Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las ultimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las ultimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las ultimas vulnerabilidades incorporadas al repositorio.

Vulnerabilidad en core de ellanetworks (CVE-2026-32320)

Fecha de publicación:
13/03/2026
Idioma:
Español
Ella Core es un núcleo 5G diseñado para redes privadas. Antes de la versión 1.5.1, Ella Core entra en pánico al procesar una PathSwitchRequest que contiene capacidades de seguridad de UE con bitstrings de algoritmo de cifrado NR o de protección de integridad de longitud cero, lo que resulta en una denegación de servicio. Un atacante capaz de enviar mensajes NGAP manipulados a Ella Core puede bloquear el proceso, causando interrupción del servicio para todos los suscriptores conectados. No se requiere autenticación. Esta vulnerabilidad está corregida en la versión 1.5.1.
Gravedad CVSS v3.1: MEDIA
Última modificación:
19/03/2026

Vulnerabilidad en core de ellanetworks (CVE-2026-32319)

Fecha de publicación:
13/03/2026
Idioma:
Español
Ella Core es un núcleo 5G diseñado para redes privadas. Antes de 1.5.1, Ella Core entra en pánico al procesar un mensaje NGAP/NAS malformado y protegido por integridad con una longitud inferior a 7 bytes. Un atacante capaz de enviar mensajes NAS manipulados a Ella Core puede colapsar el proceso, causando una interrupción del servicio para todos los suscriptores conectados. No se requiere autenticación. Esta vulnerabilidad está corregida en 1.5.1.
Gravedad CVSS v3.1: ALTA
Última modificación:
19/03/2026

Vulnerabilidad en oneuptime de OneUptime (CVE-2026-32306)

Fecha de publicación:
13/03/2026
Idioma:
Español
OneUptime es una solución para monitorear y gestionar servicios en línea. Antes de la 10.0.23, la API de agregación de telemetría acepta los parámetros controlados por el usuario aggregationType, aggregateColumnName y aggregationTimestampColumnName y los interpola directamente en las consultas SQL de ClickHouse a través del método .append() (documentado como 'SQL de confianza'). No hay lista blanca, no hay enlace de consulta parametrizada y no hay validación de entrada. Un usuario autenticado puede inyectar SQL arbitrario en ClickHouse, lo que permite la lectura completa de la base de datos (incluidos los datos de telemetría de todos los inquilinos), la modificación de datos y la potencial ejecución remota de código a través de funciones de tabla de ClickHouse. Esta vulnerabilidad está corregida en la 10.0.23.
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
17/03/2026

Vulnerabilidad en oneuptime de OneUptime (CVE-2026-32308)

Fecha de publicación:
13/03/2026
Idioma:
Español
OneUptime es una solución para monitorear y gestionar servicios en línea. Antes de la versión 10.0.23, el componente visor de Markdown renderiza diagramas Mermaid con securityLevel: 'loose' e inyecta la salida SVG a través de innerHTML. Esta configuración permite explícitamente enlaces de eventos interactivos en los diagramas Mermaid, lo que habilita XSS a través de la directiva 'click' de Mermaid que puede ejecutar JavaScript arbitrario. Cualquier campo que renderice markdown (descripciones de incidentes, anuncios de páginas de estado, notas de monitores) es vulnerable. Esta vulnerabilidad se corrige en la versión 10.0.23.
Gravedad CVSS v3.1: ALTA
Última modificación:
17/03/2026

Vulnerabilidad en tema de WordPress Lemmony (CVE-2026-32328)

Fecha de publicación:
13/03/2026
Idioma:
Español
Vulnerabilidad de falsificación de petición en sitios cruzados (CSRF) en shufflehound Lemmony lemmony permite la falsificación de petición en sitios cruzados. Este problema afecta a Lemmony: desde n/d hasta < 1.7.1.
Gravedad CVSS v3.1: MEDIA
Última modificación:
16/03/2026

Vulnerabilidad en locutus de locutusjs (CVE-2026-32304)

Fecha de publicación:
13/03/2026
Idioma:
Español
Locutus trae bibliotecas estándar de otros lenguajes de programación a JavaScript con fines educativos. Antes de la versión 3.0.14, la función create_function(args, code) pasa ambos parámetros directamente al constructor Function sin ninguna sanitización, permitiendo la ejecución de código arbitrario. Esto es distinto de CVE-2026-29091, que era call_user_func_array usando eval() en v2.x. Este hallazgo afecta a create_function usando new Function() en v3.x. Esta vulnerabilidad está corregida en 3.0.14.
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
19/03/2026

