Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las ultimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las ultimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las ultimas vulnerabilidades incorporadas al repositorio.

Vulnerabilidad en traccar (CVE-2026-25648)

Fecha de publicación:

23/02/2026

Idioma:

Español

Versiones del sistema de seguimiento GPS de código abierto Traccar a partir de la 6.11.1 contienen un problema en el que usuarios autenticados pueden ejecutar JavaScript arbitrario en el contexto de los navegadores de otros usuarios al subir archivos SVG maliciosos como imágenes de dispositivo. La aplicación acepta subidas de archivos SVG sin sanitización y los sirve con el Content-Type &#39;image/svg+xml&#39;, permitiendo que el JavaScript incrustado se ejecute cuando las víctimas ven la imagen. En el momento de la publicación, no está claro si hay una solución disponible.

Gravedad CVSS v3.1: ALTA

Última modificación:

26/02/2026

Vulnerabilidad en TOTOLINK X5000R (CVE-2025-70327)

Fecha de publicación:

23/02/2026

Idioma:

Español

TOTOLINK X5000R v9.1.0cu_2415_B20250515 contiene una vulnerabilidad de inyección de argumentos en el gestor setDiagnosisCfg del ejecutable /usr/sbin/lighttpd. El parámetro ip se recupera a través de websGetVar y se pasa a un comando ping a través de CsteSystem sin validar si la entrada comienza con un guion (-). Esto permite a atacantes remotos autenticados inyectar opciones arbitrarias de línea de comandos en la utilidad ping, lo que podría llevar a una Denegación de Servicio (DoS) al causar un consumo excesivo de recursos o una ejecución prolongada.

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

26/02/2026

Vulnerabilidad en TOTOLINK X6000R (CVE-2025-70328)

Fecha de publicación:

23/02/2026

Idioma:

Español

TOTOLINK X6000R v9.4.0cu.1498_B20250826 contiene una vulnerabilidad de inyección de comandos del sistema operativo en el gestor NTPSyncWithHost del ejecutable /usr/sbin/shttpd. El parámetro host_time se recupera a través de sub_40C404 y se pasa a un comando de shell date -s a través de CsteSystem. Aunque los dos primeros tokens de la entrada son validados, el resto de la cadena no se sanea, permitiendo a atacantes autenticados ejecutar comandos de shell arbitrarios a través de metacaracteres de shell.

Gravedad CVSS v3.1: ALTA

Última modificación:

26/02/2026

Vulnerabilidad en Traccar open-source GPS (CVE-2026-23521)

Fecha de publicación:

23/02/2026

Idioma:

Español

Las versiones del sistema de seguimiento GPS de código abierto Traccar hasta la 6.11.1 inclusive contienen un problema en el que los usuarios autenticados que pueden crear o editar dispositivos pueden establecer el &#39;uniqueId&#39; de un dispositivo a una ruta absoluta. Al cargar una imagen de dispositivo, Traccar utiliza ese &#39;uniqueId&#39; para construir la ruta del sistema de archivos sin asegurar que la ruta resuelta permanezca bajo la raíz de medios. Esto permite escribir archivos fuera del directorio de medios. Al momento de la publicación, no está claro si hay una solución disponible.

Gravedad CVSS v3.1: MEDIA

Última modificación:

26/02/2026

Vulnerabilidad en GCOM EPON 1GE ONU (CVE-2025-71056)

Fecha de publicación:

23/02/2026

Idioma:

Español

La gestión de sesión inadecuada en GCOM EPON 1GE ONU versión C00R371V00B01 permite a los atacantes ejecutar un ataque de secuestro de sesión mediante la suplantación de la dirección IP de un usuario autenticado.

Gravedad CVSS v3.1: ALTA

Última modificación:

27/02/2026

Vulnerabilidad en Traccar open-source GPS (CVE-2025-68930)

Fecha de publicación:

23/02/2026

Idioma:

Español

Las versiones del sistema de seguimiento GPS de código abierto Traccar hasta la 6.11.1 inclusive contienen una vulnerabilidad de Secuestro de WebSocket entre Sitios (CSWSH) en el endpoint `/api/socket`. La aplicación no valida el encabezado &#39;Origin&#39; durante el handshake de WebSocket. Esto permite a un atacante remoto eludir la Política del Mismo Origen (SOP) y establecer una conexión WebSocket full-duplex utilizando las credenciales de un usuario legítimo (JSESSIONID). En el momento de la publicación, no está claro si hay una solución disponible.

