Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las ultimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las ultimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las ultimas vulnerabilidades incorporadas al repositorio.

Vulnerabilidad en Discourse (CVE-2026-33395)

Fecha de publicación:
19/03/2026
Idioma:
Español
Discourse es una plataforma de discusión de código abierto. Antes de las versiones 2026.3.0-latest.1, 2026.2.1 y 2026.1.2, el plugin discourse-graphviz contiene una vulnerabilidad de cross-site scripting (XSS) almacenado que permite a los usuarios autenticados inyectar código JavaScript malicioso a través de definiciones de gráficos DOT. Solo para instancias con CSP deshabilitado. Las versiones 2026.3.0-latest.1, 2026.2.1 y 2026.1.2 contienen un parche. Como solución alternativa, deshabilite el plugin graphviz, actualice a una versión parcheada o habilite una política de seguridad de contenido.
Gravedad CVSS v3.1: MEDIA
Última modificación:
24/03/2026

Vulnerabilidad en Discourse (CVE-2026-33408)

Fecha de publicación:
19/03/2026
Idioma:
Español
Discourse es una plataforma de discusión de código abierto. Antes de las versiones 2026.3.0-latest.1, 2026.2.1 y 2026.1.2, los moderadores podían ver los primeros 40 caracteres de las ediciones de publicaciones en mensajes privados y categorías privadas. Las versiones 2026.3.0-latest.1, 2026.2.1 y 2026.1.2 contienen un parche. No se conocen soluciones alternativas disponibles.
Gravedad CVSS v3.1: BAJA
Última modificación:
24/03/2026

Vulnerabilidad en OpenWrt (CVE-2026-30874)

Fecha de publicación:
19/03/2026
Idioma:
Español
El Proyecto OpenWrt es un sistema operativo Linux dirigido a dispositivos embebidos. En versiones anteriores a la 24.10.6, una vulnerabilidad en la función hotplug_call permite a un atacante eludir el filtrado de variables de entorno e inyectar una variable PATH arbitraria, lo que podría conducir a una escalada de privilegios. La función está diseñada para filtrar variables de entorno sensibles como PATH al ejecutar scripts hotplug en /etc/hotplug.d, pero un error al usar strcmp en lugar de strncmp hace que el filtro compare la cadena de entorno completa (p. ej., PATH= /some /value) contra el literal 'PATH', por lo que la coincidencia siempre falla. Como resultado, la variable PATH nunca es excluida, lo que permite a un atacante controlar qué binarios son ejecutados por scripts invocados por procd que se ejecutan con privilegios elevados. Este problema ha sido solucionado en la versión 24.10.6.
Gravedad CVSS v4.0: BAJA
Última modificación:
23/03/2026

Vulnerabilidad en SuiteCRM (CVE-2026-29107)

Fecha de publicación:
19/03/2026
Idioma:
Español
SuiteCRM es una aplicación de software de Gestión de Relaciones con Clientes (CRM) de código abierto y lista para empresas. Antes de las versiones 7.15.1 y 8.9.3, es posible crear plantillas de PDF con etiquetas . Cuando se exporta un PDF usando esta plantilla, el contenido (por ejemplo, ) se renderiza en el lado del servidor y, por lo tanto, se emite una petición desde el servidor, lo que resulta en una falsificación de petición del lado del servidor. Las versiones 7.15.1 y 8.9.3 corrigen el problema.
Gravedad CVSS v3.1: MEDIA
Última modificación:
24/03/2026

Vulnerabilidad en SuiteCRM (CVE-2026-29106)

Fecha de publicación:
19/03/2026
Idioma:
Español
SuiteCRM es una aplicación de software de gestión de relaciones con clientes (CRM) de código abierto y lista para empresas. Antes de las versiones 7.15.1 y 8.9.3, el valor del parámetro de solicitud return_id se copia en el valor de un atributo de etiqueta HTML que es un gestor de eventos y está encapsulado entre comillas dobles. Las versiones 7.15.1 y 8.9.3 parchean el problema. Los usuarios también deben usar una cabecera de Política de Seguridad de Contenido (CSP) para mitigar completamente el XSS.
Gravedad CVSS v3.1: MEDIA
Última modificación:
24/03/2026

Vulnerabilidad en SuiteCRM (CVE-2026-29105)

Fecha de publicación:
19/03/2026
Idioma:
Español
SuiteCRM es una aplicación de software de Gestión de Relaciones con Clientes (CRM) de código abierto y lista para empresas. Antes de las versiones 7.15.1 y 8.9.3, SuiteCRM contiene una vulnerabilidad de redirección abierta no autenticada en la funcionalidad de captura WebToLead. Un parámetro POST proporcionado por el usuario se utiliza como destino de redirección sin validación, permitiendo a los atacantes redirigir a las víctimas a sitios web externos arbitrarios. Esta vulnerabilidad permite a los atacantes abusar del dominio de confianza de SuiteCRM para ataques de phishing e ingeniería social, redirigiendo a los usuarios a sitios web externos maliciosos. Las versiones 7.15.1 y 8.9.3 aplican un parche al problema.
Gravedad CVSS v3.1: MEDIA
Última modificación:
24/03/2026

