Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las ultimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las ultimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las ultimas vulnerabilidades incorporadas al repositorio.

Vulnerabilidad en erzhongxmu JEEWMS (CVE-2026-3028)

Fecha de publicación:

23/02/2026

Idioma:

Español

Se encontró una vulnerabilidad en erzhongxmu JEEWMS hasta la versión 3.7. Esta vulnerabilidad afecta la función doAdd del archivo src/main/java/com/jeecg/demo/controller/JeecgListDemoController.java. Manipular el argumento Name causa un cross-site scripting. El ataque puede ser iniciado en remoto. El exploit ha sido divulgado públicamente y puede ser utilizado. El proveedor fue contactado con antelación sobre esta divulgación, pero no respondió de ninguna manera.

Gravedad CVSS v4.0: MEDIA

Última modificación:

24/02/2026

Vulnerabilidad en DrayTek Vigor 300B (CVE-2026-3040)

Fecha de publicación:

23/02/2026

Idioma:

Español

Se identificó una vulnerabilidad en DrayTek Vigor 300B hasta la versión 1.5.1.6. Esta afecta a la función cgiGetFile del archivo /cgi-bin/mainfunction.cgi/uploadlangs del componente Interfaz de Gestión Web. Manipular el argumento File conduce a una inyección de comandos del sistema operativo. El ataque puede ser iniciado de forma remota. El exploit está disponible públicamente y podría ser utilizado. El proveedor confirma que &#39;el 300B está al final de su vida útil (EoL), y esta es una vulnerabilidad autenticada. No planeamos solucionarlo.&#39; Esta vulnerabilidad solo afecta a productos que ya no reciben soporte por parte del mantenedor.

Gravedad CVSS v4.0: MEDIA

Última modificación:

24/02/2026

Vulnerabilidad en Traccar (CVE-2026-25649)

Fecha de publicación:

23/02/2026

Idioma:

Español

Las versiones del sistema de seguimiento GPS de código abierto Traccar hasta la 6.11.1 inclusive contienen un problema en el que usuarios autenticados pueden robar códigos de autorización de OAuth 2.0 al explotar una vulnerabilidad de redirección abierta en dos endpoints relacionados con OIDC. El parámetro &#39;redirect_uri&#39; no se valida contra una lista blanca, permitiendo a los atacantes redirigir códigos de autorización a URL controladas por el atacante, lo que permite la toma de control de cuentas en cualquier aplicación integrada con OAuth. Al momento de la publicación, no está claro si hay una solución disponible.

Gravedad CVSS v3.1: ALTA

Última modificación:

24/02/2026

Vulnerabilidad en free5GC (CVE-2025-69247)

Fecha de publicación:

23/02/2026

Idioma:

Español

free5GC go-upf es la implementación de la Función del Plano de Usuario (UPF) para redes 5G que forma parte del proyecto free5GC. Las versiones anteriores a la 1.2.8 tienen una vulnerabilidad de desbordamiento de búfer basado en montículo (CWE-122) que conduce a una denegación de servicio. Los atacantes remotos pueden bloquear el elemento de red UPF al enviar una Solicitud de Modificación de Sesión PFCP especialmente diseñada con un campo de longitud de filtro SDF no válido. Esto causa un desbordamiento de búfer de montículo, lo que resulta en una interrupción completa del servicio para todos los UEs conectados y posibles fallos en cascada que afectan al SMF. Todas las implementaciones de free5GC que utilizan el componente UPF pueden verse afectadas. La versión 1.2.8 de go-upf contiene una solución.

Gravedad CVSS v4.0: BAJA

Última modificación:

25/02/2026

Vulnerabilidad en free5GC (CVE-2025-69248)

Fecha de publicación:

23/02/2026

Idioma:

Español

free5GC es un proyecto de código abierto para redes centrales móviles de quinta generación (5G). Las versiones hasta la 1.4.1 inclusive del servicio AMF de free5GC tienen una vulnerabilidad de desbordamiento de búfer que conduce a una denegación de servicio. Los atacantes remotos no autenticados pueden bloquear el servicio AMF enviando una solicitud de registro NAS especialmente diseñada con una identidad móvil 5GS malformada, causando una denegación de servicio completa para la red central 5G. Todas las implementaciones de free5GC que utilizan el componente AMF pueden verse afectadas. La solicitud de extracción 43 del repositorio free5gc/nas contiene una corrección. No hay una solución alternativa directa disponible a nivel de aplicación. Se recomienda aplicar el parche oficial.

Gravedad CVSS v4.0: MEDIA

Última modificación:

25/02/2026

Vulnerabilidad en udr de free5gc (CVE-2025-69208)

Fecha de publicación:

23/02/2026

Idioma:

Español

free5GC UDR es el repositorio de datos de usuario (UDR) para free5GC, un proyecto de código abierto para redes móviles de núcleo de quinta generación (5G). Las versiones anteriores a la 1.4.1 contienen una vulnerabilidad de Manejo Inadecuado de Errores con Exposición de Información. Todas las implementaciones de free5GC que utilizan el servicio Nnef_PfdManagement pueden verse afectadas. El componente NEF filtra de forma fiable errores de análisis internos (p. ej., carácter no válido &#39;n&#39; después del valor de nivel superior) a clientes remotos. Esto puede ayudar a los atacantes a identificar el software del servidor y los flujos lógicos. La versión 1.4.1 corrige el problema. No existe una solución alternativa directa a nivel de aplicación. La mitigación recomendada es aplicar el parche proporcionado.