Vulnerabilidad en centrifugo de centrifugal (CVE-2026-32301)

Fecha de publicación:
13/03/2026
Idioma:
Español
Centrifugo es un servidor de mensajería en tiempo real escalable de código abierto. Antes de la versión 6.7.0, Centrifugo es vulnerable a la falsificación de petición del lado del servidor (SSRF) cuando se configura con una URL de endpoint JWKS dinámica utilizando variables de plantilla (p. ej., {{tenant}}). Un atacante no autenticado puede crear un JWT con un valor de reclamación 'iss' o 'aud' malicioso que se interpola en la URL de obtención de JWKS antes de que se verifique la firma del token, lo que hace que Centrifugo realice una petición HTTP saliente a un destino controlado por el atacante. Esta vulnerabilidad se corrige en la versión 6.7.0.
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
18/03/2026

Vulnerabilidad en openclaw (CVE-2026-32302)

Fecha de publicación:
13/03/2026
Idioma:
Español
OpenClaw es un asistente personal de IA. Antes de 2026.3.11, las conexiones WebSocket originadas en el navegador podían eludir la validación de origen cuando gateway.auth.mode estaba configurado como trusted-proxy y la solicitud llegaba con encabezados de proxy. Una página servida desde un origen no confiable podía conectarse a través de un proxy inverso confiable, heredar una identidad autenticada por proxy y establecer una sesión de operador privilegiada. Esta vulnerabilidad está corregida en 2026.3.11.
Gravedad CVSS v3.1: ALTA
Última modificación:
24/03/2026

Vulnerabilidad en plugin de WordPress immonex Kickstart (CVE-2026-31918)

Fecha de publicación:
13/03/2026
Idioma:
Español
Neutralización Incorrecta de la Entrada Durante la Generación de Páginas Web ('cross-site scripting') vulnerabilidad en immonex immonex Kickstart immonex-kickstart permite XSS Almacenado. Este problema afecta a immonex Kickstart: desde n/a hasta <= 1.13.0.
Gravedad CVSS v3.1: MEDIA
Última modificación:
16/03/2026

Vulnerabilidad en plugin Advanced Coupons para WordPress para WooCommerce Coupons (CVE-2026-31919)

Fecha de publicación:
13/03/2026
Idioma:
Español
Vulnerabilidad de falta de autorización en Josh Kohlbach Advanced Coupons for WooCommerce Coupons advanced-coupons-for-woocommerce-free permite explotar niveles de seguridad de control de acceso configurados incorrectamente. Este problema afecta a Advanced Coupons for WooCommerce Coupons: desde n/a hasta <= 4.7.1.
Gravedad CVSS v3.1: MEDIA
Última modificación:
16/03/2026

Vulnerabilidad en plugin de WordPress Fox LMS (CVE-2026-31922)

Fecha de publicación:
13/03/2026
Idioma:
Español
Vulnerabilidad de Neutralización Inadecuada de Elementos Especiales utilizados en un Comando SQL ('inyección SQL') en Ays Pro Fox LMS fox-lms permite Inyección SQL Ciega. Este problema afecta a Fox LMS: desde n/a hasta <= 1.0.6.3.
Gravedad CVSS v3.1: ALTA
Última modificación:
16/03/2026

Vulnerabilidad en LibreChat de danny-avila (CVE-2026-31944)

Fecha de publicación:
13/03/2026
Idioma:
Español
LibreChat es un clon de ChatGPT con características adicionales. Desde 0.8.2 hasta 0.8.2-rc3, el endpoint de callback OAuth de MCP (Model Context Protocol) acepta la redirección del proveedor de identidad y almacena tokens OAuth para el usuario que inició el flujo, sin verificar que el navegador que accede a la URL de redirección esté logueado o que el usuario logueado coincida con el iniciador. Un atacante puede enviar la URL de autorización a una víctima; cuando la víctima completa el flujo, los tokens OAuth de la víctima se almacenan en la cuenta de LibreChat del atacante, permitiendo la toma de control de la cuenta de los servicios vinculados a MCP de la víctima (p. ej., Atlassian, Outlook). Esta vulnerabilidad se corrige en 0.8.3-rc1.
Gravedad CVSS v3.1: ALTA
Última modificación:
17/03/2026