Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

017 - Ir a la línea de ayuda en Ciberseguridad    Ir a Agenda     Ir a Sala de prensa     Ir a suscripción de boletines

Ir al buscador

Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las últimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las últimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las últimas vulnerabilidades incorporadas al repositorio.

CVE-2026-63409
Fecha de publicación:
17/08/2026
Idioma:
Inglés
*** Pendiente de traducción *** Deskflow is a keyboard and mouse sharing app. From 1.17.0 until continuous build 1.26.0.296, a malicious Deskflow server can send an odd-length DSOP vector to ServerProxy::setOptions() in src/lib/client/ServerProxy.cpp, causing the missing value after the final option key to be read beyond the vector during the PacketStreamFilter::filterEvent to ServerProxy::handleData() to ServerProxy::parseHandshakeMessage() call chain and crash the connected client. This issue is fixed in continuous build 1.26.0.296.
Gravedad CVSS v3.1: ALTA
Última modificación:
17/08/2026

CVE-2026-64657
Fecha de publicación:
17/08/2026
Idioma:
Inglés
*** Pendiente de traducción *** Budibase is an open-source low-code platform. Prior to 3.39.19, the PostgreSQL datasource connector in packages/server/src/integrations/postgres.ts interpolates the user-controlled schema configuration field into a SET search_path statement without escaping embedded double quotes, allowing an authenticated administrator who saves or tests the datasource to execute arbitrary SQL through the simple query protocol. This issue is fixed in version 3.39.19.
Gravedad CVSS v3.1: ALTA
Última modificación:
17/08/2026

CVE-2026-65640
Fecha de publicación:
17/08/2026
Idioma:
Inglés
*** Pendiente de traducción *** WordPress is vulnerable to a remote code execution vulnerability via malicious Postscript file upload by an Author level user or higher.<br /> <br /> Prerequisites:<br /> * Imagick and Ghostscript in use on the server<br /> * A malicious user with the `upload_files` capability<br /> <br /> This issue affects all versions of WordPress. Version 7.0.4 has been released, containing a fix for the vulnerability, and as a courtesy to users on older branches the fix has been backported to all branches back to 4.7.
Gravedad CVSS v3.1: ALTA
Última modificación:
17/08/2026

CVE-2026-65822
Fecha de publicación:
17/08/2026
Idioma:
Inglés
*** Pendiente de traducción *** ERPNext is a free and open source Enterprise Resource Planning tool. Prior to 15.116.0 and 16.23.0, erpnext/selling/report/inactive_customers/inactive_customers.py accepts an unvalidated doctype filter and interpolates it into raw SQL in get_sales_details and get_last_sales_amt, allowing an authenticated user to extract sensitive information and manipulate database queries. This issue is fixed in versions 15.116.0 and 16.23.0.
Gravedad CVSS v3.1: ALTA
Última modificación:
17/08/2026

CVE-2026-65832
Fecha de publicación:
17/08/2026
Idioma:
Inglés
*** Pendiente de traducción *** Deskflow is a keyboard and mouse sharing app. Prior to continuous build 1.26.0.299, a remote unauthenticated Deskflow server can send kMsgDSetOptions (DSOP) values to ServerProxy::setOptions() in src/lib/client/ServerProxy.cpp so that the value following a modifier option poisons m_modifierTranslationTable, after which ServerProxy::translateKey() or ServerProxy::translateModifierMask() indexes the seven-row s_translationTable or s_masks arrays out of bounds, disclosing four bytes at an attacker-selected relative offset or crashing the connected client; an odd option count also causes an out-of-bounds OptionsList read. This issue is fixed in continuous build 1.26.0.299.
Gravedad CVSS v3.1: ALTA
Última modificación:
17/08/2026

CVE-2026-65974
Fecha de publicación:
17/08/2026
Idioma:
Inglés
*** Pendiente de traducción *** ERPNext is a free and open source Enterprise Resource Planning tool. Prior to 15.111.0 and 16.22.0, limited authenticated users can cross a permission boundary in Frappe safe execution because frappe.render_template is exposed without forcing restrict_globals, allowing server-side template injection and remote code execution. This issue is fixed in versions 15.111.0 and 16.22.0.
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
17/08/2026