Vulnerabilidad en SuiteCRM (CVE-2026-29104)

Fecha de publicación:
19/03/2026
Idioma:
Español
SuiteCRM es una aplicación de software de gestión de relaciones con el cliente (CRM) de código abierto y lista para empresas. Antes de las versiones 7.15.1 y 8.9.3, SuiteCRM contiene una vulnerabilidad de carga de archivos arbitraria autenticada en el módulo Configurator. Un administrador autenticado puede eludir las restricciones de tipo de archivo previstas al cargar archivos de fuentes PDF, permitiendo que archivos arbitrarios con nombres de archivo controlados por el atacante sean escritos en el servidor. Aunque el directorio de carga no es directamente accesible por web por defecto, este comportamiento rompe los límites de seguridad y puede habilitar ataques adicionales cuando se combina con otras vulnerabilidades o en ciertas configuraciones de despliegue. Las versiones 7.15.1 y 8.9.3 parchean el problema.
Gravedad CVSS v3.1: BAJA
Última modificación:
24/03/2026

Vulnerabilidad en SuiteCRM (CVE-2026-29103)

Fecha de publicación:
19/03/2026
Idioma:
Español
SuiteCRM es una aplicación de software de gestión de relaciones con el cliente (CRM) de código abierto y lista para empresas. Una vulnerabilidad crítica de ejecución remota de código (RCE) existe en SuiteCRM 7.15.0 y 8.9.2, permitiendo a administradores autenticados ejecutar comandos de sistema arbitrarios. Esta vulnerabilidad es un bypass directo del parche de CVE-2024-49774. Aunque el proveedor intentó solucionar el problema en la versión 7.14.5, la falla subyacente en ModuleScanner.php con respecto al análisis de tokens de PHP persiste. El escáner restablece incorrectamente su estado interno (bandera $checkFunction) al encontrar cualquier token de un solo carácter (como =, ., o ;). Esto permite a los atacantes ocultar llamadas a funciones peligrosas (por ejemplo, system(), exec()) utilizando asignaciones de variables o concatenación de cadenas, evadiendo completamente los controles de seguridad de MLP. Las versiones 7.15.1 y 8.9.3 parchean el problema.
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
24/03/2026

Vulnerabilidad en SuiteCRM (CVE-2026-29102)

Fecha de publicación:
19/03/2026
Idioma:
Español
SuiteCRM es una aplicación de software de gestión de relaciones con el cliente (CRM) de código abierto y lista para empresas. Antes de las versiones 7.15.1 y 8.9.3, existe una vulnerabilidad de ejecución remota de código (RCE) autenticada en los módulos de SuiteCRM. Las versiones 7.15.1 y 8.9.3 parchean el problema.
Gravedad CVSS v3.1: ALTA
Última modificación:
24/03/2026

Vulnerabilidad en SuiteCRM (CVE-2026-29101)

Fecha de publicación:
19/03/2026
Idioma:
Español
SuiteCRM es una aplicación de software de Gestión de Relaciones con Clientes (CRM) de código abierto y lista para empresas. Antes de las versiones 7.15.1 y 8.9.3, existe una vulnerabilidad de Denegación de Servicio (DoS) en los módulos de SuiteCRM. Las versiones 7.15.1 y 8.9.3 aplican un parche al problema.
Gravedad CVSS v3.1: MEDIA
Última modificación:
24/03/2026

Vulnerabilidad en SuiteCRM (CVE-2026-29100)

Fecha de publicación:
19/03/2026
Idioma:
Español
SuiteCRM es una aplicación de software de gestión de relaciones con clientes (CRM) de código abierto y lista para empresas. SuiteCRM 7.15.0 contiene una vulnerabilidad de inyección HTML reflejada en la página de inicio de sesión que permite a los atacantes inyectar contenido HTML arbitrario, lo que posibilita ataques de phishing y desfiguración de páginas. La versión 7.15.1 corrige el problema.
Gravedad CVSS v3.1: ALTA
Última modificación:
24/03/2026

Vulnerabilidad en Spring Boot (CVE-2026-22731)

Fecha de publicación:
19/03/2026
Idioma:
Español
Las aplicaciones Spring Boot con Actuator pueden ser vulnerables a una vulnerabilidad de &amp;#39;omisión de autenticación&amp;#39; cuando un endpoint de aplicación que requiere autenticación se declara bajo una ruta específica, ya configurada para una ruta adicional de un Grupo de Salud.<br /> Este problema afecta a Spring Boot: desde 4.0 antes de 4.0.3, desde 3.5 antes de 3.5.11, desde 3.4 antes de 3.4.15.<br /> Este CVE es similar pero no equivalente a CVE-2026-22733, ya que las condiciones para el exploit y las versiones vulnerables son diferentes.
Gravedad CVSS v3.1: ALTA
Última modificación:
20/03/2026