Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las últimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las últimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las últimas vulnerabilidades incorporadas al repositorio.

CVE-2026-63259

Fecha de publicación:

21/07/2026

Idioma:

Inglés

*** Pendiente de traducción *** Authorization Bypass Through User-Controlled Key (CWE-639) in Kibana can lead to information disclosure via user-supplied identifiers that reference scheduled query result data from Kibana Spaces the requester is not authorized to access.

Gravedad CVSS v3.1: MEDIA

Última modificación:

03/08/2026

CVE-2026-63145

Fecha de publicación:

21/07/2026

Idioma:

Inglés

*** Pendiente de traducción *** Incorrect Authorization (CWE-863) in Kibana can lead to integrity compromise of Machine Learning audit and notification records via Accessing Functionality Not Properly Constrained by ACLs (CAPEC-1).<br /> <br /> A vulnerability exists in Kibana&#39;s Machine Learning functionality where a Machine Learning management endpoint performs an insufficient authorization check. The endpoint validates only a coarse privilege level but does not verify that the requesting user has access to the specific Machine Learning job or notification resources provided in the request. As a result, a low-privileged user with Machine Learning access in any Kibana space can manipulate Machine Learning audit and notification records for arbitrary jobs—including jobs in other spaces or belonging to other users—by leveraging Kibana&#39;s internally elevated credentials to write to restricted Machine Learning system indices that the user cannot access directly.

Gravedad CVSS v3.1: MEDIA

Última modificación:

03/08/2026

CVE-2026-63143

Fecha de publicación:

21/07/2026

Idioma:

Inglés

*** Pendiente de traducción *** Missing Authorization (CWE-862) in Kibana can lead to unauthorized information disclosure via Privilege Abuse (CAPEC-122). A user with limited feature privileges can access workflow execution outputs in their Kibana space without the authorization required to do so through the documented API. The accessible data may include sensitive information returned by workflow steps, such as results from connected data sources that the caller would not otherwise be authorized to access.

Gravedad CVSS v3.1: MEDIA

Última modificación:

03/08/2026

CVE-2026-63142

Fecha de publicación:

21/07/2026

Idioma:

Inglés

*** Pendiente de traducción *** Incomplete List of Disallowed Inputs (CWE-184) in Kibana can allow an authenticated attacker with access to the Reporting feature to bypass outbound request restrictions configured by an administrator, causing the reporting service to send requests to network destinations that should be denied by the configured security policy.

Gravedad CVSS v3.1: MEDIA

Última modificación:

03/08/2026

CVE-2026-56819

Fecha de publicación:

21/07/2026

Idioma:

Inglés

*** Pendiente de traducción *** Netty is a network application framework for development of protocol servers and clients. In versions 4.2.0.Final through 4.2.15.Final and 4.1.0.Final through 4.1.135.Final, a remote unauthenticated peer can leak one direct `ByteBuf` per HTTP/2 `DATA` frame in applications that enable HTTP/2 content decompression via `DelegatingDecompressorFrameListener`. When a `DATA` frame is processed for a stream whose decompressor has already been closed, `Http2Decompressor.decompress(...)` calls `decompressor.writeInbound(data.retain())` and does not release the retained buffer on the error path, eventually exhausting direct memory and crashing the JVM. This issue is fixed in versions 4.1.136.Final and 4.2.16.Final.

Gravedad CVSS v3.1: ALTA

Última modificación:

30/07/2026

CVE-2026-56817

Fecha de publicación:

21/07/2026

Idioma:

Inglés

*** Pendiente de traducción *** Netty is a network application framework for development of protocol servers and clients. In versions 4.2.0.Final through 4.2.15.Final and 4.1.0.Final through 4.1.135.Final, any caller that can deliver bytes to a Netty channel pipeline containing `XmlDecoder` can send XML with a `DOCTYPE` declaration to an `AsyncXMLInputFactory` instantiated with no security configuration, leaving DTD and entity handling active depending on Aalto XML async parser behavior and creating conditional XML external entity risk. This issue is fixed in versions 4.1.136.Final and 4.2.16.Final.

Gravedad CVSS v4.0: ALTA

Última modificación:

30/07/2026

CVE-2026-56820

Fecha de publicación:

21/07/2026

Idioma:

Inglés

*** Pendiente de traducción *** Netty is a network application framework for development of protocol servers and clients. In versions 4.2.0.Final through 4.2.15.Final and prior to 4.1.135.Final, `OcspClient` does not validate that the `CertificateID` in an OCSP response matches the requested `CertificateID`, which can lead to replay attack. `OcspClient.validateResponse` accepts a legitimately signed `GOOD` status response for an unrelated certificate issued by the same CA, allowing bypass of revocation checks for another certificate. This issue is fixed in versions 4.1.136.Final and 4.2.16.Final.

Gravedad CVSS v3.1: ALTA

Última modificación:

30/07/2026

CVE-2026-16485

Fecha de publicación:

21/07/2026

Idioma:

Inglés

*** Pendiente de traducción *** A vulnerability has been found in SourceCodester Class and Exam Timetabling System 1.0. Affected by this issue is some unknown functionality of the file /class.php. Such manipulation of the argument day leads to cross site scripting. The attack can be launched remotely. The exploit has been disclosed to the public and may be used.

Gravedad CVSS v4.0: BAJA

Última modificación:

22/07/2026

CVE-2026-16486

Fecha de publicación:

21/07/2026

Idioma:

Inglés

*** Pendiente de traducción *** A vulnerability was found in SourceCodester Class and Exam Timetabling System 1.0. This affects an unknown part of the file /BSIS.php. Performing a manipulation of the argument day results in cross site scripting. The attack may be initiated remotely. The exploit has been made public and could be used.

Gravedad CVSS v4.0: BAJA

Última modificación:

22/07/2026

CVE-2026-16517

Fecha de publicación:

21/07/2026

Idioma:

Inglés

*** Pendiente de traducción *** A signed integer overflow vulnerability was found in libarchive&#39;s ZIP writer. In the archive_write_zip_header function in archive_write_set_format_zip.c, when ZIP encryption is enabled and the entry file size is close to INT64_MAX, the addition of the encryption overhead to the entry size overflows int64_t, resulting in undefined behavior. This could lead to incorrect Zip64 extension decisions or potential memory corruption.

Gravedad CVSS v3.1: BAJA

Última modificación:

22/07/2026

CVE-2026-16424

Fecha de publicación:

21/07/2026

Idioma:

Inglés

*** Pendiente de traducción *** Use after free in GPU in Google Chrome on Android prior to 150.0.7871.182 allowed a remote attacker who had compromised the renderer process to potentially perform a sandbox escape via a crafted HTML page. (Chromium security severity: High)

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

24/07/2026

CVE-2026-16422

Fecha de publicación:

21/07/2026

Idioma:

Inglés

*** Pendiente de traducción *** Insufficient validation of untrusted input in Certificate in Google Chrome on Linux prior to 150.0.7871.182 allowed an attacker in a privileged network position to perform domain spoofing via malicious network traffic. (Chromium security severity: High)

Gravedad CVSS v3.1: ALTA

Última modificación:

24/07/2026

Suscribirse a Vulnerabilidades