Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las ultimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las ultimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las ultimas vulnerabilidades incorporadas al repositorio.

Vulnerabilidad en Cisco (CVE-2026-20091)

Fecha de publicación:
25/02/2026
Idioma:
Español
Una vulnerabilidad en la interfaz de gestión basada en web de Cisco FXOS Software y Cisco UCS Manager Software podría permitir a un atacante remoto autenticado realizar un ataque de cross-site scripting (XSS) almacenado contra un usuario de la interfaz.<br /> <br /> Esta vulnerabilidad se debe a una validación insuficiente de la entrada proporcionada por el usuario por parte de la interfaz de gestión basada en web de un sistema afectado. Un atacante podría explotar esta vulnerabilidad inyectando datos maliciosos en páginas específicas de la interfaz. Un exploit exitoso podría permitir al atacante ejecutar código de script arbitrario en el contexto de la interfaz afectada o acceder a información sensible basada en el navegador. Para explotar esta vulnerabilidad, el atacante debe tener credenciales válidas para una cuenta de usuario con el rol de Administrador o Administrador AAA.
Gravedad CVSS v3.1: MEDIA
Última modificación:
27/02/2026

Vulnerabilidad en Cisco Unified Computing System (Managed) (CVE-2026-20037)

Fecha de publicación:
25/02/2026
Idioma:
Español
Una vulnerabilidad en los niveles de privilegio de la CLI de NX-OS del software Cisco UCS Manager podría permitir a un atacante local y autenticado con privilegios de solo lectura modificar archivos y realizar acciones no autorizadas en un sistema afectado.<br /> <br /> Esta vulnerabilidad existe porque se otorgan privilegios innecesarios al usuario. Un atacante podría explotar esta vulnerabilidad autenticándose en un dispositivo como un usuario de solo lectura y conectándose a la CLI de NX-OS. Un exploit exitoso podría permitir al atacante crear o sobrescribir archivos en el sistema de archivos o realizar acciones privilegiadas limitadas en un dispositivo afectado.
Gravedad CVSS v3.1: MEDIA
Última modificación:
27/02/2026

Vulnerabilidad en Cisco NX-OS System Software in ACI Mode (CVE-2026-20048)

Fecha de publicación:
25/02/2026
Idioma:
Español
Una vulnerabilidad en el subsistema del Protocolo Simple de Gestión de Red (SNMP) de los switches de tejido Cisco Nexus serie 9000 en modo ACI podría permitir a un atacante remoto autenticado causar una condición de denegación de servicio (DoS) en un dispositivo afectado.<br /> <br /> Esta vulnerabilidad se debe a un procesamiento incorrecto al analizar solicitudes SNMP. Un atacante podría explotar esta vulnerabilidad enviando continuamente consultas SNMP a una MIB específica de un dispositivo afectado. Un exploit exitoso podría permitir al atacante causar un pánico del kernel en el dispositivo, lo que resultaría en una recarga y una condición de DoS.<br /> Nota: Esta vulnerabilidad afecta las versiones 1, 2c y 3 de SNMP. Para explotar esta vulnerabilidad a través de SNMPv1 o SNMPv2c, el atacante debe tener una cadena de comunidad SNMP de solo lectura válida para el sistema afectado. Para explotar esta vulnerabilidad a través de SNMPv3, el atacante debe tener credenciales de usuario SNMP válidas para el sistema afectado.
Gravedad CVSS v3.1: ALTA
Última modificación:
27/02/2026

Vulnerabilidad en Cisco NX-OS (CVE-2026-20010)

Fecha de publicación:
25/02/2026
Idioma:
Español
Una vulnerabilidad en la función del Protocolo de Descubrimiento de Capa de Enlace (LLDP) del software Cisco NX-OS podría permitir a un atacante adyacente no autenticado provocar el reinicio del proceso LLDP, lo que podría causar que un dispositivo afectado se recargue inesperadamente.<br /> <br /> Esta vulnerabilidad se debe al manejo inadecuado de campos específicos en una trama LLDP. Un atacante podría explotar esta vulnerabilidad enviando un paquete LLDP manipulado a una interfaz de un dispositivo afectado. Un exploit exitoso podría permitir al atacante provocar la recarga del dispositivo, lo que resultaría en una condición de denegación de servicio (DoS).<br /> Nota: LLDP es un protocolo de enlace de Capa 2. Para explotar esta vulnerabilidad, un atacante necesitaría estar directamente conectado a una interfaz de un dispositivo afectado, ya sea física o lógicamente (por ejemplo, a través de un túnel de Capa 2 configurado para transportar el protocolo LLDP).
Gravedad CVSS v3.1: ALTA
Última modificación:
27/02/2026

Vulnerabilidad en Cisco Nexus serie 9000 (CVE-2026-20033)

Fecha de publicación:
25/02/2026
Idioma:
Español
Una vulnerabilidad en los switches de tejido Cisco Nexus serie 9000 en modo ACI podría permitir a un atacante adyacente no autenticado causar una condición de denegación de servicio (DoS) en un dispositivo afectado.<br /> <br /> Esta vulnerabilidad se debe a una validación insuficiente al procesar tramas Ethernet específicas. Un atacante podría explotar esta vulnerabilidad al enviar una trama Ethernet manipulada a la interfaz de gestión de un dispositivo afectado. Un exploit exitoso podría permitir al atacante hacer que el dispositivo se recargue inesperadamente, lo que resultaría en una condición de DoS.<br /> Nota: Solo la interfaz de gestión fuera de banda (OOB) se ve afectada.
Gravedad CVSS v3.1: ALTA
Última modificación:
27/02/2026

