Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las últimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las últimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las últimas vulnerabilidades incorporadas al repositorio.

CVE-2026-53809

Fecha de publicación:

11/06/2026

Idioma:

Inglés

*** Pendiente de traducción *** OpenClaw before 2026.4.25 contains a policy bypass vulnerability in embedded runner policy that allows requests using provider aliases to compare against aliases instead of canonical provider identities. Attackers can exploit this confusion to select bundled tool access outside intended provider policy restrictions when the affected feature is enabled.

Gravedad CVSS v4.0: MEDIA

Última modificación:

12/06/2026

CVE-2026-53808

Fecha de publicación:

11/06/2026

Idioma:

Inglés

*** Pendiente de traducción *** OpenClaw before 2026.5.6 contains an approval policy bypass vulnerability in the Skill Workshop apply flow that allows agent tool calls to set apply: true despite approvalPolicy: pending configuration. Attackers can exploit this by reaching the affected apply path to apply workshop changes before the expected approval step, potentially modifying configurations without proper authorization.

Gravedad CVSS v4.0: MEDIA

Última modificación:

12/06/2026

CVE-2026-53807

Fecha de publicación:

11/06/2026

Idioma:

Inglés

*** Pendiente de traducción *** OpenClaw before 2026.5.6 contains an authorization bypass vulnerability in Telegram interactive callbacks that allows authenticated users to skip commands.allowFrom validation. Attackers can invoke affected callbacks to mark themselves as authorized senders before allowlist checks are applied, triggering command behavior outside configured Telegram sender restrictions.

Gravedad CVSS v4.0: ALTA

Última modificación:

12/06/2026

CVE-2026-53806

Fecha de publicación:

11/06/2026

Idioma:

Inglés

*** Pendiente de traducción *** OpenClaw before 2026.5.12 contains a shell option parsing vulnerability that allows combined POSIX shell flags to bypass exec revalidation checks. Attackers can exploit this by using combined shell options to execute inline shell content without intended allowlist validation, potentially enabling unauthorized command execution when the affected feature is enabled.

Gravedad CVSS v4.0: ALTA

Última modificación:

12/06/2026

CVE-2026-41005

Fecha de publicación:

11/06/2026

Idioma:

Inglés

*** Pendiente de traducción *** Cloud Foundry UAA incorrectly treated XML encryption to the Service Provider (confidentiality) as a substitute for XML signatures from the Identity Provider (authenticity) in two SAML flows: the OAuth 2.0 SAML2 bearer grant (token endpoint) and browser SSO (ACS) when wantAssertionSigned is set to false. Assertions or responses that were unsigned but contained encrypted content could still be accepted. Encryption uses the SP&#39;s public key from published metadata, therefore, any party, not only a trusted IdP, can produce ciphertext UAA can decrypt; successful decryption therefore does not prove the IdP issued the message.<br /> <br /> Affected versions:<br /> Cloud Foundry UAA (uaa_release) 2.0.0 through 78.13.0.<br /> Cloud Foundry CF Deployment all versions through 56.1.0.

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

12/06/2026

CVE-2026-53781

Fecha de publicación:

11/06/2026

Idioma:

Inglés

*** Pendiente de traducción *** Summarize before 0.17.0 contains a resource exhaustion vulnerability that allows remote attackers to cause disk exhaustion by serving media responses that bypass the enforced size limit through missing or misreported Content-Length headers, chunked transfer encoding, or failed HEAD requests. Attackers who control a podcast feed or media URL can stream an unbounded response to local storage via the temp-file download path, exhausting disk or system resources on the host running the CLI.

Gravedad CVSS v4.0: MEDIA

Última modificación:

11/06/2026

CVE-2026-53782

Fecha de publicación:

11/06/2026

Idioma:

Inglés

*** Pendiente de traducción *** Summarize before 0.17.0 contains a server-side request forgery vulnerability that allows attackers who control a podcast RSS feed to direct the host to fetch transcript content from loopback addresses, link-local addresses, RFC 1918 private ranges, or other reserved destinations by supplying malicious podcast:transcript URL values. Attackers can bypass protections through DNS rebinding and redirect-based techniques, as redirect targets are not revalidated and hostnames are not resolved before request dispatch, exposing internal service responses through the summarization flow.

Gravedad CVSS v4.0: MEDIA

Última modificación:

11/06/2026

CVE-2026-49973

Fecha de publicación:

11/06/2026

Idioma:

Inglés

*** Pendiente de traducción *** Hermes WebUI before version 0.51.358 contains an improper access control vulnerability that allows unauthenticated remote attackers to hijack initial setup by submitting the _set_password parameter to the settings API endpoint without any network origin restriction. Attackers on any reachable network can send a POST request to the settings endpoint during the first-run setup window to persist an arbitrary password hash, obtain a valid session cookie, and lock out the legitimate operator from their own instance.

Gravedad CVSS v4.0: CRÍTICA

Última modificación:

13/06/2026

CVE-2026-49949

Fecha de publicación:

11/06/2026

Idioma:

Inglés

*** Pendiente de traducción *** CodexBar before 0.33.0 contains a credential forwarding vulnerability that allows network-adjacent attackers to intercept sensitive credentials by issuing cross-origin or HTTP-downgrade redirects to the shared ProviderHTTPClient transport. Attackers can redirect credentialed provider requests carrying browser cookies, bearer tokens, or API keys to an unintended host, port, or plaintext HTTP destination to capture those credentials.

Gravedad CVSS v4.0: MEDIA

Última modificación:

11/06/2026

CVE-2026-45802

Fecha de publicación:

11/06/2026

Idioma:

Inglés

*** Pendiente de traducción *** FPDI is a collection of PHP classes that facilitate reading pages from existing PDF documents and using them as templates in FPDF. Prior to version 2.6.7, an attacker can upload a small, malicious PDF file that will cause the server-side script to crash due to memory exhaustion or a script time-out. Repeated attacks can lead to sustained service unavailability. This issue has been patched in version 2.6.7.

Gravedad CVSS v4.0: MEDIA

Última modificación:

11/06/2026

CVE-2026-46489

Fecha de publicación:

11/06/2026

Idioma:

Inglés

*** Pendiente de traducción *** SolidInvoice is an open-source invoicing platform. Prior to version 2.3.17, the company logo upload feature accepts any file type without validation. An authenticated administrator can upload an SVG file containing embedded JavaScript. This script is base64-encoded and injected unescaped into every page of the application, causing stored cross-site scripting (XSS) that executes in every authenticated user&#39;s browser. This issue has been patched in version 2.3.17.

Gravedad CVSS v3.1: ALTA

Última modificación:

12/06/2026

CVE-2026-46622

Fecha de publicación:

11/06/2026

Idioma:

Inglés

*** Pendiente de traducción *** SolidInvoice is an open-source invoicing platform. Prior to version 2.3.17, API tokens used to authenticate all REST API requests are stored as plaintext strings in the api_tokens database table. Any attacker who obtains read access to the database — through SQL injection, a leaked backup, a misconfigured replica, or insider access — immediately obtains all API credentials for every user with no further effort. This issue has been patched in version 2.3.17.

Gravedad CVSS v3.1: ALTA

Última modificación:

15/06/2026

Suscribirse a Vulnerabilidades