Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

017 - Ir a la línea de ayuda en Ciberseguridad    Ir a Agenda     Ir a Sala de prensa     Ir a suscripción de boletines

Ir al buscador

Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las ultimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las ultimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las ultimas vulnerabilidades incorporadas al repositorio.

CVE-2026-28451
Fecha de publicación:
05/03/2026
Idioma:
Inglés
*** Pendiente de traducción *** OpenClaw versions prior to 2026.2.14 contain server-side request forgery vulnerabilities in the Feishu extension that allow attackers to fetch attacker-controlled remote URLs without SSRF protections via sendMediaFeishu function and markdown image processing. Attackers can influence tool calls through direct manipulation or prompt injection to trigger requests to internal services and re-upload responses as Feishu media.
Gravedad CVSS v4.0: MEDIA
Última modificación:
06/03/2026

CVE-2026-28454
Fecha de publicación:
05/03/2026
Idioma:
Inglés
*** Pendiente de traducción *** OpenClaw versions prior to 2026.2.2 fail to validate webhook secrets in Telegram webhook mode (must be enabled), allowing unauthenticated HTTP POST requests to the webhook endpoint that trust attacker-controlled JSON payloads. Remote attackers can forge Telegram updates by spoofing message.from.id and chat.id fields to bypass sender allowlists and execute privileged bot commands.
Gravedad CVSS v4.0: ALTA
Última modificación:
06/03/2026

CVE-2026-28395
Fecha de publicación:
05/03/2026
Idioma:
Inglés
*** Pendiente de traducción *** OpenClaw version 2026.1.14-1 prior to 2026.2.12 contain an improper network binding vulnerability in the Chrome extension (must be installed and enabled) relay server that treats wildcard hosts as loopback addresses, allowing the relay HTTP/WS server to bind to all interfaces when a wildcard cdpUrl is configured. Remote attackers can access relay HTTP endpoints off-host to leak service presence and port information, or conduct denial-of-service and brute-force attacks against the relay token header.
Gravedad CVSS v4.0: MEDIA
Última modificación:
06/03/2026

CVE-2026-28446
Fecha de publicación:
05/03/2026
Idioma:
Inglés
*** Pendiente de traducción *** OpenClaw versions prior to 2026.2.1 with the voice-call extension installed and enabled contain an authentication bypass vulnerability in inbound allowlist policy validation that accepts empty caller IDs and uses suffix-based matching instead of strict equality. Remote attackers can bypass inbound access controls by placing calls with missing caller IDs or numbers ending with allowlisted digits to reach the voice-call agent and execute tools.
Gravedad CVSS v4.0: CRÍTICA
Última modificación:
06/03/2026

CVE-2026-28447
Fecha de publicación:
05/03/2026
Idioma:
Inglés
*** Pendiente de traducción *** OpenClaw versions 2026.1.29-beta.1 prior to 2026.2.1 contain a path traversal vulnerability in plugin installation that allows malicious plugin package names to escape the extensions directory. Attackers can craft scoped package names containing path traversal sequences like .. to write files outside the intended installation directory when victims run the plugins install command.
Gravedad CVSS v4.0: ALTA
Última modificación:
06/03/2026

CVE-2026-28448
Fecha de publicación:
05/03/2026
Idioma:
Inglés
*** Pendiente de traducción *** OpenClaw versions 2026.1.29 prior to 2026.2.1 contain a vulnerability in the Twitch plugin (must be installed and enabled) in which it fails to enforce the allowFrom allowlist when allowedRoles is unset or empty, allowing unauthorized Twitch users to trigger agent dispatch. Remote attackers can mention the bot in Twitch chat to bypass access control and invoke the agent pipeline, potentially causing unintended actions or resource exhaustion.
Gravedad CVSS v4.0: MEDIA
Última modificación:
06/03/2026

