Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las ultimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las ultimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las ultimas vulnerabilidades incorporadas al repositorio.

CVE-2026-28495

Fecha de publicación:

10/03/2026

Idioma:

Español

GetSimple CMS es un sistema de gestión de contenido. El plugin massiveAdmin (v6.0.3) incluido con GetSimpleCMS-CE v3.3.22 permite a un administrador autenticado sobrescribir el archivo de configuración gsconfig.php con código PHP arbitrario a través del módulo editor de gsconfig. El formulario carece de protección CSRF, lo que permite a un atacante remoto no autenticado explotar esto mediante falsificación de petición en sitios cruzados contra un administrador con sesión iniciada, logrando ejecución remota de código (RCE) en el servidor web.

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

11/03/2026

CVE-2026-26330

Fecha de publicación:

10/03/2026

Idioma:

Español

Envoy es un proxy de borde/intermedio/servicio de alto rendimiento. Antes de 1.37.1, 1.36.5, 1.35.8 y 1.34.13, en el filtro de límite de tasa, si el límite de fase de respuesta con apply_on_stream_done en la configuración del límite de tasa está habilitado y la solicitud de límite de fase de respuesta falla directamente, puede provocar la caída de Envoy. Cuando tanto el límite de fase de solicitud como el límite de fase de respuesta están habilitados, la instancia segura del cliente gRPC se reutilizará tanto para la solicitud de fase de solicitud como para la solicitud de fase de respuesta. Pero después de que la solicitud de fase de solicitud se completa, el estado interno de la solicitud de límite de fase de solicitud en el cliente gRPC no se limpia. Cuando se envía una segunda solicitud de límite en la fase de respuesta, y la segunda solicitud de límite falla directamente, el estado interno de la solicitud anterior puede ser accedido y resultar en una caída. Esta vulnerabilidad está corregida en 1.37.1, 1.36.5, 1.35.8 y 1.34.13.

Gravedad CVSS v3.1: MEDIA

Última modificación:

11/03/2026

CVE-2026-26311

Fecha de publicación:

10/03/2026

Idioma:

Español

Envoy es un proxy de borde/intermedio/servicio de alto rendimiento. Antes de 1.37.1, 1.36.5, 1.35.8 y 1.34.13, una vulnerabilidad lógica en el gestor de conexiones HTTP de Envoy (FilterManager) permite la Ejecución de Filtro de Flujo Zombie. Este problema crea una ventana de &#39;Uso después de liberación&#39; (UAF) o de corrupción de estado donde las devoluciones de llamada de filtro se invocan en un flujo HTTP que ya ha sido lógicamente restablecido y limpiado. La vulnerabilidad reside en source/common/http/filter_manager.cc dentro del método FilterManager::decodeData. El objeto ActiveStream permanece válido en memoria durante la ventana de eliminación diferida. Si un frame DATA llega en este flujo inmediatamente después del restablecimiento (por ejemplo, en el mismo ciclo de procesamiento de paquetes), el códec HTTP/2 invoca ActiveStream::decodeData, lo que se propaga a FilterManager::decodeData. FilterManager::decodeData no verifica el flag saw_downstream_reset_. Itera sobre la lista decoder_filters_ e invoca decodeData() en filtros que ya han recibido onDestroy(). Esta vulnerabilidad se corrige en 1.37.1, 1.36.5, 1.35.8 y 1.34.13.

Gravedad CVSS v3.1: MEDIA

Última modificación:

11/03/2026

CVE-2026-26310

Fecha de publicación:

10/03/2026

Idioma:

Español

Envoy es un proxy de alto rendimiento de borde/intermedio/servicio. Antes de 1.37.1, 1.36.5, 1.35.8 y 1.34.13, llamar a Utility::getAddressWithPort con direcciones IPv6 con ámbito causa un fallo. Esta utilidad es llamada en el plano de datos desde el filtro original_src y el filtro dns. Esta vulnerabilidad está corregida en 1.37.1, 1.36.5, 1.35.8 y 1.34.13.

