Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las últimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las últimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las últimas vulnerabilidades incorporadas al repositorio.

CVE-2026-9509

Fecha de publicación:

29/05/2026

Idioma:

Inglés

*** Pendiente de traducción *** An unhandled exception in Suprema BioStar 2 (Server), versions 2.9.8, 2.9.10, and 2.9.11, that allows an unauthenticated remote attacker to cause a denial of service (DoS) by sending HTTP POST requests to the ‘/api/migration’ endpoint. This request triggers a failure that halts critical processes, leaving the system offline until the services or server are manually restarted. As a result, access control readers cease to function, and potential failures may occur in third-party integrations. Since the exploit requires no privileges or user interaction and is trivial to automate, the impact on availability is high, and the effect extends to interconnected systems.

Gravedad CVSS v4.0: ALTA

Última modificación:

29/05/2026

CVE-2026-8326

Fecha de publicación:

29/05/2026

Idioma:

Inglés

*** Pendiente de traducción *** Path traversal vulnerability in Remote Spark (https://www.Remotespark.Com/) SparkView allows reading and writing arbitrary files in all directories as root. This leads to RCE. The affected component is the RDP drive redirection. Depending on implementation, the vulnerability can be exploited by an unauthenticated attacker.<br /> <br /> This issue affects SparkView: before build 1127.

Gravedad CVSS v4.0: CRÍTICA

Última modificación:

29/05/2026

CVE-2026-9508

Fecha de publicación:

29/05/2026

Idioma:

Inglés

*** Pendiente de traducción *** Incorrect permission settings on a critical resource in Suprema BioStar 2 (versions 2.9.3 through 2.9.11) that allow backup files to be publicly exposed when the administrator configures their path within the NGINX webroot. This vulnerability allows an attacker with network access to directly download backup ZIP files via ‘http(s)://[server]/download/…’ without requiring authentication. This exposes highly sensitive information that can lead to server impersonation, unauthorized access to databases, and lateral movement.

Gravedad CVSS v4.0: CRÍTICA

Última modificación:

29/05/2026

CVE-2026-48527

Fecha de publicación:

29/05/2026

Idioma:

Inglés

*** Pendiente de traducción *** HAX CMS helps manage microsite universe with PHP or NodeJs backends. Versions up to and including 26.0.0 are affected by a stored cross-site scripting (XSS) vulnerability in the `/system/api/saveNode` endpoint. An authenticated user with a permission to edit pages can bypass the HTML sanitizer by injecting an event handler attribute without whitespace before the attribute name. @haxtheweb/haxcms-nodejs 26.0.1 and haxcms-php 26.0.2 patch the issue.

Gravedad CVSS v3.1: ALTA

Última modificación:

29/05/2026

CVE-2026-45611

Fecha de publicación:

29/05/2026

Idioma:

Inglés

*** Pendiente de traducción *** Rejected reason: Further research determined the issue is not a vulnerability.

Gravedad: Pendiente de análisis

Última modificación:

29/05/2026

CVE-2026-49323

Fecha de publicación:

29/05/2026

Idioma:

Inglés

*** Pendiente de traducción *** Weak authentication between the Wireless Control Module (WCM) and the Engine Control Module (ECM) of the Indian Motorcycle Scout Bobber + Tech 2025 model year allows an adjacent-network attacker with read access to the in-vehicle network to recover the per-vehicle ECM immobilizer secret by passively observing a single seed/key exchange. The WCM derives its response using a reversible, non-cryptographic operation rather than a cryptographic challenge-response, so the persistent immobilizer secret can be reconstructed from one captured exchange. With this secret the attacker can authenticate to the ECM independently of the WCM and start the engine, defeating the immobilizer. Specific protocol details have been withheld pending vendor remediation.

