Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las ultimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las ultimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las ultimas vulnerabilidades incorporadas al repositorio.

CVE-2026-22187

Fecha de publicación:

07/01/2026

Idioma:

Inglés

*** Pendiente de traducción *** Bio-Formats versions up to and including 8.3.0 perform unsafe Java deserialization of attacker-controlled memoization cache files (.bfmemo) during image processing. The loci.formats.Memoizer class automatically loads and deserializes memo files associated with images without validation, integrity checks, or trust enforcement. An attacker who can supply a crafted .bfmemo file alongside an image can trigger deserialization of untrusted data, which may result in denial of service, logic manipulation, or potentially remote code execution in environments where suitable gadget chains are present on the classpath.

Gravedad CVSS v4.0: MEDIA

Última modificación:

08/01/2026

CVE-2026-22188

Fecha de publicación:

07/01/2026

Idioma:

Inglés

*** Pendiente de traducción *** Panda3D versions up to and including 1.10.16 deploy-stub contains a denial of service vulnerability due to unbounded stack allocation. The deploy-stub executable allocates argv_copy and argv_copy2 using alloca() based directly on the attacker-controlled argc value without validation. Supplying a large number of command-line arguments can exhaust stack space and propagate uninitialized stack memory into Python interpreter initialization, resulting in a reliable crash and undefined behavior.

Gravedad CVSS v4.0: MEDIA

Última modificación:

08/01/2026

CVE-2026-21681

Fecha de publicación:

07/01/2026

Idioma:

Inglés

*** Pendiente de traducción *** iccDEV provides a set of libraries and tools that allow for the interaction, manipulation, and application of International Color Consortium (ICC) color management profiles. Versions prior to 2.3.1.2 have a Undefined Behavior runtime error. This vulnerability affects users of the iccDEV library who process ICC color profiles. Version 2.3.1.2 contains a patch. No known workarounds are available.

Gravedad CVSS v3.1: ALTA

Última modificación:

08/01/2026

CVE-2026-21682

Fecha de publicación:

07/01/2026

Idioma:

Inglés

*** Pendiente de traducción *** iccDEV provides a set of libraries and tools that allow for the interaction, manipulation, and application of International Color Consortium (ICC) color management profiles. Versions prior to 2.3.1.2 have a heap-buffer-overflow in `CIccXmlArrayType::ParseText()`. This vulnerability affects users of the iccDEV library who process ICC color profiles. Version 2.3.1.2 contains a patch. No known workarounds are available.

Gravedad CVSS v3.1: ALTA

Última modificación:

08/01/2026

CVE-2026-22184

Fecha de publicación:

07/01/2026

Idioma:

Inglés

*** Pendiente de traducción *** zlib versions up to and including 1.3.1.2 contain a global buffer overflow in the untgz utility. The TGZfname() function copies an attacker-supplied archive name from argv[] into a fixed-size 1024-byte static global buffer using an unbounded strcpy() call without length validation. Supplying an archive name longer than 1024 bytes results in an out-of-bounds write that can lead to memory corruption, denial of service, and potentially code execution depending on compiler, build flags, architecture, and memory layout. The overflow occurs prior to any archive parsing or validation.

Gravedad CVSS v4.0: CRÍTICA

Última modificación:

08/01/2026

CVE-2026-22185

Fecha de publicación:

07/01/2026

Idioma:

Inglés

*** Pendiente de traducción *** OpenLDAP Lightning Memory-Mapped Database (LMDB) versions up to and including 0.9.14, prior to commit 8e1fda8, contain a heap buffer underflow in the readline() function of mdb_load. When processing malformed input containing an embedded NUL byte, an unsigned offset calculation can underflow and cause an out-of-bounds read of one byte before the allocated heap buffer. This can cause mdb_load to crash, leading to a limited denial-of-service condition.

Gravedad CVSS v4.0: MEDIA

Última modificación:

08/01/2026

CVE-2025-69255

Fecha de publicación:

07/01/2026

Idioma:

Inglés

*** Pendiente de traducción *** RustFS is a distributed object storage system built in Rust. In versions 1.0.0-alpha.13 to 1.0.0-alpha.77, a malformed gRPC GetMetrics request causes get_metrics to unwrap() failed deserialization of metric_type/opts, panicking the handler thread and enabling remote denial of service of the metrics endpoint. This issue has been patched in version 1.0.0-alpha.78.

Gravedad CVSS v4.0: MEDIA

Última modificación:

08/01/2026

CVE-2025-66620

Fecha de publicación:

07/01/2026

Idioma:

Inglés

*** Pendiente de traducción *** An unused webshell in MicroServer allows unlimited login attempts, with sudo rights on certain files and directories. An attacker with admin access to MicroServer can gain limited shell access, enabling persistence through reverse shells, and the ability to modify or remove data stored in the file system.

Gravedad CVSS v4.0: ALTA

Última modificación:

08/01/2026

CVE-2025-68705

Fecha de publicación:

07/01/2026

Idioma:

Inglés

*** Pendiente de traducción *** RustFS is a distributed object storage system built in Rust. In versions 1.0.0-alpha.13 to 1.0.0-alpha.78, RustFS contains a path traversal vulnerability in the /rustfs/rpc/read_file_stream endpoint. This issue has been patched in version 1.0.0-alpha.79.

Gravedad CVSS v4.0: ALTA

Última modificación:

08/01/2026

CVE-2025-69220

Fecha de publicación:

07/01/2026

Idioma:

Inglés

*** Pendiente de traducción *** LibreChat is a ChatGPT clone with additional features. Version 0.8.1-rc2 does not enforce proper access control for file uploads to an agents file context and file search. An authenticated attacker with access to the agent ID can change the behavior of arbitrary agents by uploading new files to the file context or file search, even if they have no permissions for this agent. This issue is fixed in version 0.8.2-rc2.

Gravedad CVSS v3.1: ALTA

Última modificación:

08/01/2026

CVE-2025-69221

Fecha de publicación:

07/01/2026

Idioma:

Inglés

*** Pendiente de traducción *** LibreChat is a ChatGPT clone with additional features. Version 0.8.1-rc2 does not enforce proper access control when<br /> querying agent permissions. An authenticated attacker can read the permissions of arbitrary agents, even if they have no permissions for this agent. LibreChat allows the configuration of agents that have a predefined set of instructions and context. Private agents are not visible to other users. However, if an attacker knows the agent ID, they can read the permissions of the agent including the permissions individually assigned to other users. This issue is fixed in version 0.8.2-rc2.

Gravedad CVSS v3.1: MEDIA

Última modificación:

08/01/2026

CVE-2025-61939

Fecha de publicación:

07/01/2026

Idioma:

Inglés

*** Pendiente de traducción *** An unused function in MicroServer can start a reverse SSH connection to a vendor registered domain, without mutual authentication. An attacker on the local network with admin access to the web server, and the ability to manipulate DNS responses, can redirect the SSH connection to an attacker controlled device.

Gravedad CVSS v4.0: ALTA

Última modificación:

08/01/2026

Suscribirse a Vulnerabilidades