Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las últimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las últimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las últimas vulnerabilidades incorporadas al repositorio.

CVE-2023-40200

Fecha de publicación:
11/06/2026
Idioma:
Inglés
*** Pendiente de traducción *** Authorization bypass through User-Controlled key vulnerability in Essential Plugin WP Logo Showcase Responsive Slider and Carousel allows Exploiting Incorrectly Configured Access Control Security Levels.<br /> <br /> This issue affects WP Logo Showcase Responsive Slider and Carousel: from n/a through 3.6.
Gravedad CVSS v3.1: MEDIA
Última modificación:
11/06/2026

CVE-2024-32110

Fecha de publicación:
11/06/2026
Idioma:
Inglés
*** Pendiente de traducción *** Cross-Site request forgery (CSRF) vulnerability in Magepeople inc. WpEvently allows Cross Site Request Forgery.<br /> <br /> This issue affects WpEvently: from n/a through 4.1.2.
Gravedad CVSS v3.1: MEDIA
Última modificación:
11/06/2026

CVE-2026-41000

Fecha de publicación:
11/06/2026
Idioma:
Inglés
*** Pendiente de traducción *** Wss4jSecurityInterceptor did not consistently wire Apache WSS4J ReplayCache instances into RequestData for validation-time checks. As a result, protections against replay of UsernameToken nonces and creation timestamps, Timestamp elements, and certain SAML one-time-use semantics could be ineffective even when operators configured a replay cache on the interceptor.<br /> <br /> Affected versions:<br /> Spring Web Services 5.0.0 through 5.0.1; 4.1.0 through 4.1.3; 4.0.0 through 4.0.18; 3.1.0 through 3.1.8.
Gravedad CVSS v3.1: BAJA
Última modificación:
11/06/2026

CVE-2026-41001

Fecha de publicación:
11/06/2026
Idioma:
Inglés
*** Pendiente de traducción *** Spring Boot&amp;#39;s ArtemisEmbeddedConfigurationFactory uses a fixed, static path for the embedded Artemis message broker&amp;#39;s data directory when no explicit path is configured. A local attacker on the same host can pre-create this predictable directory or place a symlink before the application starts.<br /> <br /> Affected versions:<br /> Spring Boot 4.0.0 through 4.0.6; 3.5.0 through 3.5.14; 3.4.0 through 3.4.16; 3.3.0 through 3.3.19; 2.7.0 through 2.7.33.
Gravedad CVSS v3.1: MEDIA
Última modificación:
11/06/2026

CVE-2026-41700

Fecha de publicación:
11/06/2026
Idioma:
Inglés
*** Pendiente de traducción *** Spring for GraphQL applications that have enabled the WebSocket transport are vulnerable to Cross-Site WebSocket Hijacking. An attacker can trick an authenticated user into visiting a malicious page, allowing the attacker to execute arbitrary GraphQL operations with the victim&amp;#39;s credentials.<br /> <br /> Affected versions:<br /> Spring for GraphQL 2.0.0 through 2.0.3; 1.4.0 through 1.4.5; 1.3.0 through 1.3.8; 1.0.0 through 1.0.6.
Gravedad CVSS v3.1: ALTA
Última modificación:
12/06/2026

CVE-2026-41856

Fecha de publicación:
11/06/2026
Idioma:
Inglés
*** Pendiente de traducción *** The Spring GraphQL annotation detection mechanism for @Controller data fetchers may not correctly resolve annotations on methods within type hierarchies. This can be an issue if such annotations are used for authorization decisions. When all conditions are met, security annotations can be ignored at runtime.<br /> <br /> Affected versions:<br /> Spring for GraphQL 2.0.0 through 2.0.3; 1.4.0 through 1.4.5; 1.3.0 through 1.3.8; 1.0.0 through 1.0.6.
Gravedad CVSS v3.1: ALTA
Última modificación:
12/06/2026

