Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

017 - Ir a la línea de ayuda en Ciberseguridad    Ir a Agenda     Ir a Sala de prensa     Ir a suscripción de boletines

Ir al buscador

Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las ultimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las ultimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las ultimas vulnerabilidades incorporadas al repositorio.

CVE-2026-21280
Fecha de publicación:
13/01/2026
Idioma:
Inglés
*** Pendiente de traducción *** Illustrator versions 29.8.3, 30.0 and earlier are affected by an Untrusted Search Path vulnerability that could result in arbitrary code execution in the context of the current user. If the application uses a search path to locate critical resources such as programs, an attacker could modify that search path to point to a malicious program, which the targeted application would then execute. Exploitation of this issue requires user interaction in that a victim must open a malicious file and scope is changed.
Gravedad CVSS v3.1: ALTA
Última modificación:
13/01/2026

CVE-2026-21281
Fecha de publicación:
13/01/2026
Idioma:
Inglés
*** Pendiente de traducción *** InCopy versions 21.0, 19.5.5 and earlier are affected by a Heap-based Buffer Overflow vulnerability that could result in arbitrary code execution in the context of the current user. Exploitation of this issue requires user interaction in that a victim must open a malicious file.
Gravedad CVSS v3.1: ALTA
Última modificación:
13/01/2026

CVE-2026-21267
Fecha de publicación:
13/01/2026
Idioma:
Inglés
*** Pendiente de traducción *** Dreamweaver Desktop versions 21.6 and earlier are affected by an Improper Neutralization of Special Elements used in an OS Command ('OS Command Injection') vulnerability that could lead in arbitrary code execution by an attacker. Exploitation of this issue requires user interaction in that a victim must open a malicious file and scope is changed.
Gravedad CVSS v3.1: ALTA
Última modificación:
13/01/2026

CVE-2026-21268
Fecha de publicación:
13/01/2026
Idioma:
Inglés
*** Pendiente de traducción *** Dreamweaver Desktop versions 21.6 and earlier are affected by an Improper Input Validation vulnerability that could result in arbitrary code execution in the context of the current user. Exploitation of this issue requires user interaction in that a victim must open a malicious file and scope is changed.
Gravedad CVSS v3.1: ALTA
Última modificación:
13/01/2026

CVE-2026-21271
Fecha de publicación:
13/01/2026
Idioma:
Inglés
*** Pendiente de traducción *** Dreamweaver Desktop versions 21.6 and earlier are affected by an Improper Input Validation vulnerability that could result in arbitrary code execution in the context of the current user. Exploitation of this issue requires user interaction in that a victim must open a malicious file and scope is changed.
Gravedad CVSS v3.1: ALTA
Última modificación:
13/01/2026

CVE-2026-21272
Fecha de publicación:
13/01/2026
Idioma:
Inglés
*** Pendiente de traducción *** Dreamweaver Desktop versions 21.6 and earlier are affected by an Improper Input Validation vulnerability that could lead to arbitrary file system write. An attacker could leverage this vulnerability to manipulate or inject malicious data into files on the system. Exploitation of this issue requires user interaction in that a victim must open a malicious file and scope is changed.
Gravedad CVSS v3.1: ALTA
Última modificación:
13/01/2026

CVE-2026-21274
Fecha de publicación:
13/01/2026
Idioma:
Inglés
*** Pendiente de traducción *** Dreamweaver Desktop versions 21.6 and earlier are affected by an Incorrect Authorization vulnerability that could result in arbitrary code execution in the context of the current user. An attacker could leverage this vulnerability to bypass security measures and execute unauthorized code. Exploitation of this issue requires user interaction in that a victim must open a malicious file.
Gravedad CVSS v3.1: ALTA
Última modificación:
13/01/2026

CVE-2026-21226
Fecha de publicación:
13/01/2026
Idioma:
Inglés
*** Pendiente de traducción *** Deserialization of untrusted data in Azure Core shared client library for Python allows an authorized attacker to execute code over a network.
Gravedad CVSS v3.1: ALTA
Última modificación:
13/01/2026

CVE-2025-68949
Fecha de publicación:
13/01/2026
Idioma:
Inglés
*** Pendiente de traducción *** n8n is an open source workflow automation platform. From 1.36.0 to before 2.2.0, the Webhook node’s IP whitelist validation performed partial string matching instead of exact IP comparison. As a result, an incoming request could be accepted if the source IP address merely contained the configured whitelist entry as a substring. This issue affected instances where workflow editors relied on IP-based access controls to restrict webhook access. Both IPv4 and IPv6 addresses were impacted. An attacker with a non-whitelisted IP could bypass restrictions if their IP shared a partial prefix with a trusted address, undermining the intended security boundary. This vulnerability is fixed in 2.2.0.
Gravedad CVSS v3.1: MEDIA
Última modificación:
13/01/2026

CVE-2025-68271
Fecha de publicación:
13/01/2026
Idioma:
Inglés
*** Pendiente de traducción *** OpenC3 COSMOS provides the functionality needed to send commands to and receive data from one or more embedded systems. From 5.0.0 to 6.10.1, OpenC3 COSMOS contains a critical remote code execution vulnerability reachable through the JSON-RPC API. When a JSON-RPC request uses the string form of certain APIs, attacker-controlled parameter text is parsed into values using String#convert_to_value. For array-like inputs, convert_to_value executes eval(). Because the cmd code path parses the command string before calling authorize(), an unauthenticated attacker can trigger Ruby code execution even though the request ultimately fails authorization (401). This vulnerability is fixed in 6.10.2.
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
13/01/2026

CVE-2026-21265
Fecha de publicación:
13/01/2026
Idioma:
Inglés
*** Pendiente de traducción *** Windows Secure Boot stores Microsoft certificates in the UEFI KEK and DB. These original certificates are approaching expiration, and devices containing affected certificate versions must update them to maintain Secure Boot functionality and avoid compromising security by losing security fixes related to Windows boot manager or Secure Boot.<br /> The operating system’s certificate update protection mechanism relies on firmware components that might contain defects, which can cause certificate trust updates to fail or behave unpredictably. This leads to potential disruption of the Secure Boot trust chain and requires careful validation and deployment to restore intended security guarantees.<br /> <br /> <br /> <br /> Certificate Authority (CA)<br /> Location<br /> Purpose<br /> Expiration Date<br /> <br /> <br /> <br /> <br /> Microsoft Corporation KEK CA 2011<br /> KEK<br /> Signs updates to the DB and DBX<br /> 06/24/2026<br /> <br /> <br /> Microsoft Corporation UEFI CA 2011<br /> DB<br /> Signs 3rd party boot loaders, Option ROMs, etc.<br /> 06/27/2026<br /> <br /> <br /> Microsoft Windows Production PCA 2011<br /> DB<br /> Signs the Windows Boot Manager<br /> 10/19/2026<br /> <br /> <br /> <br /> For more information see this CVE and Windows Secure Boot certificate expiration and CA updates.
Gravedad CVSS v3.1: MEDIA
Última modificación:
13/01/2026

CVE-2026-20962
Fecha de publicación:
13/01/2026
Idioma:
Inglés
*** Pendiente de traducción *** Use of uninitialized resource in Dynamic Root of Trust for Measurement (DRTM) allows an authorized attacker to disclose information locally.
Gravedad CVSS v3.1: MEDIA
Última modificación:
13/01/2026
Suscribirse a Vulnerabilidades