Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las ultimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las ultimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las ultimas vulnerabilidades incorporadas al repositorio.

Vulnerabilidad en SuiteCRM (CVE-2026-29105)

Fecha de publicación:

19/03/2026

Idioma:

Español

SuiteCRM es una aplicación de software de Gestión de Relaciones con Clientes (CRM) de código abierto y lista para empresas. Antes de las versiones 7.15.1 y 8.9.3, SuiteCRM contiene una vulnerabilidad de redirección abierta no autenticada en la funcionalidad de captura WebToLead. Un parámetro POST proporcionado por el usuario se utiliza como destino de redirección sin validación, permitiendo a los atacantes redirigir a las víctimas a sitios web externos arbitrarios. Esta vulnerabilidad permite a los atacantes abusar del dominio de confianza de SuiteCRM para ataques de phishing e ingeniería social, redirigiendo a los usuarios a sitios web externos maliciosos. Las versiones 7.15.1 y 8.9.3 aplican un parche al problema.

Gravedad CVSS v3.1: MEDIA

Última modificación:

24/03/2026

Vulnerabilidad en SuiteCRM (CVE-2026-29104)

Fecha de publicación:

19/03/2026

Idioma:

Español

SuiteCRM es una aplicación de software de gestión de relaciones con el cliente (CRM) de código abierto y lista para empresas. Antes de las versiones 7.15.1 y 8.9.3, SuiteCRM contiene una vulnerabilidad de carga de archivos arbitraria autenticada en el módulo Configurator. Un administrador autenticado puede eludir las restricciones de tipo de archivo previstas al cargar archivos de fuentes PDF, permitiendo que archivos arbitrarios con nombres de archivo controlados por el atacante sean escritos en el servidor. Aunque el directorio de carga no es directamente accesible por web por defecto, este comportamiento rompe los límites de seguridad y puede habilitar ataques adicionales cuando se combina con otras vulnerabilidades o en ciertas configuraciones de despliegue. Las versiones 7.15.1 y 8.9.3 parchean el problema.

Gravedad CVSS v3.1: BAJA

Última modificación:

24/03/2026

Vulnerabilidad en SuiteCRM (CVE-2026-29103)

Fecha de publicación:

19/03/2026

Idioma:

Español

SuiteCRM es una aplicación de software de gestión de relaciones con el cliente (CRM) de código abierto y lista para empresas. Una vulnerabilidad crítica de ejecución remota de código (RCE) existe en SuiteCRM 7.15.0 y 8.9.2, permitiendo a administradores autenticados ejecutar comandos de sistema arbitrarios. Esta vulnerabilidad es un bypass directo del parche de CVE-2024-49774. Aunque el proveedor intentó solucionar el problema en la versión 7.14.5, la falla subyacente en ModuleScanner.php con respecto al análisis de tokens de PHP persiste. El escáner restablece incorrectamente su estado interno (bandera $checkFunction) al encontrar cualquier token de un solo carácter (como =, ., o ;). Esto permite a los atacantes ocultar llamadas a funciones peligrosas (por ejemplo, system(), exec()) utilizando asignaciones de variables o concatenación de cadenas, evadiendo completamente los controles de seguridad de MLP. Las versiones 7.15.1 y 8.9.3 parchean el problema.

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

24/03/2026

Vulnerabilidad en SuiteCRM (CVE-2026-29102)

Fecha de publicación:

19/03/2026

Idioma:

Español

SuiteCRM es una aplicación de software de gestión de relaciones con el cliente (CRM) de código abierto y lista para empresas. Antes de las versiones 7.15.1 y 8.9.3, existe una vulnerabilidad de ejecución remota de código (RCE) autenticada en los módulos de SuiteCRM. Las versiones 7.15.1 y 8.9.3 parchean el problema.

Gravedad CVSS v3.1: ALTA

Última modificación:

24/03/2026

Vulnerabilidad en SuiteCRM (CVE-2026-29101)

Fecha de publicación:

19/03/2026

Idioma:

Español

SuiteCRM es una aplicación de software de Gestión de Relaciones con Clientes (CRM) de código abierto y lista para empresas. Antes de las versiones 7.15.1 y 8.9.3, existe una vulnerabilidad de Denegación de Servicio (DoS) en los módulos de SuiteCRM. Las versiones 7.15.1 y 8.9.3 aplican un parche al problema.

Gravedad CVSS v3.1: MEDIA

Última modificación:

24/03/2026

Vulnerabilidad en SuiteCRM (CVE-2026-29100)

Fecha de publicación:

19/03/2026

Idioma:

Español

SuiteCRM es una aplicación de software de gestión de relaciones con clientes (CRM) de código abierto y lista para empresas. SuiteCRM 7.15.0 contiene una vulnerabilidad de inyección HTML reflejada en la página de inicio de sesión que permite a los atacantes inyectar contenido HTML arbitrario, lo que posibilita ataques de phishing y desfiguración de páginas. La versión 7.15.1 corrige el problema.

Gravedad CVSS v3.1: ALTA

Última modificación:

24/03/2026

Vulnerabilidad en Spring Boot (CVE-2026-22731)

Fecha de publicación:

19/03/2026

Idioma:

Español

Las aplicaciones Spring Boot con Actuator pueden ser vulnerables a una vulnerabilidad de &#39;omisión de autenticación&#39; cuando un endpoint de aplicación que requiere autenticación se declara bajo una ruta específica, ya configurada para una ruta adicional de un Grupo de Salud.<br /> Este problema afecta a Spring Boot: desde 4.0 antes de 4.0.3, desde 3.5 antes de 3.5.11, desde 3.4 antes de 3.4.15.<br /> Este CVE es similar pero no equivalente a CVE-2026-22733, ya que las condiciones para el exploit y las versiones vulnerables son diferentes.

