Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las últimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las últimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las últimas vulnerabilidades incorporadas al repositorio.

CVE-2026-42480

Fecha de publicación:

01/05/2026

Idioma:

Inglés

*** Pendiente de traducción *** A stack-based out-of-bounds read vulnerability in VrmlData_Scene::ReadLine in the VRML parser in Open CASCADE Technology (OCCT) V8_0_0_rc5 allows attackers to cause a denial of service via a crafted VRML file. The issue occurs because the quoted-string escape handler uses ptr[++anOffset] without proper bounds checking, which can read past the end of a fixed-size stack buffer.

Gravedad CVSS v3.1: MEDIA

Última modificación:

01/05/2026

CVE-2026-42481

Fecha de publicación:

01/05/2026

Idioma:

Inglés

*** Pendiente de traducción *** Open CASCADE Technology (OCCT) V8_0_0_rc5 contains multiple vulnerabilities in its IGES and STEP file parsers that can be triggered by crafted IGES or STEP files. These issues include an out-of-bounds read in Geom2d_BSplineCurve::EvalD0 during IGES B-spline curve evaluation, an out-of-bounds read in MakeBSplineCurveCommon during STEP B-spline curve construction, and infinite recursion in StepShape_OrientedEdge::EdgeStart when processing a self-referential OrientedEdge entity. Successful exploitation may result in denial of service or unintended memory disclosure.

Gravedad CVSS v3.1: MEDIA

Última modificación:

01/05/2026

CVE-2026-42475

Fecha de publicación:

01/05/2026

Idioma:

Inglés

*** Pendiente de traducción *** SQL injection vulnerability in MixPHP Framework 2.x thru 2.2.17 via crafted `on` array to the joinOn function in BuildHelper.php.

Gravedad CVSS v3.1: MEDIA

Última modificación:

01/05/2026

CVE-2026-42471

Fecha de publicación:

01/05/2026

Idioma:

Inglés

*** Pendiente de traducción *** Unsafe deserialization vulnerability in MixPHP Framework 2.x thru 2.2.17. The sync-invoke client (Connection.php:76) calls unserialize() on data received from the server response, enabling client-side RCE if connecting to a malicious server.

Gravedad CVSS v3.1: ALTA

Última modificación:

05/05/2026

CVE-2026-42472

Fecha de publicación:

01/05/2026

Idioma:

Inglés

*** Pendiente de traducción *** Unsafe deserialization vulnerability in MixPHP Framework 2.x thru 2.2.17. The session and cache handlers use unserialize() on data from Redis in the RedisHandler object.

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

05/05/2026

CVE-2026-42473

Fecha de publicación:

01/05/2026

Idioma:

Inglés

*** Pendiente de traducción *** Unsafe deserialization vulnerability in MixPHP Framework 2.x thru 2.2.17. The session and cache handlers use unserialize() on data from the filesystem in the FileHandler object.

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

05/05/2026

CVE-2026-42474

Fecha de publicación:

01/05/2026

Idioma:

Inglés

*** Pendiente de traducción *** SQL injection vulnerability in MixPHP Framework 2.x thru 2.2.17 via crafted `data` array to the data function in BuildHelper.php.

Gravedad CVSS v3.1: MEDIA

Última modificación:

05/05/2026

CVE-2026-37554

Fecha de publicación:

01/05/2026

Idioma:

Inglés

*** Pendiente de traducción *** An issue was discovered in Vanetza V2X v26.02 allowing remote unauthorized attackers to cause a denial of service. The vulnerability exists in the GeoNetworking packet processing pipeline where OpenSSL exceptions from ECC point validation (invalid compressed point, point not on curve) are not properly caught by the Router::indicate() call chain. The openssl_wrapper.cpp check() function (line 19) throws openssl::Exception when OpenSSL operations fail. The parser&#39;s catch block in parse_secured() should catch these, but the exception escapes through subsequent processing stages (indicate_common, indicate_extended). This causes std::terminate, crashing the V2X receiver.

Gravedad CVSS v3.1: ALTA

Última modificación:

05/05/2026

CVE-2026-37503

Fecha de publicación:

01/05/2026

Idioma:

Inglés

*** Pendiente de traducción *** Cross-Site Scripting (XSS) in V2Board thru 1.7.4. The custom_html field in theme configuration is rendered using Blade unescaped output in public/theme/v2board/dashboard.blade.php. An admin can inject arbitrary JavaScript via the saveThemeConfig API. All site visitors execute the payload, enabling cookie theft, session hijacking, or phishing.

Gravedad CVSS v3.1: MEDIA

Última modificación:

01/05/2026

CVE-2026-37504

Fecha de publicación:

01/05/2026

Idioma:

Inglés

*** Pendiente de traducción *** Sensitive server_token exposed via GET parameter in V2Board thru 1.7.4. In app/Http/Controllers/Server/UniProxyController.php, the server authentication token is accepted via GET parameter transmission. The token appears in URLs such as /api/v1/server/UniProxy/user?token=SECRET, causing it to be recorded in web server access logs, browser history, HTTP Referer headers, and proxy/CDN logs. An attacker who gains access to any log source can extract the token and impersonate a proxy server node, potentially intercepting all user traffic.

Gravedad CVSS v3.1: MEDIA

Última modificación:

01/05/2026

CVE-2026-37505

Fecha de publicación:

01/05/2026

Idioma:

Inglés

*** Pendiente de traducción *** SQL Injection via ORDER BY clause in V2Board thru 1.7.4. In app/Http/Controllers/Admin/UserController.php, the sort parameter from user input is passed directly to User::orderBy($sort, $sortType) without validation. An authenticated admin can sort users by any database column including password, remember_token, and other sensitive fields, enabling information disclosure through ordering analysis.

Gravedad CVSS v3.1: MEDIA

Última modificación:

01/05/2026

CVE-2026-37552

Fecha de publicación:

01/05/2026

Idioma:

Inglés

*** Pendiente de traducción *** Unsafe deserialization vulnerability in MixPHP Framework 2.x thru 2.2.17. The sync-invoke TCP server (Server.php:87) receives data from a TCP socket, passes it directly to Opis\Closure\unserialize(), then executes the result via call_user_func(). No authentication or signature verification exists on the TCP connection. An attacker with access to the localhost TCP port (server binds 127.0.0.1) can send a crafted serialized PHP closure to achieve arbitrary code execution.

Gravedad CVSS v3.1: ALTA

Última modificación:

01/05/2026

Suscribirse a Vulnerabilidades