Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las ultimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las ultimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las ultimas vulnerabilidades incorporadas al repositorio.

CVE-2026-25050

Fecha de publicación:

30/01/2026

Idioma:

Inglés

*** Pendiente de traducción *** Vendure is an open-source headless commerce platform. Prior to version 3.5.3, the `NativeAuthenticationStrategy.authenticate()` method is vulnerable to a timing attack that allows attackers to enumerate valid usernames (email addresses). In `packages/core/src/config/auth/native-authentication-strategy.ts`, the authenticate method returns immediately if a user is not found. The significant timing difference (~200-400ms for bcrypt vs ~1-5ms for DB miss) allows attackers to reliably distinguish between existing and non-existing accounts. Version 3.5.3 fixes the issue.

Gravedad CVSS v4.0: BAJA

Última modificación:

30/01/2026

CVE-2026-1686

Fecha de publicación:

30/01/2026

Idioma:

Inglés

*** Pendiente de traducción *** A security flaw has been discovered in Totolink A3600R 5.9c.4959. This issue affects the function setAppEasyWizardConfig in the library /lib/cste_modules/app.so. Performing a manipulation of the argument apcliSsid results in buffer overflow. It is possible to initiate the attack remotely. The exploit has been released to the public and may be used for attacks.

Gravedad CVSS v4.0: ALTA

Última modificación:

30/01/2026

CVE-2026-1687

Fecha de publicación:

30/01/2026

Idioma:

Inglés

*** Pendiente de traducción *** A weakness has been identified in Tenda HG10 US_HG7_HG9_HG10re_300001138_en_xpon. Impacted is an unknown function of the file /boaform/formSamba of the component Boa Webserver. Executing a manipulation of the argument serverString can lead to command injection. It is possible to launch the attack remotely. The exploit has been made available to the public and could be used for attacks.

Gravedad CVSS v4.0: MEDIA

Última modificación:

30/01/2026

CVE-2025-4686

Fecha de publicación:

30/01/2026

Idioma:

Inglés

*** Pendiente de traducción *** Improper Neutralization of Special Elements used in an SQL Command (&#39;SQL Injection&#39;) vulnerability in Kodmatic Computer Software Tourism Construction Industry and Trade Ltd. Co. Online Exam and Assessment allows SQL Injection.This issue affects Online Exam and Assessment: through 30012026. NOTE: The vendor was contacted early about this disclosure but did not respond in any way.

Gravedad CVSS v3.1: ALTA

Última modificación:

30/01/2026

CVE-2025-7964

Fecha de publicación:

30/01/2026

Idioma:

Inglés

*** Pendiente de traducción *** After receiving a malformed 802.15.4 MAC Data Request the Zigbee Coordinator sends a ‘network leave’ request to Zigbee router resulting in the Zigbee Router getting stuck in a non-rejoinable state. If a suitable parent is not available, the end devices will be unable to rejoin. A manual recommissioning is required to recover the Zigbee Router.

Gravedad CVSS v4.0: CRÍTICA

Última modificación:

30/01/2026

CVE-2026-1684

Fecha de publicación:

30/01/2026

Idioma:

Inglés

*** Pendiente de traducción *** A vulnerability was found in Free5GC SMF up to 4.1.0. Affected by this issue is the function HandleReports of the file /internal/context/pfcp_reports.go of the component PFCP UDP Endpoint. The manipulation results in denial of service. The attack can be executed remotely. It is advisable to implement a patch to correct this issue.

Gravedad CVSS v4.0: MEDIA

Última modificación:

30/01/2026

CVE-2026-1685

Fecha de publicación:

30/01/2026

Idioma:

Inglés

*** Pendiente de traducción *** A vulnerability was identified in D-Link DIR-823X 250416. This vulnerability affects the function sub_40AC74 of the component Login. Such manipulation leads to improper restriction of excessive authentication attempts. The attack may be performed from remote. This attack is characterized by high complexity. It is stated that the exploitability is difficult. The exploit is publicly available and might be used.

Gravedad CVSS v4.0: MEDIA

Última modificación:

30/01/2026

CVE-2024-4027

Fecha de publicación:

30/01/2026

Idioma:

Inglés

*** Pendiente de traducción *** A flaw was found in Undertow. Servlets using a method that calls HttpServletRequestImpl.getParameterNames() can cause an OutOfMemoryError when the client sends a request with large parameter names. This issue can be exploited by an unauthorized user to cause a remote denial-of-service (DoS) attack.

Gravedad CVSS v3.1: ALTA

Última modificación:

30/01/2026

CVE-2026-1682

Fecha de publicación:

30/01/2026

Idioma:

Inglés

*** Pendiente de traducción *** A flaw has been found in Free5GC SMF up to 4.1.0. Affected is the function HandlePfcpAssociationReleaseRequest of the file internal/pfcp/handler/handler.go of the component PFCP UDP Endpoint. Executing a manipulation can lead to null pointer dereference. The attack may be launched remotely. The exploit has been published and may be used. A patch should be applied to remediate this issue.

Gravedad CVSS v4.0: MEDIA

Última modificación:

30/01/2026

CVE-2026-1683

Fecha de publicación:

30/01/2026

Idioma:

Inglés

*** Pendiente de traducción *** A vulnerability has been found in Free5GC SMF up to 4.1.0. Affected by this vulnerability is the function HandlePfcpSessionReportRequest of the file internal/pfcp/handler/handler.go of the component PFCP. The manipulation leads to denial of service. Remote exploitation of the attack is possible. The exploit has been disclosed to the public and may be used. To fix this issue, it is recommended to deploy a patch.

Gravedad CVSS v4.0: MEDIA

Última modificación:

30/01/2026

CVE-2025-6723

Fecha de publicación:

30/01/2026

Idioma:

Inglés

*** Pendiente de traducción *** Chef InSpec up to version 5.23 creates named pipes with overly permissive default Windows access controls. A local attacker may interfere with the pipe connection process and exploit the insufficient access restrictions to assume the InSpec execution context, potentially resulting in elevated privileges or operational disruption. This issue affects Chef Inspec: through 5.23.

Gravedad CVSS v4.0: MEDIA

Última modificación:

30/01/2026

CVE-2025-9226

Fecha de publicación:

30/01/2026

Idioma:

Inglés

*** Pendiente de traducción *** Zohocorp ManageEngine OpManager, NetFlow Analyzer, and OpUtils versions prior to 128582 are affected by a stored cross-site scripting vulnerability in the Subnet Details.

Gravedad CVSS v3.1: MEDIA

Última modificación:

30/01/2026

Suscribirse a Vulnerabilidades