Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

017 - Ir a la línea de ayuda en Ciberseguridad    Ir a Agenda     Ir a Sala de prensa     Ir a suscripción de boletines

Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las últimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las últimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las últimas vulnerabilidades incorporadas al repositorio.

CVE-2026-81627
Fecha de publicación:
18/09/2026
Idioma:
Inglés
*** Pendiente de traducción *** A flaw was found in QEMU. The VAPIC setup hypercall in hw/i386/vapic.c does not validate that the writable RAM alias remains within the option ROM window. A privileged guest user on a Q35/KVM machine can position this alias over locked SMRAM, bypassing chipset D_LCK protection and injecting code into System Management Mode memory.
Gravedad CVSS v3.1: ALTA
Última modificación:
21/09/2026

CVE-2026-87743
Fecha de publicación:
18/09/2026
Idioma:
Inglés
*** Pendiente de traducción *** A flaw was found in Quarkus HTTP security. An unauthenticated attacker can exploit a discrepancy in how paths are normalized between the security matcher and HTTP request dispatchers. This allows the attacker to craft a URL that the security matcher considers public, but which is then routed to a protected endpoint, leading to an authorization bypass and potential unauthorized access to sensitive information.
Gravedad CVSS v3.1: ALTA
Última modificación:
09/10/2026

CVE-2026-93494
Fecha de publicación:
18/09/2026
Idioma:
Inglés
*** Pendiente de traducción *** A flaw was found in Netty's StompSubframeDecoder component. A remote attacker can exploit this vulnerability by sending a specially crafted STOMP frame body without its terminating null byte. This causes the decoder to allocate a ByteBuf (a buffer for bytes) that is never released, leading to a permanent memory leak. Over time, this uncontrolled memory consumption can result in a Denial of Service (DoS) for the application using the affected STOMP codec.
Gravedad CVSS v3.1: ALTA
Última modificación:
25/09/2026

CVE-2026-75157
Fecha de publicación:
18/09/2026
Idioma:
Inglés
*** Pendiente de traducción *** Apache Airflow's asset queued-events DELETE endpoints checked the caller's Dag-axis permission with `READ` instead of `EDIT`. Any authenticated user who could read a Dag could therefore delete that Dag's queued asset events, silently suppressing asset-triggered scheduling for it — a state-changing action gated on a read-only permission. Deployments are affected whenever asset-triggered scheduling is in use and Dag read access is granted more widely than Dag edit access, which is the normal RBAC arrangement; no special configuration is required. Upgrade to apache-airflow 3.3.2 or later.
Gravedad CVSS v3.1: ALTA
Última modificación:
22/09/2026

CVE-2026-89058
Fecha de publicación:
18/09/2026
Idioma:
Inglés
*** Pendiente de traducción *** A flaw was found in RESTEasy's CorsFilter, which, when configured to allow all origins ("*"), reflects the request's Origin header back in the Access-Control-Allow-Origin response together with Access-Control-Allow-Credentials: true. This permissive cross-origin policy allows a malicious website to make credentialed cross-origin requests and read authenticated responses from a victim's session, resulting in a loss of confidentiality.
Gravedad CVSS v3.1: ALTA
Última modificación:
13/10/2026

CVE-2026-89059
Fecha de publicación:
18/09/2026
Idioma:
Inglés
*** Pendiente de traducción *** A flaw was found in RESTEasy's IIOImageProvider, which decodes attacker-supplied image request bodies without enforcing any limit on the declared image dimensions or pixel count. A remote, unauthenticated attacker can send a small crafted image declaring enormous dimensions to trigger a very large memory allocation, exhausting the JVM heap and resulting in a denial of service.
Gravedad CVSS v3.1: ALTA
Última modificación:
13/10/2026

CVE-2026-67103
Fecha de publicación:
18/09/2026
Idioma:
Inglés
*** Pendiente de traducción *** HCL BigFix Service Management is affected by Cross-Site Scripting (XSS) vulnerability, which could allow an attacker to inject unsanitized malicious scripts that execute in a victim's browser, enabling session hijacking, account takeover, and unauthorized actions on behalf of affected users.
Gravedad CVSS v3.1: ALTA
Última modificación:
08/10/2026

CVE-2026-67102
Fecha de publicación:
18/09/2026
Idioma:
Inglés
*** Pendiente de traducción *** HCL BigFix Service Management is affected by a high-severity Broken Access Control vulnerability, which could allow a low-privileged user to gain unauthorized access to administrative screens and functions reserved for higher-privileged roles.
Gravedad CVSS v3.1: ALTA
Última modificación:
08/10/2026

CVE-2026-67101
Fecha de publicación:
18/09/2026
Idioma:
Inglés
*** Pendiente de traducción *** HCL BigFix Service Management is affected by a Server-Side Request Forgery (SSRF) vulnerability in its search functionality, which could allow an attacker to force the application server to send requests to internal systems that are not accessible from the internet.
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
08/10/2026

CVE-2026-67100
Fecha de publicación:
18/09/2026
Idioma:
Inglés
*** Pendiente de traducción *** HCL BigFix Service Management is affected by SQL Injection flaw and a Cross-Tenant Data Exposure flaw vulnerabilities. which could allow an authenticated attacker to inject database commands to extract sensitive system details, as well as manipulate request values to gain unauthorized access to full personal profile data and PII across different organizations.
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
08/10/2026

Vulnerabilidad en QTS de QNAP Systems Inc. (CVE-2024-38639)
Fecha de publicación:
18/09/2026
Idioma:
Español
Se ha reportado una vulnerabilidad de autenticación impropia que afecta al producto. Los atacantes remotos pueden entonces explotar la vulnerabilidad para comprometer la seguridad del sistema.<br /> QTS no está afectado.<br /> <br /> Ya hemos corregido la vulnerabilidad en la siguiente versión:
Gravedad CVSS v3.1: MEDIA
Última modificación:
28/09/2026

Vulnerabilidad en QcalAgent (CVE-2024-27123)
Fecha de publicación:
18/09/2026
Idioma:
Español
Una vulnerabilidad de cross-site scripting (XSS) ha sido reportada que afecta a QcalAgent. Los atacantes locales pueden entonces explotar la vulnerabilidad para eludir mecanismos de seguridad o leer datos de la aplicación.<br /> <br /> Hemos corregido la vulnerabilidad en la siguiente versión:<br /> QcalAgent 1.1.9 y posteriores
Gravedad CVSS v4.0: MEDIA
Última modificación:
28/09/2026
Suscribirse a Vulnerabilidades