Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

017 - Ir a la línea de ayuda en Ciberseguridad    Ir a Agenda     Ir a Sala de prensa     Ir a suscripción de boletines

Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las últimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las últimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las últimas vulnerabilidades incorporadas al repositorio.

CVE-2026-88837
Fecha de publicación:
23/09/2026
Idioma:
Inglés
*** Pendiente de traducción *** BusyBox httpd treats yescrypt ($y$) password hashes as plaintext during Basic Authentication, inverting the authentication check.
Gravedad CVSS v3.1: MEDIA
Última modificación:
25/09/2026

CVE-2026-88839
Fecha de publicación:
23/09/2026
Idioma:
Inglés
*** Pendiente de traducción *** BusyBox passwd/group tokenize() references a stale endpoint pointer after trimming, causing an out-of-bounds write of heap pointers.
Gravedad CVSS v3.1: MEDIA
Última modificación:
25/09/2026

CVE-2026-88840
Fecha de publicación:
23/09/2026
Idioma:
Inglés
*** Pendiente de traducción *** BusyBox TLS get_client_hello() reads past the end of the input buffer when parsing a truncated ClientHello message.
Gravedad CVSS v3.1: MEDIA
Última modificación:
26/09/2026

CVE-2026-86867
Fecha de publicación:
23/09/2026
Idioma:
Inglés
*** Pendiente de traducción *** Cinnamon&amp;#39;s Kotaemon (all versions up to and including v0.12.0) multi-user chat interface contains multiple vulnerabilities due to incorrect authorization and improper access controls. There are four handler methods in `libs/ktem/ktem/pages/chat/control.py` that load a Conversation record by its ID without comparing the requester&amp;#39;s `user_id` to the conversation&amp;#39;s owner `Conversation.user`. This allows any authenticated user to perform the following actions:<br /> 1. Read other user&amp;#39;s chat transcripts, RAG retrieval history, AI-generated plots, and chat suggestions.<br /> 2. Permanently delete another user&amp;#39;s conversation.<br /> 3. Rename another user&amp;#39;s conversation.<br /> 4. Overwrite another user&amp;#39;s conversation&amp;#39;s chat suggestion list.
Gravedad CVSS v3.1: MEDIA
Última modificación:
24/09/2026

CVE-2026-86938
Fecha de publicación:
23/09/2026
Idioma:
Inglés
*** Pendiente de traducción *** A DLL hijacking vulnerability in the FileMaker Pro installer for Windows allowed a local user to execute arbitrary code with elevated administrator privileges by placing a malicious DLL file in the installer directory. This vulnerability is addressed in FileMaker Pro version 26.0.3.
Gravedad CVSS v3.1: ALTA
Última modificación:
05/10/2026

CVE-2026-86934
Fecha de publicación:
23/09/2026
Idioma:
Inglés
*** Pendiente de traducción *** An authorization bypass vulnerability in the FileMaker Server Web Publishing Engine allowed requests containing an extended privilege header to bypass the disabled Custom Web Publishing with XML setting and access the XML Web Publishing interface. This vulnerability is addressed in FileMaker Server version 26.0.3.
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
05/10/2026

CVE-2026-86930
Fecha de publicación:
23/09/2026
Idioma:
Inglés
*** Pendiente de traducción *** An out-of-bounds read vulnerability in FileMaker Server for Linux allowed an attacker uploading a specially crafted image file to a container field to disclose process memory during thumbnail generation in FileMaker WebDirect. This vulnerability is addressed in FileMaker Server version 26.0.3.
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
05/10/2026

CVE-2026-86926
Fecha de publicación:
23/09/2026
Idioma:
Inglés
*** Pendiente de traducción *** A heap buffer overflow vulnerability in the FileMaker Server database engine block parsing routine allowed a maliciously crafted .fmp12 database file to cause memory corruption, potentially leading to arbitrary code execution. This vulnerability is addressed in FileMaker Server version 26.0.3.
Gravedad CVSS v3.1: ALTA
Última modificación:
06/10/2026

CVE-2026-18944
Fecha de publicación:
23/09/2026
Idioma:
Inglés
*** Pendiente de traducción *** Rejected reason: ** REJECT ** DO NOT USE THIS CANDIDATE NUMBER. ConsultIDs: CVE-2026-18944. Reason: This candidate is a reservation duplicate of CVE-2026-18944. Notes: All CVE users should reference CVE-2026-18944 instead of this candidate. All references and descriptions in this candidate have been removed to prevent accidental usage.
Gravedad: Pendiente de análisis
Última modificación:
23/09/2026

CVE-2026-96808
Fecha de publicación:
23/09/2026
Idioma:
Inglés
*** Pendiente de traducción *** In Flatpak before 1.18.1, the revokefs writer, used by the flatpak-system-helper to receive repository data from unprivileged callers, validated file paths by rejecting literal .. components but did not prevent symlink traversal. A malicious local user in an active local session could obtain two revokefs sessions via the system helper, create a symlink in one session pointing into the other session&amp;#39;s directory, and retain a file descriptor through that symlink. This allowed the attacker to modify files belonging to a different revokefs session after they had been validated and imported by the system helper. In particular, an attacker could use this to tamper with ostree commit objects in the system repository after they passed signature verification, enabling root-controlled file writes to attacker-chosen paths and local root privilege escalation.
Gravedad CVSS v3.1: ALTA
Última modificación:
24/09/2026

CVE-2026-96804
Fecha de publicación:
23/09/2026
Idioma:
Inglés
*** Pendiente de traducción *** MLflow&amp;#39;s statsmodel flavor, versions 2.1.0 to 3.14.0, omits the MLFLOW_ALLOW_PICKLE_DESERIALIZATION=False security control entirely in _load_model(), which allows a remote attacker to execute arbitrary code via a crafted MLmodel artifact.
Gravedad CVSS v3.1: ALTA
Última modificación:
24/09/2026

CVE-2026-96775
Fecha de publicación:
23/09/2026
Idioma:
Inglés
*** Pendiente de traducción *** MLflow&amp;#39;s dspy flavor, versions &gt;= 2.0, applies the MLFLOW_ALLOW_PICKLE_DESERIALIZATION=False security control only when the model_path ends in .pkl, which allows a remote attacker to execute arbitrary code via a crafted MLmodel artifact.
Gravedad CVSS v3.1: ALTA
Última modificación:
23/09/2026
Suscribirse a Vulnerabilidades