Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las ultimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las ultimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las ultimas vulnerabilidades incorporadas al repositorio.

CVE-2026-27523

Fecha de publicación:
18/03/2026
Idioma:
Español
Versiones de OpenClaw anteriores a 2026.2.24 contienen una vulnerabilidad de validación de enlace (bind) de sandbox que permite a los atacantes eludir las comprobaciones de raíces permitidas (allowed-root) y rutas bloqueadas (blocked-path) a través de directorios padre con enlaces simbólicos (symlinked parent directories) con rutas hoja (leaf paths) inexistentes. Los atacantes pueden crear rutas de origen de enlace (bind source paths) que parecen estar dentro de raíces permitidas pero se resuelven fuera de los límites del sandbox una vez que se crean los componentes hoja (leaf components) que faltan, debilitando la aplicación del aislamiento de origen de enlace (bind-source isolation enforcement).
Gravedad CVSS v4.0: MEDIA
Última modificación:
18/03/2026

CVE-2026-27522

Fecha de publicación:
18/03/2026
Idioma:
Español
Las versiones de OpenClaw anteriores a 2026.2.24 contienen una vulnerabilidad de omisión de la raíz de medios local en las acciones de mensaje sendAttachment y setGroupIcon cuando sandboxRoot no está configurado. Los atacantes pueden hidratar medios desde rutas absolutas locales para leer archivos de host arbitrarios accesibles por el usuario en tiempo de ejecución.
Gravedad CVSS v4.0: ALTA
Última modificación:
18/03/2026

CVE-2026-22217

Fecha de publicación:
18/03/2026
Idioma:
Español
Las versiones de OpenClaw 2026.2.22 y anteriores a la 2026.2.23 contienen una vulnerabilidad de ejecución de código arbitrario en shell-env que permite a los atacantes ejecutar binarios controlados por el atacante explotando la lógica de respaldo de prefijo de confianza para la variable $SHELL. Un atacante puede influir en la variable de entorno $SHELL en sistemas con directorios de prefijo de confianza escribibles como /opt/homebrew/bin para ejecutar binarios arbitrarios en el contexto del proceso de OpenClaw.
Gravedad CVSS v4.0: MEDIA
Última modificación:
18/03/2026

CVE-2026-22178

Fecha de publicación:
18/03/2026
Idioma:
Español
Las versiones de OpenClaw anteriores a la 2026.2.19 construyen objetos RegExp directamente a partir de metadatos de menciones de Feishu sin escapar en la función stripBotMention, lo que permite la inyección de expresiones regulares y la denegación de servicio. Los atacantes pueden crear patrones de cuantificadores anidados o metacaracteres en los metadatos de las menciones para desencadenar un retroceso catastrófico, bloquear el procesamiento de mensajes o eliminar contenido no deseado antes del procesamiento del modelo.
Gravedad CVSS v4.0: MEDIA
Última modificación:
18/03/2026

CVE-2026-22179

Fecha de publicación:
18/03/2026
Idioma:
Español
Versiones de OpenClaw anteriores a la 2026.2.22 en el system.run del host de nodo de macOS contienen una vulnerabilidad de omisión de lista de permitidos que permite a atacantes remotos ejecutar comandos no incluidos en la lista de permitidos explotando un análisis incorrecto de tokens de sustitución de comandos. Los atacantes pueden crear cargas útiles de shell con sintaxis de sustitución de comandos dentro de texto entre comillas dobles para omitir restricciones de seguridad y ejecutar comandos arbitrarios en el sistema.
Gravedad CVSS v4.0: ALTA
Última modificación:
18/03/2026

CVE-2026-22180

Fecha de publicación:
18/03/2026
Idioma:
Español
Versiones de OpenClaw anteriores a la 2026.3.2 contienen una vulnerabilidad de omisión de confinamiento de ruta en el manejo de la salida del navegador que permite escrituras fuera de los directorios raíz previstos. Los atacantes pueden explotar la validación insuficiente de los límites de ruta canónica en las operaciones de escritura de archivos para evadir las restricciones ligadas a la raíz y escribir archivos en ubicaciones arbitrarias.
Gravedad CVSS v4.0: MEDIA
Última modificación:
18/03/2026

