Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

017 - Ir a la línea de ayuda en Ciberseguridad    Ir a Agenda     Ir a Sala de prensa     Ir a suscripción de boletines

Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las últimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las últimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las últimas vulnerabilidades incorporadas al repositorio.

CVE-2026-93764
Fecha de publicación:
18/09/2026
Idioma:
Inglés
*** Pendiente de traducción *** Mongoid may omit encryption rules for fields declared on embedded models when generating the client-side field-level encryption schema. Applications that enable this feature can therefore store values intended to be encrypted in readable form, with no error or warning. A party with routine read access to the database, a backup, or the underlying data files may then see data that was meant to remain unreadable outside the application.
Gravedad CVSS v4.0: ALTA
Última modificación:
24/09/2026

CVE-2026-93763
Fecha de publicación:
18/09/2026
Idioma:
Inglés
*** Pendiente de traducción *** A protection mechanism failure in the object-document mapper's encryption configuration generation can cause fields that an application declared for client-side field-level encryption to be written and kept in cleartext, without any error or warning. A party holding ordinary read access to the database can then read values that were intended to be protected from that party. This may result in unintended disclosure of sensitive information.
Gravedad CVSS v4.0: ALTA
Última modificación:
24/09/2026

CVE-2026-93762
Fecha de publicación:
18/09/2026
Idioma:
Inglés
*** Pendiente de traducción *** Mongoid contains an unsafe reflection weakness in the query path used for embedded documents. An application that passes an externally supplied field name to certain in-memory query methods may allow an unauthenticated party to obtain unintended disclosure of stored document data and to permanently remove stored records.
Gravedad CVSS v4.0: CRÍTICA
Última modificación:
24/09/2026

CVE-2026-93761
Fecha de publicación:
18/09/2026
Idioma:
Inglés
*** Pendiente de traducción *** An inefficient regular expression complexity issue in the in-memory query evaluation component of the Mongoid library may allow an unauthenticated party to cause excessive processing within an embedding application process. Applications that place user-supplied text into a pattern-matching query condition on an embedded association may become unresponsive.
Gravedad CVSS v4.0: ALTA
Última modificación:
24/09/2026

CVE-2026-93760
Fecha de publicación:
18/09/2026
Idioma:
Inglés
*** Pendiente de traducción *** Mongoid does not restrict which query operators may come from caller-supplied filter data when an application hands that data to its query-building methods. In an application that forwards externally supplied filter parameters in this way, a party with no credentials may influence how the database evaluates the query. This may result in unintended disclosure of stored field values and in reduced database performance.
Gravedad CVSS v4.0: ALTA
Última modificación:
24/09/2026

CVE-2026-93759
Fecha de publicación:
18/09/2026
Idioma:
Inglés
*** Pendiente de traducción *** Mongoid does not neutralize a string-typed query criterion supplied to its query builder, and instead passes it to the database as a server-side JavaScript expression. An unauthenticated party able to influence the value an application supplies as a query argument may cause code of their choosing to be evaluated by the database engine. This may result in unintended disclosure of stored field values, unintended selection of documents for application-initiated writes, and reduced database performance.
Gravedad CVSS v4.0: ALTA
Última modificación:
24/09/2026

CVE-2026-93751
Fecha de publicación:
18/09/2026
Idioma:
Inglés
*** Pendiente de traducción *** uri-js through 4.4.1 contains an improper UTF-8 decoding vulnerability in pctDecChars() that decodes invalid and overlong percent-encoded sequences into ASCII metacharacters. Attackers can craft percent-encoded payloads to bypass platform decoder validation and inject path traversal or CRLF sequences that downstream consumers process without filtering.
Gravedad CVSS v4.0: MEDIA
Última modificación:
22/09/2026

CVE-2026-93752
Fecha de publicación:
18/09/2026
Idioma:
Inglés
*** Pendiente de traducción *** CSSOM through 0.5.0 contains a denial of service vulnerability in CSSStyleDeclaration.setProperty() that fails to validate reserved property names. Attackers can supply a stylesheet with a declaration named length to replace the internal counter and trigger excessive memory allocation during cssText serialization, causing process termination.
Gravedad CVSS v4.0: ALTA
Última modificación:
22/09/2026

CVE-2026-93753
Fecha de publicación:
18/09/2026
Idioma:
Inglés
*** Pendiente de traducción *** deepmerge through 4.3.1 contains a prototype poisoning vulnerability in the mergeObject() function that fails to properly validate keys being written to target objects. Attackers can supply malicious source objects in merge operations to inject attacker-controlled properties into the returned object's prototype, causing applications to inherit unintended values when accessing properties without own-property checks.
Gravedad CVSS v4.0: ALTA
Última modificación:
23/09/2026

CVE-2026-93749
Fecha de publicación:
18/09/2026
Idioma:
Inglés
*** Pendiente de traducción *** source-map-js through 1.2.1 fails to validate the per-section offset line value in indexed source maps, allowing attackers to specify arbitrary numeric values. Attackers can supply extremely large offset line values that cause synchronous event loop blocking for extended periods, preventing the service from handling other requests.
Gravedad CVSS v4.0: ALTA
Última modificación:
22/09/2026

CVE-2026-93748
Fecha de publicación:
18/09/2026
Idioma:
Inglés
*** Pendiente de traducción *** http-cache-semantics through 4.2.0 fails to properly validate security-zeroed cache entries when processing client max-stale directives, allowing unauthenticated attackers to retrieve cached responses belonging to other users. Attackers can request the same URL with a large max-stale value to obtain another user's Set-Cookie session credentials from shared-cache entries that were deliberately zeroed for security reasons.
Gravedad CVSS v4.0: ALTA
Última modificación:
23/09/2026

CVE-2026-93750
Fecha de publicación:
18/09/2026
Idioma:
Inglés
*** Pendiente de traducción *** http-cache-semantics through 4.2.0 contains a cache validation vulnerability in the _varyMatches() function that fails to properly validate Vary header wildcards due to byte-for-byte string comparison. Attackers can request URLs previously fetched by other clients to receive cached responses intended for different users, disclosing sensitive information across clients.
Gravedad CVSS v4.0: ALTA
Última modificación:
23/09/2026
Suscribirse a Vulnerabilidades