Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las ultimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las ultimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las ultimas vulnerabilidades incorporadas al repositorio.

CVE-2026-2459

Fecha de publicación:

24/02/2026

Idioma:

Inglés

*** Pendiente de traducción *** A vulnerability exists in REB500 for an authenticated user with Installer role to access and alter the contents of directories that the role is not authorized to do so.

Gravedad CVSS v4.0: ALTA

Última modificación:

26/02/2026

CVE-2026-2634

Fecha de publicación:

24/02/2026

Idioma:

Inglés

*** Pendiente de traducción *** Malicious scripts could cause desynchronization between the address bar and web content before a response is received in Firefox iOS, allowing attacker-controlled pages to be presented under spoofed domains. This vulnerability affects Firefox for iOS

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

27/02/2026

CVE-2026-23980

Fecha de publicación:

24/02/2026

Idioma:

Inglés

*** Pendiente de traducción *** Improper Neutralization of Special Elements used in a SQL Command (&#39;SQL Injection&#39;) vulnerability in Apache Superset allows an authenticated user with read access to conduct error-based SQL injection via the sqlExpression or where parameters. This issue affects Apache Superset: before 6.0.0. Users are recommended to upgrade to version 6.0.0, which fixes the issue.

Gravedad CVSS v4.0: MEDIA

Última modificación:

25/02/2026

CVE-2026-23982

Fecha de publicación:

24/02/2026

Idioma:

Inglés

*** Pendiente de traducción *** An Improper Authorization vulnerability exists in Apache Superset that allows a low-privileged user to bypass data access controls. When creating a dataset, Superset enforces permission checks to prevent users from querying unauthorized data. However, an authenticated attacker with permissions to write datasets and read charts can bypass these checks by overwriting the SQL query of an existing dataset. This issue affects Apache Superset: before 6.0.0. Users are recommended to upgrade to version 6.0.0, which fixes the issue.

Gravedad CVSS v4.0: ALTA

Última modificación:

25/02/2026

CVE-2026-23969

Fecha de publicación:

24/02/2026

Idioma:

Inglés

*** Pendiente de traducción *** Apache Superset utilizes a configurable dictionary, DISALLOWED_SQL_FUNCTIONS, to restrict the execution of potentially sensitive SQL functions within SQL Lab and charts. While this feature included restrictions for engines like PostgreSQL, a vulnerability was reported where the default list for the ClickHouse engine was incomplete. This issue affects Apache Superset: before 4.1.2. Users are recommended to upgrade to version 4.1.2, which fixes the issue.

Gravedad CVSS v4.0: MEDIA

Última modificación:

26/02/2026

CVE-2026-1773

Fecha de publicación:

24/02/2026

Idioma:

Inglés

*** Pendiente de traducción *** IEC 60870-5-104: Potential Denial of Service impact on reception of invalid U-format frame. Product is only affected if IEC 60870-5-104 bi-directional functionality is configured. Enabling secure communication following IEC 62351-3 does not remediate the vulnerability but mitigates the risk of exploitation.

Gravedad CVSS v4.0: ALTA

Última modificación:

27/02/2026

CVE-2026-1772

Fecha de publicación:

24/02/2026

Idioma:

Inglés

*** Pendiente de traducción *** RTU500 web interface: An unprivileged user can read user management information. The information cannot be accessed via the RTU500 web user interface but requires further tools like browser development utilities to access them without required privileges.

Gravedad CVSS v4.0: MEDIA

Última modificación:

27/02/2026

CVE-2025-14577

Fecha de publicación:

24/02/2026

Idioma:

Inglés

*** Pendiente de traducción *** Slican NCP/IPL/IPM/IPU devices are vulnerable to PHP Function Injection. An unauthenticated remote attacker is able to execute arbitrary PHP commands by sending specially crafted requests to /webcti/session_ajax.php endpoint. This issue was fixed in version 1.24.0190 (Slican NCP) and 6.61.0010 (Slican IPL/IPM/IPU).

Gravedad CVSS v4.0: CRÍTICA

Última modificación:

02/03/2026

CVE-2026-2664

Fecha de publicación:

24/02/2026

Idioma:

Inglés

*** Pendiente de traducción *** An out of bounds read vulnerability in the grpcfuse kernel module present in the Linux VM in Docker Desktop for Windows, Linux and macOS up to version 4.61.0 could allow a local attacker to cause an unspecified impact by writing to /proc/docker entries. The issue has been fixed in Docker Desktop 4.62.0 .

Gravedad CVSS v4.0: MEDIA

Última modificación:

27/02/2026

CVE-2025-27555

Fecha de publicación:

24/02/2026

Idioma:

Inglés

*** Pendiente de traducción *** Airflow versions before 2.11.1 have a vulnerability that allows authenticated users with audit log access to see sensitive values in audit logs which they should not see. When sensitive connection parameters were set via airflow CLI, values of those variables appeared in the audit log and were stored unencrypted in the Airflow database. While this risk is limited to users with audit log access, it is recommended to upgrade to Airflow 2.11.1 or a later version, which addresses this issue. Users who previously used the CLI to set connections should manually delete entries with those connection sensitive values from the log table. This is similar but not the same issue as CVE-2024-50378

Gravedad CVSS v3.1: MEDIA

Última modificación:

24/02/2026

CVE-2024-56373

Fecha de publicación:

24/02/2026

Idioma:

Inglés

*** Pendiente de traducción *** DAG Author (who already has quite a lot of permissions) could manipulate database of Airflow 2 in the way to execute arbitrary code in the web-server context, which they should normally not be able to do, leading to potentially remote code execution in the context of web-server (server-side) as a result of a user viewing historical task information. The functionality responsible for that (log template history) has been disabled by default in 2.11.1 and users should upgrade to Airflow 3 if they want to continue to use log template history. They can also manually modify historical log file names if they want to see historical logs that were generated before the last log template change.

Gravedad CVSS v3.1: ALTA

Última modificación:

24/02/2026

CVE-2025-11165

Fecha de publicación:

24/02/2026

Idioma:

Inglés

*** Pendiente de traducción *** A sandbox escape vulnerability exists in dotCMS’s Velocity scripting engine (VTools) that allows authenticated users with scripting privileges to bypass class and package restrictions enforced by SecureUberspectorImpl. By dynamically modifying the Velocity engine’s runtime configuration and reinitializing its Uberspect, a malicious actor can remove the introspector.restrict.classes and introspector.restrict.packages protections. Once these restrictions are cleared, the attacker can access arbitrary Java classes, including java.lang.Runtime, and execute arbitrary system commands under the privileges of the application process (e.g. dotCMS or Tomcat user).

Gravedad CVSS v4.0: CRÍTICA

Última modificación:

03/03/2026

Suscribirse a Vulnerabilidades