Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las ultimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las ultimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las ultimas vulnerabilidades incorporadas al repositorio.

Vulnerabilidad en Tenda A18 (CVE-2026-2877)

Fecha de publicación:

21/02/2026

Idioma:

Español

Se ha encontrado una vulnerabilidad en Tenda A18 15.13.07.13. Esta afecta a la función strcpy del archivo /goform/WifiExtraSet del componente Servicio Httpd. Manipular el argumento wpapsk_crypto5g provoca un desbordamiento de búfer basado en pila. Es posible iniciar el ataque en remoto. El exploit ha sido divulgado al público y puede ser usado.

Gravedad CVSS v4.0: ALTA

Última modificación:

23/02/2026

Vulnerabilidad en Tenda A18 (CVE-2026-2876)

Fecha de publicación:

21/02/2026

Idioma:

Español

Se ha encontrado una vulnerabilidad en Tenda A18 15.13.07.13. Esta afecta a la función parse_macfilter_rule del archivo /goform/setBlackRule. Manipular el argumento deviceList causa un desbordamiento de búfer basado en pila. El ataque puede iniciarse de forma remota. El exploit ha sido divulgado públicamente y puede ser utilizado.

Gravedad CVSS v4.0: ALTA

Última modificación:

23/02/2026

Vulnerabilidad en Tenda A21 (CVE-2026-2874)

Fecha de publicación:

21/02/2026

Idioma:

Español

Se ha encontrado una vulnerabilidad en Tenda A21 1.0.0.0. La función afectada es form_fast_setting_wifi_set del archivo /goform/fast_setting_wifi_set. Si se manipula el argumento ssid se puede provocar un desbordamiento de búfer basado en pila. Es posible lanzar el ataque de forma remota. El exploit ha sido publicado y puede ser utilizado.

Gravedad CVSS v4.0: ALTA

Última modificación:

23/02/2026

Vulnerabilidad en Tenda A21 (CVE-2026-2873)

Fecha de publicación:

21/02/2026

Idioma:

Español

Se detectó una vulnerabilidad en Tenda A21 1.0.0.0 que afecta a la función setSchedWifi del archivo /goform/openSchedWifi. Al manipular el argumento schedStartTime/schedEndTime se provoca un desbordamiento de búfer basado en pila. Es posible iniciar el ataque de forma remota. El exploit es ahora público y puede ser utilizado.

Gravedad CVSS v4.0: ALTA

Última modificación:

23/02/2026

Vulnerabilidad en Tenda A21 (CVE-2026-2872)

Fecha de publicación:

21/02/2026

Idioma:

Español

Se ha detectado una vulnerabilidad de seguridad en Tenda A21 1.0.0.0. Esta vulnerabilidad afecta a la función set_device_name del archivo /goform/setBlackRule del componente MAC Filtering Configuration Endpoint. Al manipular el argumento devName/mac se provoca un desbordamiento de búfer basado en pila. El ataque puede ser realizado desde remoto. El exploit ha sido divulgado públicamente y puede ser usado.

Gravedad CVSS v4.0: ALTA

Última modificación:

23/02/2026

Vulnerabilidad en Tenda A21 (CVE-2026-2871)

Fecha de publicación:

21/02/2026

Idioma:

Español

Se ha identificado una debilidad en Tenda A21 1.0.0.0. Esta afecta a la función fromSetIpMacBind del archivo /goform/SetIpMacBind. Al manipular la lista de argumentos se causa un desbordamiento de búfer basado en pila. El ataque puede llevarse a cabo de forma remota. El exploit ha sido puesto a disposición del público y podría ser utilizado para ataques.

Gravedad CVSS v4.0: ALTA

Última modificación:

23/02/2026

Vulnerabilidad en Tenda A21 (CVE-2026-2870)

Fecha de publicación:

21/02/2026

Idioma:

Español

Se ha descubierto un fallo de seguridad en Tenda A21 1.0.0.0 que afecta a la función set_qosMib_list del archivo /goform/formSetQosBand. Al manipular el argumento list se provoca un desbordamiento de búfer basado en pila. El ataque puede ser ejecutado en remoto. El exploit ha sido publicado y puede ser usado para ataques.

