Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las últimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las últimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las últimas vulnerabilidades incorporadas al repositorio.

CVE-2026-77422

Fecha de publicación:

23/09/2026

Idioma:

Inglés

*** Pendiente de traducción *** JLine is a Java library for handling console input. From 3.0.0 until 3.30.15 and 4.3.1, the JLine built-in grep command in builtins/src/main/java/org/jline/builtins/PosixCommands.java accepts a user-controlled regular expression in grep(...) and, unless line-regexp mode is used, automatically adds a dot-star prefix and suffix before compiling it with Java&#39;s backtracking regular expression engine. The wrapping expands the backtracking search space, so a short nested-quantifier expression evaluated against non-matching input can consume excessive CPU and indefinitely block a command worker, including in remotely exposed shell sessions. This issue is fixed in versions 3.30.15 and 4.3.1.

Gravedad CVSS v3.1: ALTA

Última modificación:

30/09/2026

CVE-2026-75131

Fecha de publicación:

23/09/2026

Idioma:

Inglés

*** Pendiente de traducción *** NetworkManager-l2tp through 1.52.4, fixed in 1.52.6, contains a privilege escalation vulnerability that allows local users with permission to create VPN connections to execute arbitrary code as root by injecting pppd options through a crafted VPN username. Attackers can embed a double-quote character or whitespace in the username to break out of the pppd options file quoting context and include the pppd plugin directive, causing the privileged pppd process to load an attacker-controlled shared object.

Gravedad CVSS v4.0: ALTA

Última modificación:

24/09/2026

CVE-2026-76087

Fecha de publicación:

23/09/2026

Idioma:

Inglés

*** Pendiente de traducción *** Formie is a Craft CMS plugin for creating forms. Prior to 2.2.23 and 3.1.31, Formie&#39;s anonymous formie/submissions/submit action in SubmissionsController::actionSubmit trusts a client-supplied submissionId when loading an incomplete submission without session binding, ownership validation, or a valid submissionEditToken. An unauthenticated attacker can enumerate sequential IDs and overwrite or hijack another user&#39;s in-progress multi-page or save-for-later submission, and the modified data can be persisted and forwarded through notifications or integrations when the submission is completed. This is an incomplete remediation of CVE-2026-47266 because that earlier change validated edit tokens for save-submission but did not protect submit. Completed submissions are excluded by the isIncomplete filter. This issue is fixed in versions 2.2.23 and 3.1.31.

Gravedad CVSS v3.1: ALTA

Última modificación:

30/09/2026

CVE-2026-76089

Fecha de publicación:

23/09/2026

Idioma:

Inglés

*** Pendiente de traducción *** Formie is a Craft CMS plugin for creating forms. Prior to 2.2.23 and 3.1.31, Formie&#39;s formie/sent-notifications/get-resend-modal-content control panel action in SentNotificationsController::actionGetResendModalContent accepts a request-supplied notification ID without permission or object-level authorization checks. Any authenticated user able to invoke the action can enumerate notification IDs and read recipient headers and complete HTML email bodies containing submitted form data, even without the sent-notification viewing permission. This issue is fixed in versions 2.2.23 and 3.1.31.

Gravedad CVSS v3.1: ALTA

Última modificación:

30/09/2026

CVE-2026-76086

Fecha de publicación:

23/09/2026

Idioma:

Inglés

*** Pendiente de traducción *** Formie is a Craft CMS plugin for creating forms. Prior to 2.2.23 and 3.1.31, Formie&#39;s formie/integrations/form-settings control panel action in IntegrationsController::actionFormSettings is reachable without the required form integration permissions and passes request-supplied settings to a configured integration. An authenticated attacker can replace outbound host properties such as apiUrl while the server uses stored API keys or OAuth tokens, causing non-blind server-side requests to an attacker-controlled or internal host and returning the remote response. This residual flaw remained because the permission gate added in version 3.1.28 excluded the form-settings action. Sites that permit low-privileged or front-end user authentication can therefore expose integration credentials and internal network responses. This issue is fixed in versions 2.2.23 and 3.1.31.

