Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las ultimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las ultimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las ultimas vulnerabilidades incorporadas al repositorio.

CVE-2026-34005

Fecha de publicación:

29/03/2026

Idioma:

Inglés

*** Pendiente de traducción *** In Sofia on Xiongmai DVR/NVR (AHB7008T-MH-V2 and NBD7024H-P) 4.03.R11 devices, root OS command injection can occur via shell metacharacters in the HostName value via an authenticated DVRIP protocol (TCP port 34567) request to the NetWork.NetCommon configuration handler, because system() is used.

Gravedad CVSS v3.1: ALTA

Última modificación:

30/03/2026

CVE-2026-5046

Fecha de publicación:

29/03/2026

Idioma:

Inglés

*** Pendiente de traducción *** A flaw has been found in Tenda FH1201 1.2.0.14(408). Affected is the function formWrlExtraSet of the file /goform/WrlExtraSet of the component Parameter Handler. Executing a manipulation of the argument GO can lead to stack-based buffer overflow. The attack may be performed from remote. The exploit has been published and may be used.

Gravedad CVSS v4.0: ALTA

Última modificación:

30/03/2026

CVE-2026-5045

Fecha de publicación:

29/03/2026

Idioma:

Inglés

*** Pendiente de traducción *** A vulnerability was detected in Tenda FH1201 1.2.0.14(408). This impacts the function WrlclientSet of the file /goform/WrlclientSet of the component Parameter Handler. Performing a manipulation of the argument GO results in stack-based buffer overflow. The attack is possible to be carried out remotely. The exploit is now public and may be used.

Gravedad CVSS v4.0: ALTA

Última modificación:

30/03/2026

CVE-2026-33574

Fecha de publicación:

29/03/2026

Idioma:

Inglés

*** Pendiente de traducción *** OpenClaw before 2026.3.8 contains a path traversal vulnerability in the skills download installer that validates the tools root lexically but reuses the mutable path during archive download and copy operations. A local attacker can rebind the tools-root path between validation and final write to redirect the installer outside the intended tools directory.

Gravedad CVSS v4.0: MEDIA

Última modificación:

30/03/2026

CVE-2026-33575

Fecha de publicación:

29/03/2026

Idioma:

Inglés

*** Pendiente de traducción *** OpenClaw before 2026.3.12 embeds long-lived shared gateway credentials directly in pairing setup codes generated by /pair endpoint and OpenClaw qr command. Attackers with access to leaked setup codes from chat history, logs, or screenshots can recover and reuse the shared gateway credential outside the intended one-time pairing flow.

Gravedad CVSS v4.0: ALTA

Última modificación:

30/03/2026

CVE-2026-5044

Fecha de publicación:

29/03/2026

Idioma:

Inglés

*** Pendiente de traducción *** A security vulnerability has been detected in Belkin F9K1122 1.00.33. This affects the function formSetSystemSettings of the file /goform/formSetSystemSettings of the component Setting Handler. Such manipulation of the argument webpage leads to stack-based buffer overflow. The attack can be executed remotely. The exploit has been disclosed publicly and may be used. The vendor was contacted early about this disclosure but did not respond in any way.

Gravedad CVSS v4.0: ALTA

Última modificación:

30/03/2026

CVE-2026-32980

Fecha de publicación:

29/03/2026

Idioma:

Inglés

*** Pendiente de traducción *** OpenClaw before 2026.3.13 reads and buffers Telegram webhook request bodies before validating the x-telegram-bot-api-secret-token header, allowing unauthenticated attackers to exhaust server resources. Attackers can send POST requests to the webhook endpoint to force memory consumption, socket time, and JSON parsing work before authentication validation occurs.

Gravedad CVSS v4.0: ALTA

Última modificación:

30/03/2026

CVE-2026-32987

Fecha de publicación:

29/03/2026

Idioma:

Inglés

*** Pendiente de traducción *** OpenClaw before 2026.3.13 allows bootstrap setup codes to be replayed during device pairing verification in src/infra/device-bootstrap.ts. Attackers can verify a valid bootstrap code multiple times before approval to escalate pending pairing scopes, including privilege escalation to operator.admin.

Gravedad CVSS v4.0: CRÍTICA

Última modificación:

30/03/2026

CVE-2026-33572

Fecha de publicación:

29/03/2026

Idioma:

Inglés

*** Pendiente de traducción *** OpenClaw before 2026.2.17 creates session transcript JSONL files with overly broad default permissions, allowing local users to read transcript contents. Attackers with local access can read transcript files to extract sensitive information including secrets from tool output.

Gravedad CVSS v4.0: MEDIA

Última modificación:

30/03/2026

CVE-2026-33573

Fecha de publicación:

29/03/2026

Idioma:

Inglés

*** Pendiente de traducción *** OpenClaw before 2026.3.11 contains an authorization bypass vulnerability in the gateway agent RPC that allows authenticated operators with operator.write permission to override workspace boundaries by supplying attacker-controlled spawnedBy and workspaceDir values. Remote operators can escape the configured workspace boundary and execute arbitrary file and exec operations from any process-accessible directory.

Gravedad CVSS v4.0: ALTA

Última modificación:

30/03/2026

CVE-2026-32979

Fecha de publicación:

29/03/2026

Idioma:

Inglés

*** Pendiente de traducción *** OpenClaw before 2026.3.11 contains an approval integrity vulnerability allowing attackers to execute rewritten local code by modifying scripts between approval and execution when exact file binding cannot occur. Remote attackers can change approved local scripts before execution to achieve unintended code execution as the OpenClaw runtime user.

Gravedad CVSS v4.0: ALTA

Última modificación:

30/03/2026

CVE-2026-32972

Fecha de publicación:

29/03/2026

Idioma:

Inglés

*** Pendiente de traducción *** OpenClaw before 2026.3.11 contains an authorization bypass vulnerability allowing authenticated operators with only operator.write permission to access admin-only browser profile management routes through browser.request. Attackers can create or modify browser profiles and persist attacker-controlled remote CDP endpoints to disk without holding operator.admin privileges.

Gravedad CVSS v4.0: ALTA

Última modificación:

30/03/2026

Suscribirse a Vulnerabilidades