Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las ultimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las ultimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las ultimas vulnerabilidades incorporadas al repositorio.

CVE-2026-24139

Fecha de publicación:

24/01/2026

Idioma:

Inglés

*** Pendiente de traducción *** MyTube is a self-hosted downloader and player for several video websites. Versions 1.7.78 and below do not safeguard against authorization bypass, allowing guest users to download the complete application database. The application fails to properly validate user permissions on the database export endpoint, enabling low-privileged users to access sensitive data they should not have permission to view.

Gravedad CVSS v4.0: ALTA

Última modificación:

24/01/2026

CVE-2026-24140

Fecha de publicación:

24/01/2026

Idioma:

Inglés

*** Pendiente de traducción *** MyTube is a self-hosted downloader and player for several video websites. Versions 1.7.78 and below have a Mass Assignment vulnerability in the settings management functionality due to insufficient input validation. The application&#39;s saveSettings() function accepts arbitrary key-value pairs without validating property names against allowed settings. The function uses Record as input type and iterates over all entries using Object.entries() without filtering unauthorized properties. Any field sent by the attacker is directly persisted to the database, regardless of whether it corresponds to a legitimate application setting. This issue has been fixed in version 1.7.78.

Gravedad CVSS v3.1: BAJA

Última modificación:

24/01/2026

CVE-2026-24474

Fecha de publicación:

24/01/2026

Idioma:

Inglés

*** Pendiente de traducción *** Dioxus Components is a shadcn-style component library for the Dioxus app framework. Prior to commit 41e4242ecb1062d04ae42a5215363c1d9fd4e23a, `use_animated_open` formats a string for `eval` with an `id` that can be user supplied. Commit 41e4242ecb1062d04ae42a5215363c1d9fd4e23a patches the issue.

Gravedad CVSS v4.0: MEDIA

Última modificación:

24/01/2026

CVE-2026-0991

Fecha de publicación:

23/01/2026

Idioma:

Inglés

*** Pendiente de traducción *** Rejected reason: This CVE ID has been rejected or withdrawn by its CVE Numbering Authority.

Gravedad: Pendiente de análisis

Última modificación:

23/01/2026

CVE-2026-24127

Fecha de publicación:

23/01/2026

Idioma:

Inglés

*** Pendiente de traducción *** Typemill is a flat-file, Markdown-based CMS designed for informational documentation websites. A reflected Cross-Site Scripting (XSS) exists in the login error view template `login.twig` of versions 2.19.1 and below. The `username` value can be echoed back without proper contextual encoding when authentication fails. An attacker can execute script in the login page context. This issue has been fixed in version 2.19.2.

Gravedad CVSS v3.1: MEDIA

Última modificación:

23/01/2026

CVE-2025-12780

Fecha de publicación:

23/01/2026

Idioma:

Inglés

*** Pendiente de traducción *** Rejected reason: This CVE ID has been rejected or withdrawn by its CVE Numbering Authority.

Gravedad: Pendiente de análisis

Última modificación:

23/01/2026

CVE-2025-70457

Fecha de publicación:

23/01/2026

Idioma:

Inglés

*** Pendiente de traducción *** A Remote Code Execution (RCE) vulnerability exists in Sourcecodester Modern Image Gallery App v1.0 within the gallery/upload.php component. The application fails to properly validate uploaded file contents. Additionally, the application preserves the user-supplied file extension during the save process. This allows an unauthenticated attacker to upload arbitrary PHP code by spoofing the MIME type as an image, leading to full system compromise.

Gravedad: Pendiente de análisis

Última modificación:

23/01/2026

CVE-2025-70458

Fecha de publicación:

23/01/2026

Idioma:

Inglés

*** Pendiente de traducción *** A DOM-based Cross-Site Scripting (XSS) vulnerability exists in the DomainCheckerApp class within domain/script.js of Sourcecodester Domain Availability Checker v1.0. The vulnerability occurs because the application improperly handles user-supplied data in the createResultElement method by using the unsafe innerHTML property to render domain search results.

Gravedad: Pendiente de análisis

Última modificación:

23/01/2026

CVE-2026-1386

Fecha de publicación:

23/01/2026

Idioma:

Inglés

*** Pendiente de traducción *** A UNIX symbolic link following issue in the jailer component in Firecracker version v1.13.1 and earlier and 1.14.0 on Linux may allow a local host user with write access to the pre-created jailer directories to overwrite arbitrary host files via a symlink attack during the initialization copy at jailer startup, if the jailer is executed with root privileges. <br /> <br /> To mitigate this issue, users should upgrade to version v1.13.2 or 1.14.1 or above.

Gravedad CVSS v4.0: MEDIA

Última modificación:

23/01/2026

CVE-2025-52023

Fecha de publicación:

23/01/2026

Idioma:

Inglés

*** Pendiente de traducción *** A vulnerability in the PHP backend of gemscms.aptsys.com.sg thru 2025-05-28 allows unauthenticated remote attackers to trigger detailed error messages that disclose internal file paths, code snippets, and stack traces. This occurs when specially crafted HTTP GET/POST requests are sent to public API endpoints, exposing potentially sensitive information useful for further exploitation. This issue is classified under CWE-209: Information Exposure Through an Error Message.

Gravedad: Pendiente de análisis

Última modificación:

23/01/2026

CVE-2025-52024

Fecha de publicación:

23/01/2026

Idioma:

Inglés

*** Pendiente de traducción *** A vulnerability exists in the Aptsys POS Platform Web Services module thru 2025-05-28, which exposes internal API testing tools to unauthenticated users. By accessing specific URLs, an attacker is presented with a directory-style index listing all available backend services and POS web services, each with an HTML form for submitting test input. These panels are intended for developer use, but are accessible in production environments with no authentication or session validation. This grants any external actor the ability to discover, test, and execute API endpoints that perform critical functions including but not limited to user transaction retrieval, credit adjustments, POS actions, and internal data queries.

Gravedad: Pendiente de análisis

Última modificación:

23/01/2026

CVE-2025-52025

Fecha de publicación:

23/01/2026

Idioma:

Inglés

*** Pendiente de traducción *** An SQL Injection vulnerability exists in the GetServiceByRestaurantID endpoint of the Aptsys gemscms POS Platform backend thru 2025-05-28. The vulnerability arises because user input is directly inserted into a dynamic SQL query syntax without proper sanitization or parameterization. This allows an attacker to inject and execute arbitrary SQL code by submitting crafted input in the id parameter, leading to unauthorized data access or modification.

Gravedad: Pendiente de análisis

Última modificación:

23/01/2026

Suscribirse a Vulnerabilidades