CVE-2026-22181

Fecha de publicación:
18/03/2026
Idioma:
Español
Las versiones de OpenClaw anteriores a 2026.3.2 contienen una vulnerabilidad de omisión de fijación de DNS en rutas de obtención de URL estrictas que permite a los atacantes eludir las protecciones de SSRF cuando las variables de entorno de proxy están configuradas. Cuando las variables de entorno HTTP_PROXY, HTTPS_PROXY o ALL_PROXY están presentes, las URL influenciadas por el atacante pueden ser enrutadas a través del comportamiento del proxy en lugar del enrutamiento de destino fijado, lo que permite el acceso a objetivos internos accesibles desde el entorno del proxy.
Gravedad CVSS v4.0: MEDIA
Última modificación:
18/03/2026

CVE-2026-22170

Fecha de publicación:
18/03/2026
Idioma:
Español
Las versiones de OpenClaw anteriores a 2026.2.22 con el plugin opcional BlueBubbles contienen una vulnerabilidad de omisión de control de acceso donde una configuración 'allowFrom' vacía hace que las restricciones de emparejamiento de dmPolicy y de la lista de permitidos (allowlist) sean ineficaces. Los atacantes remotos pueden enviar mensajes directos a cuentas de BlueBubbles explotando la lógica de validación de la lista de permitidos (allowlist) mal configurada para omitir las comprobaciones de autorización del remitente previstas.
Gravedad CVSS v4.0: MEDIA
Última modificación:
18/03/2026

CVE-2026-22171

Fecha de publicación:
18/03/2026
Idioma:
Español
Las versiones de OpenClaw anteriores a 2026.2.19 contienen una vulnerabilidad de salto de ruta en el flujo de descarga de medios de Feishu donde las claves de medios no confiables se interpolan directamente en las rutas de archivos temporales en extensions/feishu/src/media.ts. Un atacante que puede controlar los valores de las claves de medios de Feishu devueltos al cliente puede usar segmentos de salto para escapar de os.tmpdir() y escribir archivos arbitrarios dentro de los permisos del proceso de OpenClaw.
Gravedad CVSS v4.0: ALTA
Última modificación:
18/03/2026

CVE-2026-22174

Fecha de publicación:
18/03/2026
Idioma:
Español
Las versiones de OpenClaw anteriores a 2026.2.22 inyectan el encabezado x-OpenClaw-relay-token en el tráfico de sondeo de Chrome CDP en interfaces de bucle invertido, lo que permite a los procesos locales capturar el token de autenticación de Gateway. Un atacante que controla un puerto de bucle invertido puede interceptar sondeos de accesibilidad CDP al endpoint /json/version y reutilizar el token filtrado como autenticación de portador de Gateway.
Gravedad CVSS v4.0: MEDIA
Última modificación:
18/03/2026

CVE-2026-22175

Fecha de publicación:
18/03/2026
Idioma:
Español
Versiones de OpenClaw anteriores a 2026.2.23 contienen una vulnerabilidad de omisión de aprobación de ejecución en modo de lista de permitidos donde las concesiones de 'permitir siempre' podrían ser eludidas a través de envoltorios de shell de multiplexor no reconocidos como los comandos 'sh -c' de busybox y toybox. Los atacantes pueden explotar esto invocando cargas útiles arbitrarias bajo el mismo envoltorio de multiplexor para satisfacer las reglas de lista de permitidos almacenadas, omitiendo las restricciones de ejecución previstas.
Gravedad CVSS v4.0: ALTA
Última modificación:
18/03/2026

CVE-2026-22177

Fecha de publicación:
18/03/2026
Idioma:
Español
Las versiones de OpenClaw anteriores a 2026.2.21 no filtran las variables de entorno peligrosas de control de procesos de las variables de entorno de configuración, lo que permite la ejecución de código en tiempo de inicio. Los atacantes pueden inyectar variables como NODE_OPTIONS o LD_* a través de la configuración para ejecutar código arbitrario en el contexto de tiempo de ejecución del servicio de pasarela OpenClaw.
Gravedad CVSS v4.0: MEDIA
Última modificación:
18/03/2026