Gravedad CVSS v4.0: ALTA

Última modificación:

23/02/2026

Vulnerabilidad en janet-lang (CVE-2026-2869)

Fecha de publicación:

21/02/2026

Idioma:

Español

Se identificó una vulnerabilidad en janet-lang janet hasta la versión 1.40.1. Afectada por esta vulnerabilidad es la función janetc_varset del archivo src/core/specials.c del componente gestor handleattr. La manipulación conduce a una lectura fuera de límites. El ataque solo puede realizarse desde un entorno local. El exploit está disponible públicamente y podría ser utilizado. La actualización a la versión 1.41.0 soluciona este problema. El identificador del parche es 2fabc80151a2b8834ee59cda8a70453f848b40e5. El componente afectado debería ser actualizado.

Gravedad CVSS v4.0: MEDIA

Última modificación:

23/02/2026

Vulnerabilidad en itsourcecode Vehicle Management System (CVE-2026-2867)

Fecha de publicación:

21/02/2026

Idioma:

Español

Se determinó una vulnerabilidad en itsourcecode Vehicle Management System 1.0. Afecta a una función desconocida del archivo /billaction.php. La ejecución de una manipulación del argumento ID puede conducir a una inyección SQL. El ataque puede lanzarse remotamente. El exploit ha sido divulgado públicamente y puede utilizarse.

Gravedad CVSS v4.0: MEDIA

Última modificación:

23/02/2026

Vulnerabilidad en CollabPlatform (CVE-2026-27579)

Fecha de publicación:

21/02/2026

Idioma:

Español

CollabPlatform es una plataforma de colaboración de documentos en tiempo real, full-stack. En todas las versiones de CollabPlatform, el proyecto Appwrite utilizado por la aplicación está mal configurado para permitir orígenes arbitrarios en las respuestas CORS, al mismo tiempo que permite solicitudes con credenciales. Un dominio controlado por un atacante puede emitir solicitudes autenticadas de origen cruzado y leer información sensible de la cuenta de usuario, incluyendo dirección de correo electrónico, identificadores de cuenta y estado de MFA. El problema no tenía una solución en el momento de la publicación.

Gravedad CVSS v3.1: ALTA

Última modificación:

23/02/2026

Vulnerabilidad en OneUptime (CVE-2026-27574)

Fecha de publicación:

21/02/2026

Idioma:

Español

OneUptime es una solución para monitorear y gestionar servicios en línea. En las versiones 9.5.13 e inferiores, la función de monitor JavaScript personalizado utiliza el módulo node:vm de Node.js (documentado explícitamente como no un mecanismo de seguridad) para ejecutar código proporcionado por el usuario, permitiendo un escape trivial de la sandbox a través de una línea de código bien conocida que otorga acceso completo al proceso subyacente. Debido a que la sonda se ejecuta con red de host y guarda todas las credenciales del clúster (ONEUPTIME_SECRET, DATABASE_PASSWORD, REDIS_PASSWORD, CLICKHOUSE_PASSWORD) en sus variables de entorno, y la creación de monitores está disponible para el rol más bajo (ProjectMember) con el registro abierto habilitado por defecto, cualquier usuario anónimo puede lograr un compromiso completo del clúster en aproximadamente 30 segundos. Este problema ha sido solucionado en la versión 10.0.5.

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

23/02/2026

Vulnerabilidad en Lettermint Node.js SDK (CVE-2026-27492)

Fecha de publicación:

21/02/2026

Idioma:

Español

El SDK de Node.js de Lettermint es el SDK oficial de Node.js para Lettermint. En las versiones 1.5.0 e inferiores, las propiedades del correo electrónico (como &#39;para&#39;, &#39;asunto&#39;, &#39;html&#39;, &#39;texto&#39; y &#39;archivos adjuntos&#39;) no se restablecen entre envíos cuando una única instancia de cliente se reutiliza en múltiples llamadas a .send(). Esto puede provocar que las propiedades de un envío anterior se filtren en uno posterior, entregando potencialmente contenido o direcciones de destinatarios a partes no deseadas. Las aplicaciones que envían correos electrónicos a diferentes destinatarios en secuencia — como flujos transaccionales como restablecimientos de contraseña o notificaciones — se ven afectadas. Este problema ha sido solucionado en la versión 1.5.1.

Gravedad CVSS v3.1: MEDIA

Última modificación:

24/02/2026

Suscribirse a Vulnerabilidades