS v4.0: ALTA

Última modificación:

08/07/2026

CVE-2026-55592

Fecha de publicación:

07/07/2026

Idioma:

Inglés

*** Pendiente de traducción *** Dashy is a self-hostable personal dashboard. Prior to 4.3.7, Dashy&#39;s workspace view trusts the url query parameter and assigns it directly to an iframe source without scheme validation. If a logged-in user opens a crafted workspace link containing a javascript: URL, JavaScript runs on the Dashy origin and can read same-origin browser data, interact with the Dashy DOM, and send requests as the victim. This issue is fixed in version 4.3.7.

Gravedad CVSS v3.1: BAJA

Última modificación:

08/07/2026

CVE-2026-55635

Fecha de publicación:

07/07/2026

Idioma:

Inglés

*** Pendiente de traducción *** DataEase is an open source data visualization and analysis tool. Prior to 2.10.24, chart quota and Y-axis filters embed attacker-controlled filter values directly into generated SQL in Quota2SQLObj.getYWheres() without applying the SQL literal validation and escaping used by other filter paths, allowing an authenticated user who can create or modify chart definitions or submit chart data requests containing quota filters to inject SQL into queries executed against configured datasources. This issue is fixed in version 2.10.24.

Gravedad CVSS v4.0: ALTA

Última modificación:

09/07/2026

CVE-2026-53935

Fecha de publicación:

07/07/2026

Idioma:

Inglés

*** Pendiente de traducción *** Cilium is a networking, observability, and security solution. Prior to 1.17.16, from 1.18.2 to 1.18.9, and from 1.19.0 to 1.19.3, users with the ability to create CiliumLocalRedirectPolicies can specify arbitrary ClusterIPs via addressMatcher, enabling hijacking traffic to Services in any namespace and bypassing namespace scoping enforced by serviceMatcher; deleting such a policy can also corrupt Cilium internal service state and stop service translation for the affected Service. This issue is fixed in versions 1.17.16, 1.18.10, and 1.19.4.

Gravedad CVSS v3.1: MEDIA

Última modificación:

10/07/2026

CVE-2026-55417

Fecha de publicación:

07/07/2026

Idioma:

Inglés

*** Pendiente de traducción *** Chevereto is a self-hosted media-sharing platform. Starting in version 3.7.5 and prior to version 4.5.4, when a user enables the private profile option, visiting their profile HTML route (`/username`) correctly returns 404. However, the `/json` AJAX listing endpoint does not apply the same check. An unauthenticated caller who knows the target&#39;s user ID can retrieve all of that user&#39;s publicly-scoped images, revealing the username (which should be private). This is patched in Chevereto v4.5.4. No known workarounds are available.

Gravedad CVSS v4.0: MEDIA

Última modificación:

10/07/2026

CVE-2026-50529

Fecha de publicación:

07/07/2026

Idioma:

Inglés

*** Pendiente de traducción *** DataEase is an open source data visualization and analysis tool. Prior to 2.10.24, the /de2api/share/proxyInfo share interface generates and returns X-DE-LINK-TOKEN before validating the share password or ticket, allowing unauthenticated attackers who know a protected share UUID to obtain a valid link token for subsequent share-related API calls even with missing or invalid credentials. This issue is fixed in version 2.10.24.

Gravedad CVSS v4.0: ALTA

Última modificación:

08/07/2026

CVE-2026-50530

Fecha de publicación:

07/07/2026

Idioma:

Inglés

*** Pendiente de traducción *** DataEase is an open source data visualization and analysis tool. Prior to 2.10.24, a share mode chart data interface only validates that sceneId matches the resourceId in the link token and fails to validate whether tableId and field IDs in the request body belong to the shared resource, allowing an attacker with a valid share link token to replace dataset identifiers and retrieve unauthorized data through POST /de2api/chartData/getData. This issue is fixed in version 2.10.24.

Gravedad CVSS v4.0: ALTA

Última modificación:

08/07/2026

Suscribirse a Vulnerabilidades