Gravedad CVSS v3.1: ALTA

Última modificación:

30/09/2026

CVE-2026-71464

Fecha de publicación:

23/09/2026

Idioma:

Inglés

*** Pendiente de traducción *** LaunchConfigurationBaseSerializer.scm_branch has no validate_scm_branch() leading-dash check, unlike Project/JobTemplate/JobLaunch serializers. Schedule and WFJT Node accept --upload-pack=/bin/id as scm_branch. Currently blocked at runtime by jobs.py:1502 ValueError check (defense-in-depth), but the API validation gap means sole reliance on a task-layer guard. Refactoring that guard away would promote this to RCE.

Gravedad CVSS v3.1: BAJA

Última modificación:

24/09/2026

CVE-2026-71465

Fecha de publicación:

23/09/2026

Idioma:

Inglés

*** Pendiente de traducción *** RunAdHocCommand.build_args() appends limit as bare positional (args.append(limit)) instead of using args.extend([&#39;-l&#39;, limit]) like RunJob. A limit beginning with - is parsed as an ansible CLI option. Currently limited to short-circuit flags (--version, --help) since injected element displaces required pattern positional. Would escalate if ansible-core ever defaults pattern.

Gravedad CVSS v3.1: BAJA

Última modificación:

24/09/2026

CVE-2026-71462

Fecha de publicación:

23/09/2026

Idioma:

Inglés

*** Pendiente de traducción *** StringListPathField.to_internal_value() calls os.path.exists() on unbounded user-supplied paths. 200 vs 400 response reveals existence of arbitrary absolute paths on the controller-web pod. Tenant superuser can confirm /etc/tower/SECRET_KEY, k8s service-account token, receptor sockets, ConfigMap mount points. Mainly impactful on managed AAP (ansiblecloud.com) where tenant admin != host admin.

Gravedad CVSS v3.1: MEDIA

Última modificación:

24/09/2026

CVE-2026-71463

Fecha de publicación:

23/09/2026

Idioma:

Inglés

*** Pendiente de traducción *** Notification template Jinja AST whitelist only inspects static Getattr nodes. Dynamic subscripts (job[&#39;job&#39;+&#39;_env&#39;]) and {% if job.id > 100 %} conditional gating bypass both the AST check and the test-render (stub has small job.id). At runtime, the gated branch executes and exceptions write full tracebacks into notification body, which is POSTed to attacker-controlled webhook URL. Leaks install paths, Python version, source line numbers.

Gravedad CVSS v3.1: BAJA

Última modificación:

25/09/2026

CVE-2026-71460

Fecha de publicación:

23/09/2026

Idioma:

Inglés

*** Pendiente de traducción *** /api/v2/config/ is protected only by IsAuthenticated. license_info (account_number, subscription_id, pool_id, sku, support_level, instance counts) returned to any authenticated user. The superuser/auditor gate only covers project_base_dir/project_local_paths/custom_virtualenvs, not license_info. Enables social engineering against Red Hat support and estate sizing reconnaissance.

Gravedad CVSS v3.1: MEDIA

Última modificación:

24/09/2026

CVE-2026-71459

Fecha de publicación:

23/09/2026

Idioma:

Inglés

*** Pendiente de traducción *** JobJobEventsChildrenSummary view has no model/parent_model. ModelAccessPermission.check_get_permissions() falls through (returns True) for any authenticated user. The view uses raw get_object_or_404(Job, pk) without DRF object-level permission check. Zero-privilege user reads event tree structure, event_processing_finished status, and enumerates Job IDs platform-wide via 200/404 oracle. Sibling endpoint /jobs/{id}/job_events/ correctly returns 403.

Gravedad CVSS v3.1: MEDIA

Última modificación:

25/09/2026

CVE-2026-71461

Fecha de publicación:

23/09/2026

Idioma:

Inglés

*** Pendiente de traducción *** HostList.list() catches bare Exception and returns str(e) verbatim. Via host_filter, any authenticated user triggers Django FieldError (leaking complete Host model relation graph including internal reverse accessors) or PostgreSQL DataError (leaking raw database error strings). Two primitives: credential__search=x dumps ORM schema, name__regex=[bad reflects PostgreSQL errors.

Gravedad CVSS v3.1: MEDIA

Última modificación:

26/09/2026

Suscribirse a Vulnerabilidades