CVE-2026-44845
Fecha de publicación:
17/08/2026
Idioma:
Inglés
*** Pendiente de traducción *** JumpServer is an open source bastion host and an operation and maintenance security audit system. Prior to 4.10.17, an authenticated administrator with Applet Host management and deployment permissions can inject Jinja2 expressions into the IP/Host field or Core Service Address field, causing Ansible to evaluate ansible_host inventory data or playbook variables during Applet Host deployment and execute arbitrary commands on the JumpServer control node. This issue is fixed in version 4.10.17.
Gravedad CVSS v3.1: MEDIA
Última modificación:
17/08/2026

CVE-2026-44846
Fecha de publicación:
17/08/2026
Idioma:
Inglés
*** Pendiente de traducción *** JumpServer is an open source bastion host and an operation and maintenance security audit system. Prior to 4.10.17, a user with the users.invite_user permission can submit an existing member to POST /api/v1/users/users/invite/, causing the organization invitation logic in apps/users/api/user.py to execute user.org_roles.set(org_roles) and replace the member&amp;#39;s existing organization roles, which can escalate privileges or downgrade administrators. This issue is fixed in version 4.10.17.
Gravedad CVSS v3.1: MEDIA
Última modificación:
17/08/2026

CVE-2026-47683
Fecha de publicación:
17/08/2026
Idioma:
Inglés
*** Pendiente de traducción *** vm2 is an open source vm/sandbox for Node.js. Prior to 3.11.6, the bufferAllocLimit enforcement in lib/setup-sandbox.js does not cover Buffer.concat(list, totalLength) or Buffer.from(arrayLike) with an attacker-controlled length, allowing sandbox code to perform large synchronous host external-memory allocations that bypass the configured cap and can exhaust the host process. This issue is fixed in version 3.11.6.
Gravedad CVSS v4.0: ALTA
Última modificación:
17/08/2026

CVE-2026-47686
Fecha de publicación:
17/08/2026
Idioma:
Inglés
*** Pendiente de traducción *** vm2 is an open source vm/sandbox for Node.js. Prior to 3.11.6, handleException() in lib/setup-sandbox.js sanitizes SuppressedError.error, SuppressedError.suppressed, and AggregateError.errors but does not sanitize Error.cause, allowing sandbox code to obtain a powerful host object such as process from an embedder-exposed host function that throws an error with that object as its cause and then execute arbitrary host commands. This issue is fixed in version 3.11.6.
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
17/08/2026

CVE-2026-47698
Fecha de publicación:
17/08/2026
Idioma:
Inglés
*** Pendiente de traducción *** vm2 is an open source vm/sandbox for Node.js. Prior to 3.11.6, lib/bridge.js and lib/setup-sandbox.js fail to block stacked indirection through Function.prototype.call around dangerous host prototype getter and setter mutators, allowing sandbox code to sever a host intrinsic&amp;#39;s prototype chain and reach e.constructor.constructor for arbitrary host command execution. This issue is fixed in version 3.11.6.
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
17/08/2026

CVE-2026-54336
Fecha de publicación:
17/08/2026
Idioma:
Inglés
*** Pendiente de traducción *** JumpServer is an open source bastion host and an operation and maintenance security audit system. From 4.8.0 until 4.10.17, an authenticated user with SFTP permission to an authorized asset can submit crafted traversal paths through the KoKo Web Terminal SFTP feature, causing AssetDir.GetRealPath() in pkg/srvconn/sftp_asset.go to resolve paths outside the intended SFTP root and permit read, list, write, rename, or delete operations under the configured backend account on that asset. This issue is fixed in version 4.10.17.
Gravedad CVSS v3.1: MEDIA
Última modificación:
17/08/2026
Suscribirse a Vulnerabilidades