Gravedad CVSS v3.1: MEDIA

Última modificación:

11/03/2026

CVE-2026-26309

Fecha de publicación:

10/03/2026

Idioma:

Español

Envoy es un proxy de borde/intermedio/servicio de alto rendimiento. Antes de 1.37.1, 1.36.5, 1.35.8 y 1.34.13, una escritura por un byte en Envoy::JsonEscaper::escapeString() puede corromper la terminación nula de std::string, causando comportamiento indefinido y potencialmente llevando a fallos o lecturas fuera de límites cuando la cadena resultante es tratada posteriormente como una cadena C. Esta vulnerabilidad está corregida en 1.37.1, 1.36.5, 1.35.8 y 1.34.13.

Gravedad CVSS v3.1: MEDIA

Última modificación:

11/03/2026

CVE-2026-26308

Fecha de publicación:

10/03/2026

Idioma:

Español

Envoy es un proxy de alto rendimiento de borde/intermedio/servicio. Antes de 1.37.1, 1.36.5, 1.35.8 y 1.34.13, el filtro RBAC (control de acceso basado en roles) de Envoy contiene una vulnerabilidad lógica en cómo valida los encabezados HTTP cuando hay múltiples valores presentes para el mismo nombre de encabezado. En lugar de validar cada valor de encabezado individualmente, Envoy concatena todos los valores en una única cadena separada por comas. Este comportamiento permite a los atacantes eludir las políticas RBAC —específicamente las reglas de &#39;Denegar&#39;— enviando encabezados duplicados, ocultando eficazmente el valor malicioso de los mecanismos de coincidencia exacta. Esta vulnerabilidad está corregida en 1.37.1, 1.36.5, 1.35.8 y 1.34.13.

Gravedad CVSS v3.1: ALTA

Última modificación:

11/03/2026

CVE-2026-26123

Fecha de publicación:

10/03/2026

Idioma:

Español

Cwe no está en las categorías rca en Microsoft Authenticator permite a un atacante no autorizado divulgar información localmente.

Gravedad CVSS v3.1: MEDIA

Última modificación:

11/03/2026

CVE-2026-23868

Fecha de publicación:

10/03/2026

Idioma:

Español

Giflib contiene una vulnerabilidad de doble liberación que es el resultado de una copia superficial en GifMakeSavedImage y un manejo de errores incorrecto. Las condiciones necesarias para activar esta vulnerabilidad son difíciles pero pueden ser posibles.

Gravedad CVSS v3.1: MEDIA

Última modificación:

11/03/2026

CVE-2025-70251

Fecha de publicación:

10/03/2026

Idioma:

Español

Vulnerabilidad de desbordamiento de búfer de pila en D-Link DIR-513 v1.10 a través del parámetro webPage a goform/formWlanGuestSetup.

Gravedad CVSS v3.1: ALTA

Última modificación:

11/03/2026

CVE-2025-70249

Fecha de publicación:

10/03/2026

Idioma:

Español

Vulnerabilidad de desbordamiento de búfer de pila en D-Link DIR-513 v1.10 a través del parámetro curTime a goform/formSetWizard2.

Gravedad CVSS v3.1: ALTA

Última modificación:

11/03/2026

CVE-2025-36227

Fecha de publicación:

10/03/2026

Idioma:

Español

IBM Aspera Faspex 5 5.0.0 hasta 5.0.14.3 es vulnerable a la inyección de encabezados HTTP, causada por una validación incorrecta de la entrada por parte de los encabezados HOST. Esto podría permitir a un atacante llevar a cabo varios ataques contra el sistema vulnerable, incluyendo cross-site scripting, envenenamiento de caché o secuestro de sesión.

Gravedad CVSS v3.1: MEDIA

Última modificación:

11/03/2026

CVE-2025-48611

Fecha de publicación:

10/03/2026

Idioma:

Español

En DeviceId de DeviceId.java, hay una posible desincronización en la persistencia debido a una comprobación de límites faltante. Esto podría llevar a una escalada local de privilegios sin necesidad de privilegios de ejecución adicionales. No se necesita interacción del usuario para la explotación.

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

11/03/2026

Suscribirse a Vulnerabilidades