Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

017 - Ir a la línea de ayuda en Ciberseguridad    Ir a Agenda     Ir a Sala de prensa     Ir a suscripción de boletines

Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las últimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las últimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las últimas vulnerabilidades incorporadas al repositorio.

CVE-2026-71458
Fecha de publicación:
23/09/2026
Idioma:
Inglés
*** Pendiente de traducción *** URLModificationMiddleware resolves named-URL lookups<br /> against unfiltered Model.objects before RBAC. The 403→404<br /> shim only rewrites 403 responses, leaving the pk=0 miss<br /> path with a different 404 detail string. Differential<br /> "Not found." vs "No matches..." reveals whether<br /> a named resource (org, credential, inventory, host) exists<br /> anywhere on the platform. Enables cross-tenant internal<br /> hostname enumeration.
Gravedad CVSS v3.1: MEDIA
Última modificación:
24/09/2026

CVE-2026-63131
Fecha de publicación:
23/09/2026
Idioma:
Inglés
*** Pendiente de traducción *** OpenBao is an open source identity-based secrets management system. Prior to 2.6.0, OpenBao&amp;#39;s vault/policy/acl.go could evaluate a broader wildcard ACL grant before more-specific trailing-wildcard ACL paths with capabilities = ["deny"] for a LIST operation. When a parent path permitted LIST and a child path was denied, the trailing-slash lookup could therefore allow listing the denied path. Other operation types are outside the repository advisory&amp;#39;s affected scope. This issue is fixed in version 2.6.0.
Gravedad CVSS v4.0: MEDIA
Última modificación:
29/09/2026

CVE-2026-63132
Fecha de publicación:
23/09/2026
Idioma:
Inglés
*** Pendiente de traducción *** OpenBao is an open source identity-based secrets management system. Prior to 2.6.0, OpenBao&amp;#39;s handleLogicalRecovery path in http/logical.go compared the highly privileged recovery token with ordinary string equality. A remote unauthenticated attacker able to make repeated recovery mode requests and measure response timing could infer the recovery token. The recovered token could then authorize recovery mode operations that read or modify OpenBao data. This issue is fixed in version 2.6.0.
Gravedad CVSS v4.0: CRÍTICA
Última modificación:
29/09/2026

CVE-2026-59990
Fecha de publicación:
23/09/2026
Idioma:
Inglés
*** Pendiente de traducción *** Jawn is an open source JSON parser. Prior to 1.7.0, Jawn parse methods accept arbitrarily deep JSON array and object nesting without a depth limit, allowing a remote attacker who can submit untrusted JSON to grow parser contexts until the JVM heap is exhausted. The resulting java.lang.OutOfMemoryError is a fatal Scala error that is not ordinarily handled by scala.util.Try or cats.effect.IO, causing denial of service. This issue is fixed in version 1.7.0.
Gravedad CVSS v3.1: ALTA
Última modificación:
30/09/2026

CVE-2026-61814
Fecha de publicación:
23/09/2026
Idioma:
Inglés
*** Pendiente de traducción *** Jawn is an open source JSON parser. Prior to 1.7.0, Jawn&amp;#39;s AsyncParser can perform quadratic work when a single JSON token is delivered across many small chunks because each absorb call rescans the incomplete token from the start. A remote attacker who controls untrusted JSON input and its chunk sizes can exhaust CPU resources and cause denial of service in applications using AsyncParser. This issue is fixed in version 1.7.0.
Gravedad CVSS v3.1: ALTA
Última modificación:
30/09/2026

CVE-2026-61695
Fecha de publicación:
23/09/2026
Idioma:
Inglés
*** Pendiente de traducción *** Wire provides gRPC and protocol buffers for Android, Kotlin, Swift, and Java. Prior to 6.4.1 and 7.0.0-alpha04, Wire&amp;#39;s Swift runtime ProtoReader.skipGroup(expectedEndTag:unknownFieldsWriter:) accepts a negative length for a LENGTH_DELIMITED field inside an unknown START_GROUP field. ProtoReader.readData() forwards the negative count to ReadBuffer.readData(count:), whose upper-bound-only check permits the value to reach Foundation Data(bytes:count:) and trigger an unrecoverable process trap instead of a catchable ProtoDecoder.Error. Any Swift process decoding untrusted protobuf bytes can be crashed without authentication, user interaction, or knowledge of the target schema. This issue is fixed in versions 6.4.1 and 7.0.0-alpha04.
Gravedad CVSS v3.1: ALTA
Última modificación:
30/09/2026

CVE-2026-55456
Fecha de publicación:
23/09/2026
Idioma:
Inglés
*** Pendiente de traducción *** Rejected reason: This CVE is a duplicate of another CVE.
Gravedad: Pendiente de análisis
Última modificación:
23/09/2026

CVE-2026-55632
Fecha de publicación:
23/09/2026
Idioma:
Inglés
*** Pendiente de traducción *** GoCD is a continuous deliver server. From 20.2.0 until 26.1.0, the internal pipeline structure API used for autocompletion while editing pipeline, template, environment, and user-preference configuration returns its users-and-roles mode to regular authenticated users without requiring an administrator role. A lower-privileged user can enumerate configured user names and available role names, which can facilitate attacks against those users. The response does not reveal which roles are assigned to each user, and the endpoint cannot modify data. This issue is fixed in version 26.1.0.
Gravedad CVSS v3.1: MEDIA
Última modificación:
30/09/2026

CVE-2026-52744
Fecha de publicación:
23/09/2026
Idioma:
Inglés
*** Pendiente de traducción *** GoCD is a continuous deliver server. From 20.2.0 until 26.1.0, the internal GoCD UI fetch-artifact auto-suggestion API at /go/api/internal/pipelines/**/upstream does not adequately authorize access to upstream dependency data. An authenticated user can retrieve inter-pipeline dependency hierarchy details and user-defined pipeline, stage, job, and artifact plugin reference names that the user cannot otherwise view in the UI. The endpoint is read-only and does not permit modification of pipeline data. This issue is fixed in version 26.1.0.
Gravedad CVSS v4.0: MEDIA
Última modificación:
30/09/2026

CVE-2026-91775
Fecha de publicación:
23/09/2026
Idioma:
Inglés
*** Pendiente de traducción *** LimeSurvey Community Edition 7.0.14 fails to safely encode attacker-controlled content from a crafted .lss survey file when displaying import warnings, resulting in XSS in the administrative interface.
Gravedad CVSS v4.0: ALTA
Última modificación:
02/10/2026

CVE-2026-88831
Fecha de publicación:
23/09/2026
Idioma:
Inglés
*** Pendiente de traducción *** BusyBox httpd IP deny rules with invalid CIDR prefix lengths fail open, leaving a parsed IP with a zeroed mask so the rule matches no clients.
Gravedad CVSS v3.1: MEDIA
Última modificación:
25/09/2026

CVE-2026-88835
Fecha de publicación:
23/09/2026
Idioma:
Inglés
*** Pendiente de traducción *** BusyBox dpkg read_package_field() steps past a NUL terminator on malformed .deb packages, causing an out-of-bounds heap read.
Gravedad CVSS v3.1: MEDIA
Última modificación:
25/09/2026
Suscribirse a Vulnerabilidades