Gravedad CVSS v4.0: MEDIA

Última modificación:

27/06/2026

CVE-2026-49324

Fecha de publicación:

29/05/2026

Idioma:

Inglés

*** Pendiente de traducción *** Uncontrolled resource consumption in the Wireless Control Module (WCM) of the Indian Motorcycle Scout Bobber + Tech 2025 model year allows an adjacent-network attacker with write access to the in-vehicle network to permanently immobilize the motorcycle. The WCM enforces a brute-force lockout on the immobilizer authentication algorithm, but the lockout counter is reachable by any unauthenticated message, has no session binding, and does not reset on power cycle. An attacker can deliberately trip the lockout with a small number of crafted frames, leaving the bike un-startable until dealer service. Specific thresholds have been withheld pending vendor remediation.

Gravedad CVSS v4.0: MEDIA

Última modificación:

27/06/2026

CVE-2026-10071

Fecha de publicación:

29/05/2026

Idioma:

Inglés

*** Pendiente de traducción *** DreamMaker developed by Interinfo has an Arbitrary File Upload vulnerability, allowing unauthenticated remote attackers to upload and execute web shell backdoors, thereby enabling arbitrary code execution on the server.

Gravedad CVSS v4.0: CRÍTICA

Última modificación:

29/05/2026

CVE-2026-45551

Fecha de publicación:

29/05/2026

Idioma:

Inglés

*** Pendiente de traducción *** Group-Office is an enterprise customer relationship management and groupware tool. Prior to 26.0.25, 25.0.100, and 6.8.165, GroupOffice allows authenticated users to persist arbitrary legacy settings for any user_id via index.php?r=core/saveSetting. A separate client-side sink in the email module injects the email_font_size setting directly into JavaScript without escaping. By combining these two issues, any low-privileged authenticated user can overwrite an administrator&#39;s email_font_size setting with a JavaScript payload and trigger stored XSS in the administrator&#39;s browser when the GroupOffice web client loads views/Extjs3/modulescripts.php. This vulnerability is fixed in 26.0.25, 25.0.100, and 6.8.165.

Gravedad CVSS v4.0: MEDIA

Última modificación:

29/05/2026

CVE-2026-45043

Fecha de publicación:

29/05/2026

Idioma:

Inglés

*** Pendiente de traducción *** RustFS is a distributed object storage system built in Rust. Prior to 1.0.0-beta.2, improper validation in the PUT /rustfs/admin/v3/import-iam endpoint allows a user with ImportIAMAction to create service accounts under arbitrary parent identities, including the root user (minioadmin). The endpoint accepts attacker-controlled parent, claims, accessKey, and secretKey values without enforcing privilege boundaries or sanitization. This enables privilege escalation to full administrative access using a persistent, attacker-defined credential. This vulnerability is fixed in 1.0.0-beta.2.

Gravedad CVSS v4.0: CRÍTICA

Última modificación:

02/06/2026

CVE-2026-45312

Fecha de publicación:

29/05/2026

Idioma:

Inglés

*** Pendiente de traducción *** RAGFlow is an open-source RAG (Retrieval-Augmented Generation) engine. In 0.24.0 and earlier, a Jinja2 template injection in the prompt generator (rag/prompts/generator.py) allows any authenticated user to execute arbitrary OS commands on the server. Any normal user can register, create a Canvas workflow with a DuckDuckGo + LLM component chain, and trigger the SSTI.

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

02/06/2026

CVE-2026-9811

Fecha de publicación:

29/05/2026

Idioma:

Inglés

*** Pendiente de traducción *** A stored Cross-Site Scripting (XSS) vulnerability exists in the project selector component of Mautic 7. When rendering selection menus for associating projects with system entities, the application fails to sanitize project names returned via AJAX before injecting them into the DOM as option fields. An authenticated user with permissions to create projects can exploit this to store a malicious script payload in the project&#39;s name. When another administrative user subsequently opens an entity editor containing the project selector, the injected script executes within the context of their active browser session. This could allow an attacker to hijack the session, perform unauthorized state coordination, or access organizational data within the dashboard.

Gravedad CVSS v3.1: MEDIA

Última modificación:

29/05/2026

Suscribirse a Vulnerabilidades