Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

017 - Ir a la línea de ayuda en Ciberseguridad    Ir a Agenda     Ir a Sala de prensa     Ir a suscripción de boletines

Ir al buscador

Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las ultimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las ultimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las ultimas vulnerabilidades incorporadas al repositorio.

CVE-2026-2618
Fecha de publicación:
17/02/2026
Idioma:
Inglés
*** Pendiente de traducción *** A vulnerability was determined in Beetel 777VR1 up to 01.00.09. This impacts an unknown function of the component SSH Service. This manipulation causes risky cryptographic algorithm. The attack is possible to be carried out remotely. The attack is considered to have high complexity. The exploitability is said to be difficult. The exploit has been publicly disclosed and may be utilized. The vendor was contacted early about this disclosure but did not respond in any way.
Gravedad CVSS v4.0: MEDIA
Última modificación:
17/02/2026

CVE-2026-23647
Fecha de publicación:
17/02/2026
Idioma:
Inglés
*** Pendiente de traducción *** Glory RBG-100 recycler systems using the ISPK-08 software component contain hard-coded operating system credentials that allow remote authentication to the underlying Linux system. Multiple local user accounts, including accounts with administrative privileges, were found to have fixed, embedded passwords. An attacker with network access to exposed services such as SSH may authenticate using these credentials and gain unauthorized access to the system. Successful exploitation allows remote access with elevated privileges and may result in full system compromise.
Gravedad CVSS v4.0: CRÍTICA
Última modificación:
17/02/2026

CVE-2026-23648
Fecha de publicación:
17/02/2026
Idioma:
Inglés
*** Pendiente de traducción *** Glory RBG-100 recycler systems using the ISPK-08 software component contain multiple system binaries with overly permissive file permissions. Several binaries executed by the root user are writable and executable by unprivileged local users. An attacker with local access can replace or modify these binaries to execute arbitrary commands with root privileges, enabling local privilege escalation.
Gravedad CVSS v4.0: ALTA
Última modificación:
17/02/2026

CVE-2025-67905
Fecha de publicación:
17/02/2026
Idioma:
Inglés
*** Pendiente de traducción *** Malwarebytes AdwCleaner before v.8.7.0 runs as Administrator and performs an insecure log file delete operation in which the target location is user-controllable, allowing a non-admin user to escalate privileges to SYSTEM via a symbolic link, a related issue to CVE-2023-28892. To exploit this, an attacker must create a file in a given folder path and intercept the application log file deletion flow.
Gravedad: Pendiente de análisis
Última modificación:
17/02/2026

CVE-2026-2617
Fecha de publicación:
17/02/2026
Idioma:
Inglés
*** Pendiente de traducción *** A vulnerability was found in Beetel 777VR1 up to 01.00.09. This affects an unknown function of the component Telnet Service/SSH Service. The manipulation results in insecure default initialization of resource. The attack can only be performed from the local network. The exploit has been made public and could be used. The vendor was contacted early about this disclosure but did not respond in any way.
Gravedad CVSS v4.0: MEDIA
Última modificación:
17/02/2026

CVE-2025-70830
Fecha de publicación:
17/02/2026
Idioma:
Inglés
*** Pendiente de traducción *** A Server-Side Template Injection (SSTI) vulnerability in the Freemarker template engine of Datart v1.0.0-rc.3 allows authenticated attackers to execute arbitrary code via injecting crafted Freemarker template syntax into the SQL script field.
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
17/02/2026

CVE-2025-70397
Fecha de publicación:
17/02/2026
Idioma:
Inglés
*** Pendiente de traducción *** jizhicms 2.5.6 is vulnerable to SQL Injection in Article/deleteAll and Extmolds/deleteAll via the data parameter.
Gravedad CVSS v3.1: ALTA
Última modificación:
17/02/2026

CVE-2025-70828
Fecha de publicación:
17/02/2026
Idioma:
Inglés
*** Pendiente de traducción *** An issue in Datart v1.0.0-rc.3 allows attackers to execute arbitrary code via the url parameter in the JDBC configuration
Gravedad CVSS v3.1: ALTA
Última modificación:
17/02/2026

CVE-2025-65753
Fecha de publicación:
17/02/2026
Idioma:
Inglés
*** Pendiente de traducción *** An issue in the TLS certification mechanism of Guardian Gryphon v01.06.0006.22 allows attackers to execute commands as root.
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
17/02/2026

CVE-2026-2616
Fecha de publicación:
17/02/2026
Idioma:
Inglés
*** Pendiente de traducción *** A vulnerability has been found in Beetel 777VR1 up to 01.00.09. The impacted element is an unknown function of the component Web Management Interface. The manipulation leads to hard-coded credentials. The attack needs to be initiated within the local network. The exploit has been disclosed to the public and may be used. It is advisable to modify the configuration settings. The vendor was contacted early about this disclosure but did not respond in any way.
Gravedad CVSS v4.0: ALTA
Última modificación:
17/02/2026

CVE-2026-22208
Fecha de publicación:
17/02/2026
Idioma:
Inglés
*** Pendiente de traducción *** OpenS100 (the reference implementation S-100 viewer) prior to commit 753cf29 contain a remote code execution vulnerability via an unrestricted Lua interpreter. The Portrayal Engine initializes Lua using luaL_openlibs() without sandboxing or capability restrictions, exposing standard libraries such as 'os' and 'io' to untrusted portrayal catalogues. An attacker can provide a malicious S-100 portrayal catalogue containing Lua scripts that execute arbitrary commands with the privileges of the OpenS100 process when a user imports the catalogue and loads a chart.
Gravedad CVSS v4.0: CRÍTICA
Última modificación:
17/02/2026

CVE-2025-70829
Fecha de publicación:
17/02/2026
Idioma:
Inglés
*** Pendiente de traducción *** An information exposure vulnerability in Datart v1.0.0-rc.3 allows authenticated attackers to access sensitive data via a custom H2 JDBC connection string.
Gravedad CVSS v3.1: MEDIA
Última modificación:
17/02/2026
Suscribirse a Vulnerabilidades