Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

017 - Ir a la línea de ayuda en Ciberseguridad    Ir a Agenda     Ir a Sala de prensa     Ir a suscripción de boletines

Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las últimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las últimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las últimas vulnerabilidades incorporadas al repositorio.

CVE-2026-18147
Fecha de publicación:
09/09/2026
Idioma:
Inglés
*** Pendiente de traducción *** A flaw was found in FreeIPA. An unauthenticated remote attacker could exploit a DOM Cross-Site Scripting (XSS) vulnerability in the FreeIPA/IdM Web UI password reset page. By enticing a victim to click a specially crafted link and complete a password reset, the attacker could inject and execute arbitrary JavaScript code. This allows the attacker to perform actions within the victim's authenticated session, potentially leading to full administrative control if an IdM administrator is targeted.
Gravedad CVSS v3.1: ALTA
Última modificación:
28/09/2026

CVE-2026-87824
Fecha de publicación:
09/09/2026
Idioma:
Inglés
*** Pendiente de traducción *** zstd-jni before 1.5.7-14 fails to validate the samples buffer capacity in Zstd.trainFromBufferDirect, allowing attackers to read past buffer boundaries by supplying oversized per-sample lengths. Attackers can trigger out-of-bounds memory access by providing crafted sample length arrays that cause the native implementation to walk past the buffer allocation, resulting in JVM termination.
Gravedad CVSS v4.0: ALTA
Última modificación:
20/09/2026

CVE-2026-83530
Fecha de publicación:
09/09/2026
Idioma:
Inglés
*** Pendiente de traducción *** A user could provide an expression whose string length is longer than the ParserExpressionSizeLimit() configured on the CEL environment, and a memory allocation would occur proportional to the size of the input before the limit would be checked / enforced.
Gravedad CVSS v4.0: MEDIA
Última modificación:
23/09/2026

CVE-2026-86774
Fecha de publicación:
09/09/2026
Idioma:
Inglés
*** Pendiente de traducción *** Snipe-IT versions before 8.7.0 contain a broken access control vulnerability in AssetModelPolicy where the files() method cascades from assets.files permission, allowing authenticated users to upload and delete file attachments on Asset Model records without the required models.files permission. Attackers with only assets.files permission can mutate shared model file attachments across company boundaries and bypass the dedicated models.files permission intended to restrict file management on the shared Asset Model catalog.
Gravedad CVSS v4.0: MEDIA
Última modificación:
20/09/2026

CVE-2026-86769
Fecha de publicación:
09/09/2026
Idioma:
Inglés
*** Pendiente de traducción *** Snipe-IT versions before 8.7.0 contain an improper ownership management vulnerability in the consumables checkout API endpoint that records the checkout target user's id in the created_by column instead of the authenticated caller's id. Authenticated attackers with consumables.checkout permission can perform checkouts that result in misattributed audit trail entries in the consumables_users pivot table, obscuring which operator performed the action.
Gravedad CVSS v4.0: MEDIA
Última modificación:
20/09/2026

CVE-2026-86764
Fecha de publicación:
09/09/2026
Idioma:
Inglés
*** Pendiente de traducción *** Snipe-IT through 8.6.4 (fixed in 8.7.0) does not enforce the components.view permission on the authenticated endpoint GET /api/v1/hardware//assigned/components. The endpoint authorizes only assets.view on the parent asset before returning linked component details; the components.view check is applied only to the response's available_actions.view flag and not to the returned data. As a result, an authenticated user holding only assets.view can enumerate component IDs, names, assigned quantities, and notes that are otherwise protected — the direct GET /api/v1/components/ endpoint correctly returns 403 Forbidden for such users.
Gravedad CVSS v4.0: ALTA
Última modificación:
20/09/2026

CVE-2026-86759
Fecha de publicación:
09/09/2026
Idioma:
Inglés
*** Pendiente de traducción *** Snipe-IT versions before 8.7.0 fail to authorize the POST /hardware/history endpoint, allowing any authenticated user to reassign arbitrary assets and modify audit logs. Attackers can submit a CSV file to reassign assets across companies and inject fraudulent audit trail entries, compromising inventory integrity and accountability.
Gravedad CVSS v4.0: ALTA
Última modificación:
20/09/2026

CVE-2026-86754
Fecha de publicación:
09/09/2026
Idioma:
Inglés
*** Pendiente de traducción *** Snipe-IT before 8.7.0 fails to properly gate Laravel Passport's OAuth client management routes, allowing any authenticated user to register OAuth clients with attacker-controlled redirect URIs. Attackers can trick administrators into approving consent screens, then exchange authorization codes for bearer tokens inheriting full admin API permissions lasting up to 40 years.
Gravedad CVSS v4.0: ALTA
Última modificación:
20/09/2026

CVE-2026-86200
Fecha de publicación:
09/09/2026
Idioma:
Inglés
*** Pendiente de traducción *** PocketMine-MP versions before 5.42.1 contain a denial of service vulnerability in the LoginPacket handler that allows remote attackers to flood warning messages by injecting numerous junk properties into the clientData JWT. Attackers can craft malicious login packets with excessive unknown properties to waste server CPU time and degrade performance.
Gravedad CVSS v4.0: MEDIA
Última modificación:
08/10/2026

CVE-2026-86201
Fecha de publicación:
09/09/2026
Idioma:
Inglés
*** Pendiente de traducción *** PocketMine-MP before 5.41.1 contains a denial of service vulnerability in LoginPacket processing where large or complex structures in unknown clientData JWT properties cause excessive logging without sanitization. Attackers can send crafted LoginPackets with deeply nested or massive object structures to trigger out-of-memory conditions and crash the server.
Gravedad CVSS v4.0: ALTA
Última modificación:
08/10/2026

CVE-2026-86202
Fecha de publicación:
09/09/2026
Idioma:
Inglés
*** Pendiente de traducción *** PocketMine-MP versions before 5.39.2 contain a network amplification vulnerability in ActorEventPacket handling that allows clients to trigger consuming animations for all visible players. Attackers can send crafted ActorEventPacket messages to spam animation events to other clients and waste server CPU and memory resources.
Gravedad CVSS v4.0: MEDIA
Última modificación:
08/10/2026

CVE-2026-86203
Fecha de publicación:
09/09/2026
Idioma:
Inglés
*** Pendiente de traducción *** PocketMine-MP versions before 5.39.2 fail to validate entity despawn state when processing attack packets from clients. Attackers can exploit a race condition by attacking a disconnecting player to trigger multiple death handlers, causing inventory items and experience to drop multiple times for duplication.
Gravedad CVSS v4.0: MEDIA
Última modificación:
08/10/2026
Suscribirse a Vulnerabilidades