Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las últimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las últimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las últimas vulnerabilidades incorporadas al repositorio.

CVE-2026-4870

Fecha de publicación:

12/06/2026

Idioma:

Inglés

*** Pendiente de traducción *** IBM Qiskit SDK 0.43.0 through 2.5.0 could allow an attacker to trigger a segmentation fault leading to a denial of service due to uncontrolled recursion in the parser.

Gravedad CVSS v3.1: ALTA

Última modificación:

16/06/2026

CVE-2026-45013

Fecha de publicación:

12/06/2026

Idioma:

Inglés

*** Pendiente de traducción *** ApostropheCMS is an open-source Node.js content management system. Versions up to and including 4.29.0 have a password reset flow that constructs the reset URL using `req.hostname`, which is derived directly from the attacker-controlled HTTP `Host` header when `apos.baseUrl` is not explicitly configured. An unauthenticated attacker who knows a victim&#39;s email address can send a crafted reset request that causes the application to email the victim a reset link pointing to the attacker&#39;s domain. When the victim clicks the link, the valid reset token is delivered to the attacker, enabling full account takeover. As of time of publication, no known patched versions are available.

Gravedad CVSS v3.1: ALTA

Última modificación:

15/06/2026

CVE-2026-44990

Fecha de publicación:

12/06/2026

Idioma:

Inglés

*** Pendiente de traducción *** ApostropheCMS is an open-source Node.js content management system, and sanitize-html provides a simple HTML sanitizer with a clear API. Under the default configuration, versions of `sanitize-html` prior to 2.17.4 can turn attacker-controlled content inside a disallowed `xmp` element into live HTML or JavaScript. This is a sanitizer bypass in the default `disallowedTagsMode: &#39;discard&#39;` path and can lead to stored XSS in applications that render sanitized output back to users. Version 2.17.4 patches the issue.

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

15/06/2026

CVE-2026-45011

Fecha de publicación:

12/06/2026

Idioma:

Inglés

*** Pendiente de traducción *** ApostropheCMS is an open-source Node.js content management system. Version 4.29.0 has a stored cross-site scripting vulnerability in the image widget functionality. A user with the Editor role can configure an image widget link to use a javascript: URL payload. Because editors have permission to publish pages, the malicious widget can be published to the live site. When another user, including an administrator or public visitor, clicks the affected image/link, arbitrary JavaScript executes in the victim’s browser. As of time of publication, no known patched versions are available.

Gravedad CVSS v3.1: ALTA

Última modificación:

15/06/2026

CVE-2026-45014

Fecha de publicación:

12/06/2026

Idioma:

Inglés

*** Pendiente de traducción *** ApostropheCMS is an open-source Node.js content management system. Versions up to and including 4.29.0 are vulnerable to stored cross-site scripting via unsanitized user display name in draft version tooltip. As of time of publication, no known patched versions are available.

Gravedad CVSS v4.0: MEDIA

Última modificación:

15/06/2026

CVE-2026-44784

Fecha de publicación:

12/06/2026

Idioma:

Inglés

*** Pendiente de traducción *** Discourse is an open-source discussion platform. From versions 2026.1.0-latest to before 2026.1.4, 2026.3.0-latest to before 2026.3.1, and 2026.4.0-latest to before 2026.4.1, group owners who are not necessarily admins or moderators can view a group&#39;s outgoing email/SMTP credentials in plaintext via the group history log (/groups/:name/logs.json). Affected fields: email_password, email_username, smtp_server, smtp_port, smtp_ssl_mode. The most sensitive item is the SMTP password, which an owner could use to send mail as the group from outside Discourse. This impacts sites that have configured per-group SMTP credentials and granted group ownership to users who should not have access to those credentials. This issue has been patched in versions 2026.1.4, 2026.3.1, 2026.4.1, and 2026.5.0-latest.1.

Gravedad CVSS v3.1: MEDIA

Última modificación:

15/06/2026

CVE-2026-44785

Fecha de publicación:

12/06/2026

Idioma:

Inglés

*** Pendiente de traducción *** Discourse is an open-source discussion platform. From versions 2026.1.0-latest to before 2026.1.4, 2026.3.0-latest to before 2026.3.1, and 2026.4.0-latest to before 2026.4.1, the AI "explain" helper only checks can_see? on the post being explained, not its reply_to_post, so any authenticated user with access to the AI helper could read the raw contents of a hidden parent post by invoking "Explain" on a reply to it. This issue has been patched in versions 2026.1.4, 2026.3.1, 2026.4.1, and 2026.5.0-latest.1.

Gravedad CVSS v3.1: MEDIA

Última modificación:

15/06/2026

CVE-2026-44786

Fecha de publicación:

12/06/2026

Idioma:

Inglés

*** Pendiente de traducción *** Discourse is an open-source discussion platform. From versions 2026.1.0-latest to before 2026.1.4, 2026.3.0-latest to before 2026.3.1, and 2026.4.0-latest to before 2026.4.1, chat events for public category channels are published to MessageBus without permission scoping, so any MessageBus subscriber without chat enabled could receive chat message payloads in real time. This issue has been patched in versions 2026.1.4, 2026.3.1, 2026.4.1, and 2026.5.0-latest.1.

Gravedad CVSS v3.1: ALTA

Última modificación:

15/06/2026

CVE-2026-45012

Fecha de publicación:

12/06/2026

Idioma:

Inglés

*** Pendiente de traducción *** ApostropheCMS is an open-source Node.js content management system. Versions up to and including 4.29.0 contain an authenticated server-side request forgery (SSRF) in the rich-text widget import flow. An authenticated user who can submit/edit rich-text widget content can cause the server to fetch attacker-controlled URLs during widget validation. For image-compatible responses, the fetched content can be persisted and re-hosted by Apostrophe, allowing response exfiltration. As of time of publication, no known patched versions are available.

Gravedad CVSS v3.1: ALTA

Última modificación:

15/06/2026

CVE-2026-24618

Fecha de publicación:

12/06/2026

Idioma:

Inglés

*** Pendiente de traducción *** Exposure of Sensitive System Information to an Unauthorized Control Sphere vulnerability in HashThemes Hash Elements allows Retrieve Embedded Sensitive Data.<br /> <br /> This issue affects Hash Elements: from n/a through 1.5.4.

Gravedad CVSS v3.1: MEDIA

Última modificación:

15/06/2026

CVE-2026-42853

Fecha de publicación:

12/06/2026

Idioma:

Inglés

*** Pendiente de traducción *** ApostropheCMS is an open-source Node.js content management system. Versions of the @apostrophecms/cli package up to and including 3.6.0 contain a command injection vulnerability in the apos create command. User-supplied input from the password prompt is embedded directly into a shell command without proper sanitization or escaping. This allows execution of arbitrary commands on the host system. As of time of publication, no known patched versions are available.

Gravedad CVSS v3.1: MEDIA

Última modificación:

15/06/2026

CVE-2026-44779

Fecha de publicación:

12/06/2026

Idioma:

Inglés

*** Pendiente de traducción *** Discourse is an open-source discussion platform. From versions 2026.1.0-latest to before 2026.1.4, 2026.3.0-latest to before 2026.3.1, and 2026.4.0-latest to before 2026.4.1, bot debug endpoints disclose whisper translation audit logs. This issue has been patched in versions 2026.1.4, 2026.3.1, 2026.4.1, and 2026.5.0-latest.1.

Gravedad CVSS v3.1: MEDIA

Última modificación:

15/06/2026

Suscribirse a Vulnerabilidades