CVE-2026-41699

Fecha de publicación:
11/06/2026
Idioma:
Inglés
*** Pendiente de traducción *** Spring for GraphQL applications are vulnerable to Unsafe Deserialization when processing paginated GraphQL queries. An attacker can craft a malicious GraphQL request that can lead to Remote Code Execution when the application exposes a paginated (Connection) field and the classpath contains specific classes that can be leveraged during deserialization.<br /> <br /> Affected versions:<br /> Spring for GraphQL 2.0.0 through 2.0.3; 1.4.0 through 1.4.5; 1.3.0 through 1.3.8.
Gravedad CVSS v3.1: ALTA
Última modificación:
12/06/2026

CVE-2026-40987

Fecha de publicación:
11/06/2026
Idioma:
Inglés
*** Pendiente de traducción *** A malicious or compromised FTP/SFTP/SMB server can write arbitrary files anywhere on the client filesystem (outside the configured local-directory) with attacker-controlled content.<br /> <br /> Affected versions:<br /> Spring Integration 7.0.0 through 7.0.4; 6.5.0 through 6.5.8; 6.4.0 through 6.4.11; 6.3.0 through 6.3.14; 5.5.0 through 5.5.20.
Gravedad CVSS v3.1: ALTA
Última modificación:
11/06/2026

CVE-2026-40992

Fecha de publicación:
11/06/2026
Idioma:
Inglés
*** Pendiente de traducción *** Spring Boot&amp;#39;s Mail auto-configuration does not enable hostname verification. Applications that set the relevant JavaMail property, such as spring.mail.properties.mail.smtp.ssl.checkserveridentity=true, are not affected.<br /> <br /> Affected versions:<br /> Spring Boot 4.0.0 through 4.0.6; 3.5.0 through 3.5.14; 3.4.0 through 3.4.16.
Gravedad CVSS v3.1: MEDIA
Última modificación:
11/06/2026

CVE-2026-40994

Fecha de publicación:
11/06/2026
Idioma:
Inglés
*** Pendiente de traducción *** Wss4jSecurityInterceptor initialized its BSP (WS-I Basic Security Profile) compliance flag so that inbound validation disabled WSS4J BSP enforcement on RequestData. Services that validate WS-Security on the network could therefore accept messages that violate BSP rules, weakening protocol-level checks.<br /> <br /> Affected versions:<br /> Spring Web Services 5.0.0 through 5.0.1; 4.1.0 through 4.1.3; 4.0.0 through 4.0.18; 3.1.0 through 3.1.8.
Gravedad CVSS v3.1: ALTA
Última modificación:
11/06/2026

CVE-2026-40995

Fecha de publicación:
11/06/2026
Idioma:
Inglés
*** Pendiente de traducción *** X509AuthenticationProvider could issue a fully authenticated X509AuthenticationToken when a presented certificate mapped to UserDetails, without applying Spring Security&amp;#39;s standard account lifecycle checks (disabled, locked, expired, or credentials-expired accounts).<br /> <br /> Affected versions:<br /> Spring Web Services 5.0.0 through 5.0.1; 4.1.0 through 4.1.3; 4.0.0 through 4.0.18; 3.1.0 through 3.1.8.
Gravedad CVSS v3.1: MEDIA
Última modificación:
11/06/2026

CVE-2026-40996

Fecha de publicación:
11/06/2026
Idioma:
Inglés
*** Pendiente de traducción *** Wss4jSecurityInterceptor defaulted allowRSA15KeyTransportAlgorithm to true, overriding Apache WSS4J&amp;#39;s safer default for validation RequestData. Inbound WS-Security decryption could therefore accept RSA PKCS#1 v1.5 (rsa-1_5) encrypted key material unless operators explicitly reconfigured the flag.<br /> <br /> Affected versions:<br /> Spring Web Services 5.0.0 through 5.0.1; 4.1.0 through 4.1.3; 4.0.0 through 4.0.18; 3.1.0 through 3.1.8.
Gravedad CVSS v3.1: MEDIA
Última modificación:
11/06/2026