Gravedad CVSS v3.1: ALTA

Última modificación:

20/03/2026

Vulnerabilidad en SuiteCRM (CVE-2026-29099)

Fecha de publicación:

19/03/2026

Idioma:

Español

SuiteCRM es una aplicación de software de Gestión de Relaciones con Clientes (CRM) de código abierto y lista para empresas. Antes de las versiones 7.15.1 y 8.9.3, la función &#39;retrieve()&#39; en &#39;include/OutboundEmail/OutboundEmail.php&#39; no neutraliza correctamente el parámetro &#39;$id&#39; controlado por el usuario. Se asume que la función que llama a &#39;retrieve()&#39; citará y saneará adecuadamente la entrada del usuario. Sin embargo, se han identificado dos ubicaciones a las que se puede acceder a través de la acción &#39;EmailUIAjax&#39; en el módulo &#39;Email()&#39; donde este no es el caso. Como tal, es posible que un usuario autenticado realice una inyección SQL a través de la función &#39;retrieve()&#39;. Esto afecta a las últimas versiones principales 7.15 y 8.9. Dado que no parece haber restricciones sobre qué tablas pueden ser llamadas, sería posible para un atacante recuperar información arbitraria de la base de datos, incluyendo información de usuario y hashes de contraseña. Las versiones 7.15.1 y 8.9.3 parchean el problema.

Gravedad CVSS v3.1: ALTA

Última modificación:

24/03/2026

Vulnerabilidad en SuiteCRM (CVE-2026-29098)

Fecha de publicación:

19/03/2026

Idioma:

Español

SuiteCRM es una aplicación de software de Gestión de Relaciones con Clientes (CRM) de código abierto y lista para empresas. Antes de las versiones 7.15.1 y 8.9.3, la función &#39;action_exportCustom&#39; en &#39;modules/ModuleBuilder/controller.php&#39; no logra neutralizar correctamente las secuencias de salto de ruta en los parámetros &#39;$modules&#39; y &#39;$name&#39;. Ambos parámetros luego alcanzan la función &#39;exportCustom&#39; en &#39;modules/ModuleBuilder/MB/MBPackage.php&#39; donde ambos son utilizados en la construcción de rutas para la lectura y escritura de archivos. Como tal, es posible que un usuario con acceso al módulo ModuleBuilder, generalmente un administrador, elabore una solicitud que pueda copiar el contenido de cualquier directorio legible en el host subyacente en la raíz web, haciéndolos legibles. Como el módulo &#39;ModuleBuilder&#39; es parte de ambas versiones principales 7 y 8, ambas versiones principales actuales están afectadas. Esta vulnerabilidad permite a un atacante copiar cualquier directorio legible en la raíz web. Esto incluye archivos del sistema como el contenido de &#39;/etc&#39;, o el directorio raíz del servidor web, exponiendo potencialmente secretos y variables de entorno. Las versiones 7.15.1 y 8.9.3 parchean el problema.

Gravedad CVSS v3.1: MEDIA

Última modificación:

24/03/2026

Vulnerabilidad en SuiteCRM (CVE-2026-29097)

Fecha de publicación:

19/03/2026

Idioma:

Español

SuiteCRM es una aplicación de software de Gestión de Relaciones con Clientes (CRM) de código abierto y de nivel empresarial. Las versiones anteriores a la 7.15.1 y 8.9.3 contienen una vulnerabilidad de falsificación de petición del lado del servidor (SSRF) combinada con una condición de denegación de servicio (DoS) en el componente RSS Feed Dashlet. Las versiones 7.15.1 y 8.9.3 corrigen el problema.

Gravedad CVSS v4.0: ALTA

Última modificación:

24/03/2026

Vulnerabilidad en SuiteCRM (CVE-2026-29096)

Fecha de publicación:

19/03/2026

Idioma:

Español

SuiteCRM es una aplicación de software de gestión de relaciones con clientes (CRM) de código abierto, lista para empresas. Antes de las versiones 7.15.1 y 8.9.3, al crear o editar un informe (módulo AOR_Reports), el parámetro &#39;field_function&#39; de los datos POST se guarda directamente en la tabla &#39;aor_fields&#39; sin ninguna validación. Más tarde, cuando el informe se ejecuta/visualiza, este valor se concatena directamente en una consulta SQL SELECT sin saneamiento, lo que permite una inyección SQL de segundo orden. Cualquier usuario autenticado con acceso a Informes puede extraer contenido arbitrario de la base de datos (hashes de contraseñas, tokens de API, valores de configuración). En MySQL con privilegio FILE, esto podría llevar a RCE a través de SELECT INTO OUTFILE. Las versiones 7.15.1 y 8.9.3 corrigen el problema.

Gravedad CVSS v3.1: ALTA

Última modificación:

24/03/2026

Vulnerabilidad en Spring Security (CVE-2026-22732)

Fecha de publicación:

19/03/2026

Idioma:

Español

Cuando las aplicaciones especifican encabezados de respuesta HTTP para aplicaciones servlet que utilizan Spring Security, existe la posibilidad de que los encabezados HTTP no se escriban. Este problema afecta a Spring Security: desde 5.7.0 hasta 5.7.21, desde 5.8.0 hasta 5.8.23, desde 6.3.0 hasta 6.3.14, desde 6.4.0 hasta 6.4.14, desde 6.5.0 hasta 6.5.8, desde 7.0.0 hasta 7.0.3.

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

02/04/2026

Suscribirse a Vulnerabilidades