CVE-2026-28394
Fecha de publicación:
05/03/2026
Idioma:
Inglés
*** Pendiente de traducción *** OpenClaw versions prior to 2026.2.15 contain a denial of service vulnerability in the web_fetch tool that allows attackers to crash the Gateway process through memory exhaustion by parsing oversized or deeply nested HTML responses. Remote attackers can social-engineer users into fetching malicious URLs with pathological HTML structures to exhaust server memory and cause service unavailability.
Gravedad CVSS v4.0: MEDIA
Última modificación:
05/03/2026

CVE-2026-28391
Fecha de publicación:
05/03/2026
Idioma:
Inglés
*** Pendiente de traducción *** OpenClaw versions prior to 2026.2.2 fail to properly validate Windows cmd.exe metacharacters in allowlist-gated exec requests (non-default configuration), allowing attackers to bypass command approval restrictions. Remote attackers can craft command strings with shell metacharacters like & or %...% to execute unapproved commands beyond the allowlisted operations.
Gravedad CVSS v4.0: CRÍTICA
Última modificación:
06/03/2026

CVE-2026-28392
Fecha de publicación:
05/03/2026
Idioma:
Inglés
*** Pendiente de traducción *** OpenClaw versions prior to 2026.2.14 contain a privilege escalation vulnerability in the Slack slash-command handler that incorrectly authorizes any direct message sender when dmPolicy is set to open (must be configured). Attackers can execute privileged slash commands via direct message to bypass allowlist and access-group restrictions.
Gravedad CVSS v4.0: ALTA
Última modificación:
06/03/2026

CVE-2026-28393
Fecha de publicación:
05/03/2026
Idioma:
Inglés
*** Pendiente de traducción *** OpenClaw versions 2.0.0-beta3 prior to 2026.2.14 contain a path traversal vulnerability in hook transform module loading that allows arbitrary JavaScript execution. The hooks.mappings[].transform.module parameter accepts absolute paths and traversal sequences, enabling attackers with configuration write access to load and execute malicious modules with gateway process privileges.
Gravedad CVSS v4.0: ALTA
Última modificación:
06/03/2026

CVE-2026-21622
Fecha de publicación:
05/03/2026
Idioma:
Inglés
*** Pendiente de traducción *** Insufficient Session Expiration vulnerability in hexpm hexpm/hexpm (&amp;#39;Elixir.Hexpm.Accounts.PasswordReset&amp;#39; module) allows Account Takeover.<br /> <br /> Password reset tokens generated via the "Reset your password" flow do not expire. When a user requests a password reset, Hex sends an email containing a reset link with a token. This token remains valid indefinitely until used. There is no time-based expiration enforced.<br /> <br /> If a user&amp;#39;s historical emails are exposed through a data breach (e.g., a leaked mailbox archive), any unused password reset email contained in that dataset could be used by an attacker to reset the victim&amp;#39;s password. The attacker does not need current access to the victim&amp;#39;s email account, only access to a previously leaked copy of the reset email.<br /> <br /> This vulnerability is associated with program files lib/hexpm/accounts/password_reset.ex and program routines &amp;#39;Elixir.Hexpm.Accounts.PasswordReset&amp;#39;:can_reset?/3.<br /> <br /> This issue affects hexpm: from 617e44c71f1dd9043870205f371d375c5c4d886d before bb0e42091995945deef10556f58d046a52eb7884.
Gravedad CVSS v4.0: CRÍTICA
Última modificación:
05/03/2026

CVE-2026-29188
Fecha de publicación:
05/03/2026
Idioma:
Inglés
*** Pendiente de traducción *** File Browser provides a file managing interface within a specified directory and it can be used to upload, delete, preview, rename and edit files. Prior to version 2.61.1, a broken access control vulnerability in the TUS protocol DELETE endpoint allows authenticated users with only Create permission to delete arbitrary files and directories within their scope, bypassing the intended Delete permission restriction. Any multi-user deployment where administrators explicitly restrict file deletion for certain users is affected. This issue has been patched in version 2.61.1.
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
05/03/2026
Suscribirse a Vulnerabilidades