Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las ultimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las ultimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las ultimas vulnerabilidades incorporadas al repositorio.

CVE-2026-27205

Fecha de publicación:

21/02/2026

Idioma:

Inglés

*** Pendiente de traducción *** Flask is a web server gateway interface (WSGI) web application framework. In versions 3.1.2 and below, when the session object is accessed, Flask should set the Vary: Cookie header., resulting in a Use of Cache Containing Sensitive Information vulnerability. The logic instructs caches not to cache the response, as it may contain information specific to a logged in user. This is handled in most cases, but some forms of access such as the Python in operator were overlooked. The severity and risk depend on the application being hosted behind a caching proxy that doesn&#39;t ignore responses with cookies, not setting a Cache-Control header to mark pages as private or non-cacheable, and accessing the session in a way that only touches keys without reading values or mutating the session. The issue has been fixed in version 3.1.3.

Gravedad CVSS v4.0: BAJA

Última modificación:

21/02/2026

CVE-2026-26045

Fecha de publicación:

21/02/2026

Idioma:

Inglés

*** Pendiente de traducción *** A flaw was identified in Moodle’s backup restore functionality where specially crafted backup files were not properly validated during processing. If a malicious backup file is restored, it could lead to unintended execution of server-side code. Since restore capabilities are typically available to privileged users, exploitation requires authenticated access. Successful exploitation could result in full compromise of the Moodle server.

Gravedad CVSS v3.1: ALTA

Última modificación:

21/02/2026

CVE-2026-27532

Fecha de publicación:

21/02/2026

Idioma:

Inglés

*** Pendiente de traducción *** Rejected reason: Not used

Gravedad: Pendiente de análisis

Última modificación:

21/02/2026

CVE-2026-27533

Fecha de publicación:

21/02/2026

Idioma:

Inglés

*** Pendiente de traducción *** Rejected reason: Not used

Gravedad: Pendiente de análisis

Última modificación:

21/02/2026

CVE-2026-27534

Fecha de publicación:

21/02/2026

Idioma:

Inglés

*** Pendiente de traducción *** Rejected reason: Not used

Gravedad: Pendiente de análisis

Última modificación:

21/02/2026

CVE-2026-2860

Fecha de publicación:

21/02/2026

Idioma:

Inglés

*** Pendiente de traducción *** A security vulnerability has been detected in feng_ha_ha/megagao ssm-erp and production_ssm up to 4288d53bd35757b27f2d070057aefb2c07bdd097. Impacted is an unknown function of the file EmployeeController.java. The manipulation leads to improper authorization. It is possible to initiate the attack remotely. The exploit has been disclosed publicly and may be used. This product is using a rolling release to provide continious delivery. Therefore, no version details for affected nor updated releases are available. This product is distributed under two entirely different names. The project was informed of the problem early through an issue report but has not responded yet.

Gravedad CVSS v4.0: MEDIA

Última modificación:

21/02/2026

CVE-2026-27194

Fecha de publicación:

21/02/2026

Idioma:

Inglés

*** Pendiente de traducción *** D-Tale is a visualizer for pandas data structures. Versions prior to 3.20.0 are vulnerable to Remote Code Execution through the /save-column-filter endpoint. Users hosting D-Tale publicly can be vulnerable to remote code execution allowing attackers to run malicious code on the server. This issue has been fixed in version 3.20.0.

Gravedad CVSS v4.0: ALTA

Última modificación:

21/02/2026

CVE-2026-27196

Fecha de publicación:

21/02/2026

Idioma:

Inglés

*** Pendiente de traducción *** Statmatic is a Laravel and Git powered content management system (CMS). Versions 5.73.8 and below in addition to 6.0.0-alpha.1 through 6.3.1 have a Stored XSS vulnerability in html fieldtypes which allows authenticated users with field management permissions to inject malicious JavaScript that executes when viewed by higher-privileged users. This issue has been fixed in 6.3.2 and 5.73.9.

Gravedad CVSS v3.1: ALTA

Última modificación:

21/02/2026

CVE-2026-27197

Fecha de publicación:

21/02/2026

Idioma:

Inglés

*** Pendiente de traducción *** Sentry is a developer-first error tracking and performance monitoring tool. Versions 21.12.0 through 26.1.0 have a critical vulnerability in its SAML SSO implementation which allows an attacker to take over any user account by using a malicious SAML Identity Provider and another organization on the same Sentry instance. Self-hosted users are only at risk if the following criteria is met: ore than one organizations are configured (SENTRY_SINGLE_ORGANIZATION = True), or malicious user has existing access and permissions to modify SSO settings for another organization in a multo-organization instance. This issue has been fixed in version 26.2.0. To workaround this issue, implement user account-based two-factor authentication to prevent an attacker from being able to complete authentication with a victim&#39;s user account. Organization administrators cannot do this on a user&#39;s behalf, this requires individual users to ensure 2FA has been enabled for their account.

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

21/02/2026