Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las ultimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las ultimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las ultimas vulnerabilidades incorporadas al repositorio.

CVE-2026-5333

Fecha de publicación:

02/04/2026

Idioma:

Inglés

*** Pendiente de traducción *** A security flaw has been discovered in DefaultFuction Content-Management-System 1.0. This issue affects some unknown processing of the file /admin/tools.php. The manipulation of the argument host results in command injection. The attack can be executed remotely. The exploit has been released to the public and may be used for attacks.

Gravedad CVSS v4.0: MEDIA

Última modificación:

02/04/2026

CVE-2026-3692

Fecha de publicación:

02/04/2026

Idioma:

Inglés

*** Pendiente de traducción *** In Progress Flowmon versions prior to 12.5.8, a vulnerability exists whereby an authenticated low-privileged user may craft a request during the report generation process that results in unintended commands being executed on the server.

Gravedad CVSS v4.0: ALTA

Última modificación:

02/04/2026

CVE-2026-35168

Fecha de publicación:

02/04/2026

Idioma:

Inglés

*** Pendiente de traducción *** OpenSTAManager is an open source management software for technical assistance and invoicing. Prior to version 2.10.2, the Aggiornamenti (Updates) module in OpenSTAManager contains a database conflict resolution feature (op=risolvi-conflitti-database) that accepts a JSON array of SQL statements via POST and executes them directly against the database without any validation, allowlist, or sanitization. An authenticated attacker with access to the Aggiornamenti module can execute arbitrary SQL statements including CREATE, DROP, ALTER, INSERT, UPDATE, DELETE, SELECT INTO OUTFILE, and any other SQL command supported by the MySQL server. Foreign key checks are explicitly disabled before execution (SET FOREIGN_KEY_CHECKS=0), further reducing database integrity protections. This issue has been patched in version 2.10.2.

Gravedad CVSS v3.1: ALTA

Última modificación:

02/04/2026

CVE-2026-2737

Fecha de publicación:

02/04/2026

Idioma:

Inglés

*** Pendiente de traducción *** A vulnerability exists in Progress Flowmon versions prior to 12.5.8 and 13.0.6, whereby an administrator who clicks a malicious link provided by an attacker may inadvertently trigger unintended actions within their authenticated web session.

Gravedad CVSS v4.0: ALTA

Última modificación:

02/04/2026

CVE-2026-30867

Fecha de publicación:

02/04/2026

Idioma:

Inglés

*** Pendiente de traducción *** CocoaMQTT is a MQTT 5.0 client library for iOS and macOS written in Swift. Prior to version 2.2.2, a vulnerability exists in the packet parsing logic of CocoaMQTT that allows an attacker (or a compromised/malicious MQTT broker) to remotely crash the host iOS/macOS/tvOS application. If an attacker publishes the 4-byte malformed payload to a shared topic with the RETAIN flag set to true, the MQTT broker will persist the payload. Any time a vulnerable client connects and subscribes to that topic, the broker will automatically push the malformed packet. The app will instantly crash in the background before the user can even interact with it. This effectively "bricks" the mobile application (a persistent DoS) until the retained message is manually wiped from the broker database. This issue has been patched in version 2.2.2.

Gravedad CVSS v3.1: MEDIA

Última modificación:

02/04/2026

CVE-2026-31931

Fecha de publicación:

02/04/2026

Idioma:

Inglés

*** Pendiente de traducción *** Suricata is a network IDS, IPS and NSM engine. From version 8.0.0 to before version 8.0.4, use of the "tls.alpn" rule keyword can cause Suricata to crash with a NULL dereference. This issue has been patched in version 8.0.4.

Gravedad CVSS v3.1: ALTA

Última modificación:

02/04/2026

CVE-2026-31932

Fecha de publicación:

02/04/2026

Idioma:

Inglés

*** Pendiente de traducción *** Suricata is a network IDS, IPS and NSM engine. Prior to versions 7.0.15 and 8.0.4, inefficiency in KRB5 buffering can lead to performance degradation. This issue has been patched in versions 7.0.15 and 8.0.4.

Gravedad CVSS v3.1: ALTA

Última modificación:

02/04/2026

CVE-2026-31933

Fecha de publicación:

02/04/2026

Idioma:

Inglés

*** Pendiente de traducción *** Suricata is a network IDS, IPS and NSM engine. Prior to versions 7.0.15 and 8.0.4, specially crafted traffic can cause Suricata to slow down, affecting performance in IDS mode. This issue has been patched in versions 7.0.15 and 8.0.4.

Gravedad CVSS v3.1: ALTA

Última modificación:

02/04/2026

CVE-2026-29782

Fecha de publicación:

02/04/2026

Idioma:

Inglés

*** Pendiente de traducción *** OpenSTAManager is an open source management software for technical assistance and invoicing. Prior to version 2.10.2, the oauth2.php file in OpenSTAManager is an unauthenticated endpoint ($skip_permissions = true). It loads a record from the zz_oauth2 table using the attacker-controlled GET parameter state, and during the OAuth2 configuration flow calls unserialize() on the access_token field without any class restriction. This issue has been patched in version 2.10.2.

Gravedad CVSS v3.1: ALTA

Última modificación:

02/04/2026

CVE-2026-2699

Fecha de publicación:

02/04/2026

Idioma:

Inglés

*** Pendiente de traducción *** Customer Managed ShareFile Storage Zones Controller (SZC) allows an unauthenticated attacker to access restricted configuration pages. This leads to changing system configuration and potential remote code execution.

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

02/04/2026

CVE-2026-2701

Fecha de publicación:

02/04/2026

Idioma:

Inglés

*** Pendiente de traducción *** Authenticated user can upload a malicious file to the server and execute it, which leads to remote code execution.

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

02/04/2026

CVE-2026-26928

Fecha de publicación:

02/04/2026

Idioma:

Inglés

*** Pendiente de traducción *** SzafirHost downloads necessary files in the context of the initiating web page. When called, SzafirHost updates its dynamic library. JAR files are correctly verified based on a list of trusted file hashes, and if a file was not on that list, it was checked to see if it had been digitally signed by the vendor. The application doesn&#39;t verify hash or vendor&#39;s digital signature of uploaded DLL, SO, JNILIB or DYLIB file. The attacker can provide malicious file which will be saved in users /temp folder and executed by the application.<br /> <br /> This issue was fixed in version 1.1.0.

Gravedad CVSS v4.0: ALTA

Última modificación:

02/04/2026

Suscribirse a Vulnerabilidades