Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las ultimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las ultimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las ultimas vulnerabilidades incorporadas al repositorio.

CVE-2026-2870

Fecha de publicación:

21/02/2026

Idioma:

Español

Se ha descubierto un fallo de seguridad en Tenda A21 1.0.0.0 que afecta a la función set_qosMib_list del archivo /goform/formSetQosBand. Al manipular el argumento list se provoca un desbordamiento de búfer basado en pila. El ataque puede ser ejecutado en remoto. El exploit ha sido publicado y puede ser usado para ataques.

Gravedad CVSS v4.0: ALTA

Última modificación:

23/02/2026

CVE-2026-2869

Fecha de publicación:

21/02/2026

Idioma:

Español

Se identificó una vulnerabilidad en janet-lang janet hasta la versión 1.40.1. Afectada por esta vulnerabilidad es la función janetc_varset del archivo src/core/specials.c del componente gestor handleattr. La manipulación conduce a una lectura fuera de límites. El ataque solo puede realizarse desde un entorno local. El exploit está disponible públicamente y podría ser utilizado. La actualización a la versión 1.41.0 soluciona este problema. El identificador del parche es 2fabc80151a2b8834ee59cda8a70453f848b40e5. El componente afectado debería ser actualizado.

Gravedad CVSS v4.0: MEDIA

Última modificación:

23/02/2026

CVE-2026-2867

Fecha de publicación:

21/02/2026

Idioma:

Español

Se determinó una vulnerabilidad en itsourcecode Vehicle Management System 1.0. Afecta a una función desconocida del archivo /billaction.php. La ejecución de una manipulación del argumento ID puede conducir a una inyección SQL. El ataque puede lanzarse remotamente. El exploit ha sido divulgado públicamente y puede utilizarse.

Gravedad CVSS v4.0: MEDIA

Última modificación:

23/02/2026

CVE-2026-27579

Fecha de publicación:

21/02/2026

Idioma:

Español

CollabPlatform es una plataforma de colaboración de documentos en tiempo real, full-stack. En todas las versiones de CollabPlatform, el proyecto Appwrite utilizado por la aplicación está mal configurado para permitir orígenes arbitrarios en las respuestas CORS, al mismo tiempo que permite solicitudes con credenciales. Un dominio controlado por un atacante puede emitir solicitudes autenticadas de origen cruzado y leer información sensible de la cuenta de usuario, incluyendo dirección de correo electrónico, identificadores de cuenta y estado de MFA. El problema no tenía una solución en el momento de la publicación.

Gravedad CVSS v3.1: ALTA

Última modificación:

23/02/2026

CVE-2026-27574

Fecha de publicación:

21/02/2026

Idioma:

Español

OneUptime es una solución para monitorear y gestionar servicios en línea. En las versiones 9.5.13 e inferiores, la función de monitor JavaScript personalizado utiliza el módulo node:vm de Node.js (documentado explícitamente como no un mecanismo de seguridad) para ejecutar código proporcionado por el usuario, permitiendo un escape trivial de la sandbox a través de una línea de código bien conocida que otorga acceso completo al proceso subyacente. Debido a que la sonda se ejecuta con red de host y guarda todas las credenciales del clúster (ONEUPTIME_SECRET, DATABASE_PASSWORD, REDIS_PASSWORD, CLICKHOUSE_PASSWORD) en sus variables de entorno, y la creación de monitores está disponible para el rol más bajo (ProjectMember) con el registro abierto habilitado por defecto, cualquier usuario anónimo puede lograr un compromiso completo del clúster en aproximadamente 30 segundos. Este problema ha sido solucionado en la versión 10.0.5.

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

23/02/2026

CVE-2026-27492

Fecha de publicación:

21/02/2026

Idioma:

Español

El SDK de Node.js de Lettermint es el SDK oficial de Node.js para Lettermint. En las versiones 1.5.0 e inferiores, las propiedades del correo electrónico (como &#39;para&#39;, &#39;asunto&#39;, &#39;html&#39;, &#39;texto&#39; y &#39;archivos adjuntos&#39;) no se restablecen entre envíos cuando una única instancia de cliente se reutiliza en múltiples llamadas a .send(). Esto puede provocar que las propiedades de un envío anterior se filtren en uno posterior, entregando potencialmente contenido o direcciones de destinatarios a partes no deseadas. Las aplicaciones que envían correos electrónicos a diferentes destinatarios en secuencia — como flujos transaccionales como restablecimientos de contraseña o notificaciones — se ven afectadas. Este problema ha sido solucionado en la versión 1.5.1.