Gravedad CVSS v3.1: ALTA

Última modificación:

26/02/2026

Vulnerabilidad en Valkey (CVE-2026-27623)

Fecha de publicación:

23/02/2026

Idioma:

Español

Valkey es una base de datos distribuida de clave-valor. A partir de la versión 9.0.0 y antes de la versión 9.0.3, un actor malintencionado con acceso de red a Valkey puede provocar que el sistema aborte al activar una aserción. Al procesar las solicitudes entrantes, el sistema Valkey no restablece correctamente el estado de la red después de procesar una solicitud vacía. Un actor malintencionado puede entonces enviar una solicitud que el servidor identifica incorrectamente como una ruptura de las invariantes del lado del servidor, lo que resulta en el apagado del servidor. La versión 9.0.3 corrige el problema. Como una mitigación adicional, aísle adecuadamente las implementaciones de Valkey para que solo los usuarios de confianza tengan acceso.

Gravedad CVSS v3.1: ALTA

Última modificación:

25/02/2026

Vulnerabilidad en TOTOLink X5000R (CVE-2025-70329)

Fecha de publicación:

23/02/2026

Idioma:

Español

TOTOLink X5000R v9.1.0cu_2415_B20250515 contiene una vulnerabilidad de inyección de comandos del sistema operativo en el gestor setIptvCfg del ejecutable /usr/sbin/lighttpd. Los parámetros vlanVidLan1 (y otros vlanVidLanX) se recuperan a través de Uci_Get_Str y se pasan a la función CsteSystem sin validación o filtrado adecuados. Esto permite a un atacante autenticado ejecutar comandos de shell arbitrarios con privilegios de root inyectando metacaracteres de shell en los parámetros afectados.

Gravedad CVSS v3.1: ALTA

Última modificación:

24/02/2026

Vulnerabilidad en Valkey (CVE-2025-67733)

Fecha de publicación:

23/02/2026

Idioma:

Español

Valkey es una base de datos distribuida de clave-valor. Antes de las versiones 9.0.2, 8.1.6, 8.0.7 y 7.2.12, un usuario malicioso puede usar comandos de scripting para inyectar información arbitraria en el flujo de respuesta para el cliente dado, potencialmente corrompiendo o devolviendo datos manipulados a otros usuarios en la misma conexión. El código de manejo de errores para scripts de lua no maneja correctamente los caracteres nulos. Las versiones 9.0.2, 8.1.6, 8.0.7 y 7.2.12 solucionan el problema.

Gravedad CVSS v3.1: ALTA

Última modificación:

25/02/2026

Vulnerabilidad en Valkey (CVE-2026-21863)

Fecha de publicación:

23/02/2026

Idioma:

Español

Valkey es una base de datos distribuida de clave-valor. Antes de las versiones 9.0.2, 8.1.6, 8.0.7 y 7.2.12, un actor malicioso con acceso al puerto clusterbus de Valkey puede enviar un paquete inválido que puede causar una lectura fuera de límites, lo que podría resultar en la caída del sistema. El código de procesamiento de paquetes clusterbus de Valkey no valida que un paquete de extensión ping de clusterbus esté ubicado dentro del búfer del paquete clusterbus antes de intentar leerlo. Las versiones 9.0.2, 8.1.6, 8.0.7 y 7.2.12 solucionan el problema. Como una mitigación adicional, no exponga la conexión del bus de clúster directamente a los usuarios finales y proteja la conexión con sus propias ACL de red.

Gravedad CVSS v3.1: ALTA

Última modificación:

25/02/2026

Vulnerabilidad en Tencent PC (CVE-2025-63946)

Fecha de publicación:

23/02/2026

Idioma:

Español

Una vulnerabilidad de escalada de privilegios (PE) en la aplicación Tencent PC Manager hasta la versión 17.10.28554.205 en dispositivos Windows permite a un usuario local ejecutar programas con privilegios elevados. Sin embargo, la ejecución requiere que el usuario local sea capaz de explotar con éxito una condición de carrera.

Gravedad CVSS v3.1: ALTA

Última modificación:

26/02/2026

Vulnerabilidad en strukturag libde265 commit d9fea9d (CVE-2025-61147)

Fecha de publicación:

23/02/2026

Idioma:

Español

Se descubrió que strukturag libde265 commit d9fea9d contenía un fallo de segmentación a través del componente decoder_context::compute_framedrop_table().

Gravedad CVSS v3.1: MEDIA

Última modificación:

24/02/2026

Suscribirse a Vulnerabilidades