Gravedad CVSS v4.0: BAJA

Última modificación:

25/02/2026

Vulnerabilidad en free5GC (CVE-2025-69232)

Fecha de publicación:

23/02/2026

Idioma:

Español

free5GC es un proyecto de código abierto para redes móviles de núcleo de 5ª generación (5G). free5GC go-upf versiones hasta la 1.2.6 inclusive, correspondientes a free5gc smf hasta la 1.4.0 inclusive, tienen una vulnerabilidad de Validación de Entrada Inadecuada y Cumplimiento de Protocolo que conlleva a una Denegación de Servicio. Los atacantes remotos pueden interrumpir la funcionalidad de la red de núcleo enviando una Solicitud de Configuración de Asociación PFCP malformada. El UPF la acepta incorrectamente, entrando en un estado inconsistente que causa que las solicitudes legítimas subsiguientes activen bucles de reconexión del SMF y degradación del servicio. Todas las implementaciones de free5GC que utilizan los componentes UPF y SMF pueden verse afectadas. En el momento de la publicación, se está desarrollando una corrección pero aún no está disponible. No hay una solución alternativa directa disponible a nivel de aplicación. Se recomienda aplicar el parche oficial, una vez lanzado.

Gravedad CVSS v4.0: BAJA

Última modificación:

25/02/2026

Vulnerabilidad en Jeff Starr Simple Ajax Chat simple-ajax-chat (CVE-2026-3075)

Fecha de publicación:

23/02/2026

Idioma:

Español

Vulnerabilidad de Exposición de Información Sensible del Sistema a una Esfera de Control No Autorizada en Jeff Starr Simple Ajax Chat simple-ajax-chat, permite Recuperar Datos Sensibles Incrustados. Este problema afecta a Simple Ajax Chat: desde n/a hasta &lt;= 20251121.

Gravedad: Pendiente de análisis

Última modificación:

24/02/2026

Vulnerabilidad en erzhongxmu JEEWMS (CVE-2026-3027)

Fecha de publicación:

23/02/2026

Idioma:

Español

Se encontró una vulnerabilidad en erzhongxmu JEEWMS hasta la versión 3.7. Esto afecta una parte desconocida del archivo src/main/webapp/plug-in/ueditor/jsp/getContent.jsp del componente UEditor. Manipular el argumento myEditor provoca un cross-site scripting. El ataque puede lanzarse en remoto. El exploit se ha hecho público y podría utilizarse. Se contactó con el proveedor con anterioridad a la divulgación, pero no respondió de ninguna manera.

Gravedad CVSS v4.0: MEDIA

Última modificación:

24/02/2026

Vulnerabilidad en en erzhongxmu JEEWMS (CVE-2026-3026)

Fecha de publicación:

23/02/2026

Idioma:

Español

Se ha encontrado una vulnerabilidad en erzhongxmu JEEWMS 3.7. La cual afecta a alguna funcionalidad desconocida del archivo /plug-in/ueditor/jsp/getRemoteImage.jsp del componente UEditor. Al manipular el argumento upfile s eproduce una falsificación de petición del lado del servidor. El ataque puede ser iniciado en remoto. El exploit ha sido divulgado al público y puede ser usado. Antes de la divulgar esta vulnerabilidad se contactó con el proveedor, pero no respondió de ninguna manera.

Gravedad CVSS v4.0: MEDIA

Última modificación:

24/02/2026

Vulnerabilidad en ShuoRen Smart Heating Integrated Management Platform (CVE-2026-3025)

Fecha de publicación:

23/02/2026

Idioma:

Español

Se ha encontrado una falla en ShuoRen Smart Heating Integrated Management Platform 1.0.0, la cual afecta a una funcionalidad desconocida del archivo /MP/Service/Webservice/ExampleNodeService.asmx. Si se manipula el argumento File puede producirse una carga sin restricciones. Es posible lanzar el ataque de forma remota. El exploit ha sido publicado y puede ser utilizado. Antes de la divulgar esta vulnerabilidad se contactó con el proveedor, pero no respondió de ninguna manera.

Gravedad CVSS v4.0: MEDIA

Última modificación:

24/02/2026

Vulnerabilidad en ElementsKit Lite de Roxnor (CVE-2026-23693)

Fecha de publicación:

23/02/2026

Idioma:

Español

Las versiones del plugin de WordPress ElementsKit Lite (elementskit-lite) anteriores a la 3.7.9 exponen el endpoint REST /wp-json/elementskit/v1/widget/mailchimp/subscribe sin autenticación. El endpoint acepta credenciales de la API de Mailchimp proporcionadas por el cliente e invalida insuficientemente ciertos parámetros, incluido el parámetro list, al construir solicitudes a la API de Mailchimp ascendentes. Un atacante no autenticado puede abusar del endpoint como un proxy abierto a Mailchimp, lo que podría desencadenar llamadas a la API no autorizadas, manipular datos de suscripción, agotar las cuotas de la API o causar consumo de recursos en el sitio de WordPress afectado.

Gravedad CVSS v4.0: CRÍTICA

Última modificación:

24/02/2026

Suscribirse a Vulnerabilidades