Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

017 - Ir a la línea de ayuda en Ciberseguridad    Ir a Agenda     Ir a Sala de prensa     Ir a suscripción de boletines

Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las últimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las últimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las últimas vulnerabilidades incorporadas al repositorio.

CVE-2026-91129
Fecha de publicación:
22/09/2026
Idioma:
Inglés
*** Pendiente de traducción *** Home Assistant is open source home automation software focused on local control and privacy. Prior to 2026.2.3, the IPP integration automatically processed unauthenticated _ipp._tcp.local mDNS announcements in homeassistant/components/ipp/config_flow.py, where async_step_zeroconf passed attacker-controlled host, port, and base_path values to validate_input for printer metadata retrieval. Because the shared HTTP client followed attacker-controlled cross-origin redirects without blocking loopback targets, a local-network attacker could redirect the request to 127.0.0.1 or another internal service without user interaction or prior IPP configuration. This issue is fixed in version 2026.2.3.
Gravedad CVSS v3.1: MEDIA
Última modificación:
25/09/2026

CVE-2026-91130
Fecha de publicación:
22/09/2026
Idioma:
Inglés
*** Pendiente de traducción *** Home Assistant is open source home automation software focused on local control and privacy. Prior to 2026.7.0, the Statistics Graph card in src/components/chart/statistics-chart.ts passed entity names through getStatisticLabel and computeStateName and interpolated param.seriesName into ECharts tooltip HTML without escaping. An authenticated user or an integration that supplies a malicious default entity name could cause script-related HTML to execute when a viewer hovered over a data point. Mean, State, Sum, and Change fields in the default Line chart configuration were affected, while Bar charts were not. This issue is fixed in version 2026.7.0.
Gravedad CVSS v4.0: CRÍTICA
Última modificación:
23/09/2026

CVE-2026-88415
Fecha de publicación:
22/09/2026
Idioma:
Inglés
*** Pendiente de traducción *** MCMS 6.1.1 through 6.2.1 is vulnerable to stored Cross-Site Scripting (XSS). The article content field `contentDetails` is excluded from the global XSS filter.
Gravedad CVSS v3.1: ALTA
Última modificación:
23/09/2026

CVE-2026-89277
Fecha de publicación:
22/09/2026
Idioma:
Inglés
*** Pendiente de traducción *** CAI Content Credentials is affected by an Integer Overflow or Wraparound vulnerability that could result in an application denial-of-service. An attacker could exploit this vulnerability to crash the application, leading to a denial-of-service condition. Exploitation of this issue requires user interaction in that a victim must visit a maliciously crafted URL or interact with a compromised web page.
Gravedad CVSS v3.1: MEDIA
Última modificación:
23/09/2026

CVE-2026-88414
Fecha de publicación:
22/09/2026
Idioma:
Inglés
*** Pendiente de traducción *** MCMS 6.1.1 through 6.2.1 contains a SQL injection vulnerability in the PageAction.verify endpoint (GET /ms/mdiy/page/verify.do).
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
26/09/2026

CVE-2026-83963
Fecha de publicación:
22/09/2026
Idioma:
Inglés
*** Pendiente de traducción *** Substance3D - Modeler is affected by an out-of-bounds write vulnerability that could result in arbitrary code execution in the context of the current user. Exploitation of this issue requires user interaction in that a victim must open a malicious file.
Gravedad CVSS v3.1: ALTA
Última modificación:
25/09/2026

CVE-2026-84395
Fecha de publicación:
22/09/2026
Idioma:
Inglés
*** Pendiente de traducción *** Premiere Pro is affected by a Server-Side Request Forgery (SSRF) vulnerability that could result in privilege escalation potentially resulting in unauthorized write access. Exploitation of this issue does not require user interaction. Scope is changed.
Gravedad CVSS v3.1: ALTA
Última modificación:
23/09/2026

CVE-2026-83964
Fecha de publicación:
22/09/2026
Idioma:
Inglés
*** Pendiente de traducción *** Adobe Connect is affected by an Improper Certificate Validation vulnerability that could lead to disclosure of sensitive memory. An attacker could leverage this vulnerability to disclose sensitive information. Exploitation of this issue does not require user interaction.
Gravedad CVSS v3.1: MEDIA
Última modificación:
26/09/2026

CVE-2026-84396
Fecha de publicación:
22/09/2026
Idioma:
Inglés
*** Pendiente de traducción *** InDesign Desktop is affected by a NULL Pointer Dereference vulnerability that could result in an application denial-of-service. An attacker could exploit this vulnerability to crash the application, leading to a denial-of-service condition. Exploitation of this issue requires user interaction in that a victim must open a malicious file.
Gravedad CVSS v3.1: MEDIA
Última modificación:
26/09/2026

CVE-2026-83962
Fecha de publicación:
22/09/2026
Idioma:
Inglés
*** Pendiente de traducción *** Substance3D - Modeler is affected by a Stack-based Buffer Overflow vulnerability that could result in arbitrary code execution in the context of the current user. Exploitation of this issue requires user interaction in that a victim must open a malicious file.
Gravedad CVSS v3.1: ALTA
Última modificación:
25/09/2026

CVE-2026-81998
Fecha de publicación:
22/09/2026
Idioma:
Inglés
*** Pendiente de traducción *** Substance3D - Modeler is affected by an out-of-bounds write vulnerability that could result in arbitrary code execution in the context of the current user. Exploitation of this issue requires user interaction in that a victim must open a malicious file.
Gravedad CVSS v3.1: ALTA
Última modificación:
25/09/2026

CVE-2026-81999
Fecha de publicación:
22/09/2026
Idioma:
Inglés
*** Pendiente de traducción *** Adobe Experience Manager Forms JEE is affected by a Server-Side Request Forgery (SSRF) vulnerability that could result in privilege escalation. An attacker with high privileges could exploit this vulnerability to gain elevated access to internal resources. Exploitation of this issue does not require user interaction. Scope is changed.
Gravedad CVSS v3.1: ALTA
Última modificación:
23/09/2026
Suscribirse a Vulnerabilidades