Gravedad CVSS v3.1: MEDIA

Última modificación:

24/02/2026

CVE-2026-1787

Fecha de publicación:

21/02/2026

Idioma:

Español

El LearnPress Export Import – extensión de WordPress para el plugin LearnPress para WordPress es vulnerable a la pérdida de datos no autorizada debido a una comprobación de capacidad faltante en la función delete_migrated_data en todas las versiones hasta, e incluyendo, la 4.1.0. Esto hace posible que atacantes no autenticados eliminen cursos que han sido migrados desde Tutor LMS. El plugin Tutor LMS debe estar instalado y activado para explotar la vulnerabilidad.

Gravedad CVSS v3.1: MEDIA

Última modificación:

23/02/2026

CVE-2026-27576

Fecha de publicación:

21/02/2026

Idioma:

Español

OpenClaw es un asistente de IA personal. En las versiones 2026.2.17 e inferiores, el puente ACP acepta bloques de texto de prompt muy grandes y puede ensamblar cargas útiles de prompt sobredimensionadas antes de reenviarlas a chat.send. Debido a que ACP se ejecuta sobre stdio local, esto afecta principalmente a los clientes ACP locales (por ejemplo, integraciones de IDE) que envían entradas inusualmente grandes. Este problema ha sido solucionado en la versión 2026.2.19.

Gravedad CVSS v4.0: MEDIA

Última modificación:

23/02/2026

CVE-2026-27488

Fecha de publicación:

21/02/2026

Idioma:

Español

OpenClaw es un asistente personal de IA. En las versiones 2026.2.17 e inferiores, la entrega de webhooks de Cron en src/gateway/servidor-cron.ts utiliza fetch() directamente, por lo que los objetivos del webhook pueden alcanzar endpoints privados/de metadatos/internos sin comprobaciones de política de SSRF. Este problema se solucionó en la versión 2026.2.19.

Gravedad CVSS v4.0: MEDIA

Última modificación:

23/02/2026

CVE-2026-27487

Fecha de publicación:

21/02/2026

Idioma:

Español

OpenClaw es un asistente personal de IA. En las versiones 2026.2.13 e inferiores, al usar macOS, la ruta de actualización de credenciales del llavero de Claude CLI construía un comando de shell para escribir el blob JSON actualizado en el Llavero a través de security add-generic-password -w .... Debido a que los tokens OAuth son datos controlados por el usuario, esto creaba un riesgo de inyección de comandos del sistema operativo. Este problema ha sido solucionado en la versión 2026.2.14.

Gravedad CVSS v3.1: ALTA

Última modificación:

23/02/2026

CVE-2026-27485

Fecha de publicación:

21/02/2026

Idioma:

Español

OpenClaw es un asistente personal de IA. En las versiones 2026.2.17 e inferiores, skills/skill-creator/scripts/package_skill.py (un script auxiliar local utilizado cuando los autores empaquetan habilidades) seguía previamente los enlaces simbólicos (symlinks) al construir archivos .skill. Si un autor ejecuta este script en un directorio de habilidad local manipulado que contiene enlaces simbólicos a archivos fuera de la raíz de la habilidad, el archivo resultante puede incluir contenido de archivo no deseado. Si se explota, esta vulnerabilidad puede llevar a una posible divulgación no intencionada de archivos locales desde la máquina de empaquetado a un artefacto .skill generado, pero requiere la ejecución local del script de empaquetado sobre contenidos de habilidad controlados por el atacante. Este problema ha sido solucionado en la versión 2026.2.18.

Gravedad CVSS v4.0: MEDIA

Última modificación:

23/02/2026

CVE-2026-27484

Fecha de publicación:

21/02/2026

Idioma:

Español

OpenClaw es un asistente personal de IA. En las versiones 2026.2.17 e inferiores, el manejo de acciones de moderación de Discord (tiempo de espera, expulsión, baneo) utiliza la identidad del remitente de los parámetros de la solicitud en flujos impulsados por herramientas, en lugar del contexto de remitente de tiempo de ejecución confiable. En configuraciones donde las acciones de moderación de Discord están habilitadas y el bot tiene los permisos de gremio necesarios, un usuario no administrador puede solicitar acciones de moderación suplantando los campos de identidad del remitente. Este problema ha sido solucionado en la versión 2026.2.18.

Gravedad CVSS v4.0: BAJA

Última modificación:

23/02/2026

Suscribirse a Vulnerabilidades