Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

017 - Ir a la línea de ayuda en Ciberseguridad    Ir a Agenda     Ir a Sala de prensa     Ir a suscripción de boletines

Ir al buscador

Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las ultimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las ultimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las ultimas vulnerabilidades incorporadas al repositorio.

CVE-2026-24325
Fecha de publicación:
10/02/2026
Idioma:
Inglés
*** Pendiente de traducción *** SAP BusinessObjects Enterprise does not sufficiently encode user-controlled inputs, leading to Stored Cross-Site Scripting (XSS) vulnerability. This enables an admin user to inject malicious JavaScript into a website and the injected script gets executed when the user visits the compromised page.This vulnerability has low impact on confidentiality and integrity of the data. There is no impact on the availability of the application.
Gravedad CVSS v3.1: MEDIA
Última modificación:
10/02/2026

CVE-2026-24326
Fecha de publicación:
10/02/2026
Idioma:
Inglés
*** Pendiente de traducción *** Due to a missing authorization check in the Disconnected Operations of the SAP S/4HANA Defense & Security, an attacker with user privileges could call remote-enabled function modules to do direct update on standard SAP database table . This results in low impact on integrity, with no impact on confidentiality or availability of the application.
Gravedad CVSS v3.1: MEDIA
Última modificación:
10/02/2026

CVE-2026-23686
Fecha de publicación:
10/02/2026
Idioma:
Inglés
*** Pendiente de traducción *** Due to a CRLF Injection vulnerability in SAP NetWeaver Application Server Java, an authenticated attacker with administrative access could submit specially crafted content to the application. If processed by the application, this content enables injection of untrusted entries into generated configuration, allowing manipulation of application-controlled settings. Successful exploitation leads to a low impact on integrity, while confidentiality and availability remain unaffected.
Gravedad CVSS v3.1: BAJA
Última modificación:
10/02/2026

CVE-2026-23687
Fecha de publicación:
10/02/2026
Idioma:
Inglés
*** Pendiente de traducción *** SAP NetWeaver Application Server ABAP and ABAP Platform allows an authenticated attacker with normal privileges to obtain a valid signed message and send modified signed XML documents to the verifier. This may result in acceptance of tampered identity information, unauthorized access to sensitive user data and potential disruption of normal system usage.
Gravedad CVSS v3.1: ALTA
Última modificación:
10/02/2026

CVE-2026-23688
Fecha de publicación:
10/02/2026
Idioma:
Inglés
*** Pendiente de traducción *** SAP Fiori App Manage Service Entry Sheets does not perform necessary authorization checks for an authenticated user, resulting in escalation of privileges. This has low impact on integrity, confidentiality and availability are not impacted.
Gravedad CVSS v3.1: MEDIA
Última modificación:
10/02/2026

CVE-2026-23689
Fecha de publicación:
10/02/2026
Idioma:
Inglés
*** Pendiente de traducción *** Due to an uncontrolled resource consumption (Denial of Service) vulnerability, an authenticated attacker with regular user privileges and network access can repeatedly invoke a remote-enabled function module with an excessively large loop-control parameter. This triggers prolonged loop execution that consumes excessive system resources, potentially rendering the system unavailable. Successful exploitation results in a denial-of-service condition that impacts availability, while confidentiality and integrity remain unaffected.
Gravedad CVSS v3.1: ALTA
Última modificación:
10/02/2026

CVE-2026-24312
Fecha de publicación:
10/02/2026
Idioma:
Inglés
*** Pendiente de traducción *** An erroneous authorization check in SAP Business Workflow leads to privilege escalation. An authenticated administrative user can bypass role restrictions by leveraging permissions from a less sensitive function to execute unauthorized, high-privilege actions. This has a high impact on data integrity, with low impact on confidentiality and no impact on availability of the application.
Gravedad CVSS v3.1: MEDIA
Última modificación:
10/02/2026

CVE-2026-24319
Fecha de publicación:
10/02/2026
Idioma:
Inglés
*** Pendiente de traducción *** In SAP Business One, sensitive information is written to the application�s memory dump files without obfuscation. Gaining access to this information could potentially lead to unauthorized operations within the B1 environment, including modification of company data. This issue results in a high impact on confidentiality and integrity, with no impact on availability.
Gravedad CVSS v3.1: MEDIA
Última modificación:
10/02/2026

CVE-2026-24320
Fecha de publicación:
10/02/2026
Idioma:
Inglés
*** Pendiente de traducción *** Due to improper memory management in SAP NetWeaver and ABAP Platform (Application Server ABAP), an authenticated attacker could exploit logical errors in memory management by supplying specially crafted input containing unique characters, which are improperly converted. This may result in memory corruption and the potential leakage of memory content. Successful exploitation of this vulnerability would have a low impact on the confidentiality of the application, with no effect on its integrity or availability.
Gravedad CVSS v3.1: BAJA
Última modificación:
10/02/2026

CVE-2026-0505
Fecha de publicación:
10/02/2026
Idioma:
Inglés
*** Pendiente de traducción *** The BSP applications allow an unauthenticated user to manipulate user-controlled URL parameters that are not sufficiently validated. This could result in unvalidated redirection to attacker-controlled websites, leading to a low impact on confidentiality and integrity, and no impact on the availability of the application.
Gravedad CVSS v3.1: MEDIA
Última modificación:
10/02/2026

CVE-2026-0508
Fecha de publicación:
10/02/2026
Idioma:
Inglés
*** Pendiente de traducción *** The SAP BusinessObjects Business Intelligence Platform allows an authenticated attacker with high privileges to insert malicious URL within the application. Upon successful exploitation, the victim may click on this malicious URL, resulting in an unvalidated redirect to the attacker-controlled domain and subsequently download the malicious content. This vulnerability has a high impact on the confidentiality and integrity of the application, with no effect on the availability of the application.
Gravedad CVSS v3.1: ALTA
Última modificación:
10/02/2026

CVE-2026-0509
Fecha de publicación:
10/02/2026
Idioma:
Inglés
*** Pendiente de traducción *** SAP NetWeaver Application Server ABAP and ABAP Platform allows an authenticated, low-privileged user to perform background Remote Function Calls without the required S_RFC authorization in certain cases. This can result in a high impact on integrity and availability, and no impact on the confidentiality of the application.
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
10/02/2026
Suscribirse a Vulnerabilidades