Vulnerabilidad en Cisco UCS Manager Software (CVE-2026-20036)

Fecha de publicación:
25/02/2026
Idioma:
Español
Una vulnerabilidad en la interfaz de gestión basada en web y CLI de Cisco UCS Manager Software podría permitir a un atacante remoto autenticado con privilegios administrativos válidos ejecutar comandos arbitrarios en el sistema operativo subyacente de un dispositivo afectado.<br /> <br /> Esta vulnerabilidad se debe a una validación de entrada insuficiente de los argumentos de comando que son proporcionados por el usuario. Un atacante podría explotar esta vulnerabilidad autenticándose en un dispositivo y enviando una entrada manipulada al comando afectado. Un exploit exitoso podría permitir al atacante ejecutar comandos arbitrarios en el sistema operativo subyacente de un dispositivo afectado con privilegios de nivel de root.
Gravedad CVSS v3.1: MEDIA
Última modificación:
27/02/2026

Vulnerabilidad en feiyuchuixue sz-boot-parent (CVE-2026-3188)

Fecha de publicación:
25/02/2026
Idioma:
Español
Una falla de seguridad ha sido descubierta en feiyuchuixue sz-boot-parent hasta 1.3.2-beta. Esto afecta una parte desconocida del archivo /api/admin/common/download/templates del componente API. Realizar una manipulación del argumento templateName resulta en salto de ruta. La explotación remota del ataque es posible. El exploit ha sido publicado y puede ser utilizado para ataques. Actualizar a la versión 1.3.3-beta puede mitigar este problema. El parche se llama aefaabfd7527188bfba3c8c9eee17c316d094802. Se recomienda actualizar el componente afectado. El proyecto fue informado de antemano y actuó de manera muy profesional: &amp;#39;Hemos implementado verificaciones de validez de ruta en los parámetros para la interfaz de descarga de plantillas (...)&amp;#39;
Gravedad CVSS v4.0: MEDIA
Última modificación:
27/02/2026

Vulnerabilidad en KrakenD (CVE-2026-3206)

Fecha de publicación:
25/02/2026
Idioma:
Español
Vulnerabilidad de cierre o liberación inadecuada de recursos en KrakenD, SLU KrakenD-CE (módulos CircuitBreaker), KrakenD, SLU KrakenD-EE (módulos CircuitBreaker). Este problema afecta a KrakenD-CE: versiones anteriores a 2.13.1; KrakenD-EE: versiones anteriores a 2.12.5.
Gravedad CVSS v4.0: BAJA
Última modificación:
27/02/2026

Vulnerabilidad en TLS-SRP (CVE-2026-27848)

Fecha de publicación:
25/02/2026
Idioma:
Español
Debido a la falta de neutralización de elementos especiales, se pueden inyectar comandos del SO a través del handshake de una conexión TLS-SRP, los cuales se ejecutan finalmente como el usuario root.<br /> Este problema afecta a MR9600: 1.0.4.205530; MX4200: 1.0.13.210200.
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
27/02/2026

Vulnerabilidad en MR9600 (CVE-2026-27846)

Fecha de publicación:
25/02/2026
Idioma:
Español
Debido a la falta de autenticación, un usuario con acceso físico al dispositivo puede hacer un uso indebido de la funcionalidad de malla para añadir un nuevo dispositivo de malla a la red para obtener acceso a información sensible, incluyendo la contraseña para el acceso de administrador a la interfaz web y las contraseñas de Wi-Fi. Este problema afecta a MR9600: 1.0.4.205530; MX4200: 1.0.13.210200.
Gravedad CVSS v3.1: MEDIA
Última modificación:
27/02/2026

Vulnerabilidad en TLS-SRP (CVE-2026-27847)

Fecha de publicación:
25/02/2026
Idioma:
Español
Debido a la neutralización inadecuada de elementos especiales, se pueden inyectar sentencias SQL a través del handshake de una conexión TLS-SRP. Esto puede ser utilizado para inyectar credenciales conocidas en la base de datos que pueden ser utilizadas para completar exitosamente el handshake y usar el servicio protegido.<br /> Este problema afecta a MR9600: 1.0.4.205530; MX4200: 1.0.13.210200.
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
27/02/2026

Vulnerabilidad en esm.sh (CVE-2026-27730)

Fecha de publicación:
25/02/2026
Idioma:
Español
esm.sh es una red de entrega de contenido (CDN) sin compilación para desarrollo web. Las versiones hasta la 137 inclusive tienen una vulnerabilidad SSRF (CWE-918) en la ruta de obtención &amp;#39;/http(s)&amp;#39; de esm.sh. El servicio intenta bloquear objetivos localhost/internos, pero la validación se basa en comprobaciones de cadenas de nombres de host y puede ser eludida usando dominios alias de DNS. Esto permite que un solicitante externo haga que el servidor de esm.sh obtenga servicios internos de localhost. Hasta el momento de la publicación, no existen versiones parcheadas conocidas.
Gravedad CVSS v3.1: ALTA
Última modificación:
27/02/2026