Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las ultimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las ultimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las ultimas vulnerabilidades incorporadas al repositorio.

Vulnerabilidad en Log Reporter de Intego (CVE-2026-26224)

Fecha de publicación:
12/02/2026
Idioma:
Español
Intego Log Reporter, una utilidad de diagnóstico de macOS incluida con los productos de seguridad de Intego que recopila registros del sistema y de aplicaciones para análisis de soporte, contiene una vulnerabilidad de escalada de privilegios local. Un script de diagnóstico ejecutado como root crea y escribe archivos en /tmp sin aplicar un manejo seguro del directorio, introduciendo una condición de carrera de tiempo de verificación a tiempo de uso (TOCTOU). Un usuario local sin privilegios puede explotar una condición de carrera basada en symlink para causar escrituras de archivos arbitrarias en ubicaciones privilegiadas del sistema, lo que resulta en una escalada de privilegios a root.
Gravedad CVSS v4.0: ALTA
Última modificación:
15/04/2026

Vulnerabilidad en Personal Backup de Intego (CVE-2026-26225)

Fecha de publicación:
12/02/2026
Idioma:
Español
Intego Personal Backup, una utilidad de copia de seguridad de macOS que permite a los usuarios crear copias de seguridad programadas y clones de sistema arrancables, contiene una vulnerabilidad de escalada de privilegios local. Las definiciones de tareas de copia de seguridad se almacenan en una ubicación escribible por usuarios no privilegiados mientras se procesan con privilegios elevados. Al crear un archivo de tarea serializado malicioso, un atacante local puede desencadenar escrituras de archivos arbitrarias en ubicaciones sensibles del sistema, lo que lleva a la escalada de privilegios a root.
Gravedad CVSS v4.0: ALTA
Última modificación:
15/04/2026

Vulnerabilidad en ntpd-rs (CVE-2026-26076)

Fecha de publicación:
12/02/2026
Idioma:
Español
ntpd-rs es una implementación completa del Protocolo de Tiempo de Red. Antes de la versión 1.7.1, un atacante puede inducir remotamente aumentos moderados (2-4 veces por encima de lo normal) en el uso de la CPU. Cuando NTS está habilitado en un servidor ntpd-rs, un atacante puede crear paquetes NTS malformados que requieren un esfuerzo significativamente mayor para que el servidor responda al solicitar un gran número de cookies. Esto puede llevar a una degradación del rendimiento del servidor incluso cuando un servidor podría manejar la carga de otra manera. Esta vulnerabilidad está corregida en la versión 1.7.1.
Gravedad CVSS v4.0: MEDIA
Última modificación:
23/02/2026

Vulnerabilidad en FastGPT (CVE-2026-26075)

Fecha de publicación:
12/02/2026
Idioma:
Español
FastGPT es una plataforma de creación de Agentes de IA. Debido a que los nodos de adquisición de páginas web de FastGPT, los nodos HTTP, etc., necesitan iniciar solicitudes de adquisición de datos desde el servidor, existen ciertos problemas de seguridad. Además de implementar el aislamiento de red interno en el entorno de despliegue, esta optimización ha añadido una detección más estricta de direcciones de red internas. Esta vulnerabilidad se corrige en 4.14.7.
Gravedad CVSS v4.0: MEDIA
Última modificación:
23/02/2026

Vulnerabilidad en scraparr (CVE-2026-26069)

Fecha de publicación:
12/02/2026
Idioma:
Español
Scraparr es un Prometheus Exporter para varios componentes de la *arr Suite. Desde la 3.0.0-beta hasta antes de la 3.0.2, cuando la integración de Readarr estaba habilitada, el exportador exponía la clave API de Readarr configurada como el valor de la etiqueta de métrica de alias. Los usuarios se veían afectados solo si se cumplían todas las siguientes condiciones, la función de scraping de Readarr estaba habilitada y no se había configurado ningún alias, el endpoint /metrics del exportador era accesible para usuarios externos o no autorizados, y la instancia de Readarr es accesible externamente. Si el endpoint /metrics era públicamente accesible, la clave API de Readarr podría haber sido divulgada a través de los datos de métricas exportados. Esta vulnerabilidad está corregida en la 3.0.2.
Gravedad CVSS v4.0: CRÍTICA
Última modificación:
23/02/2026

Vulnerabilidad en emp3r0r de jm33-m0 (CVE-2026-26068)

Fecha de publicación:
12/02/2026
Idioma:
Español
emp3r0r es un C2 centrado en el sigilo, diseñado por usuarios de Linux para entornos Linux. Antes de la versión 3.21.1, los metadatos no confiables del agente (Transport, Hostname) eran aceptados durante el registro (check-in) y posteriormente interpolados en cadenas de comandos de shell de tmux ejecutadas a través de /bin/sh -c. Esto permite la inyección de comandos y la ejecución remota de código en el host del operador. Esta vulnerabilidad está corregida en la versión 3.21.1.
Gravedad CVSS v4.0: CRÍTICA
Última modificación:
25/02/2026

Vulnerabilidad en Yoke de yokecd (CVE-2026-26056)

Fecha de publicación:
12/02/2026
Idioma:
Español
Yoke es un desplegador de paquetes de infraestructura como código (IaC) inspirado en Helm. En la versión 0.19.0 y anteriores, existe una vulnerabilidad en el componente Air Traffic Controller (ATC) de Yoke. Permite a los usuarios con permisos de creación/actualización de CR ejecutar código WASM arbitrario en el contexto del controlador ATC inyectando una URL maliciosa a través de la anotación overrides.yoke.cd/flight. El controlador ATC descarga y ejecuta el módulo WASM sin una validación de URL adecuada, lo que permite a los atacantes crear recursos arbitrarios de Kubernetes o potencialmente escalar privilegios a nivel de cluster-admin.
Gravedad CVSS v3.1: ALTA
Última modificación:
01/04/2026

Vulnerabilidad en Yoke de yokecd (CVE-2026-26055)

Fecha de publicación:
12/02/2026
Idioma:
Español
Yoke es un desplegador de paquetes de infraestructura como código (IaC) inspirado en Helm. En la versión 0.19.0 y anteriores, existe una vulnerabilidad en el componente Air Traffic Controller (ATC) de Yoke. Los puntos finales del webhook de ATC carecen de mecanismos de autenticación adecuados, lo que permite que cualquier pod dentro de la red del clúster envíe directamente solicitudes de AdmissionReview al webhook, eludiendo la autenticación del Kubernetes API Server. Esto permite a los atacantes activar la ejecución de módulos WASM en el contexto del controlador ATC sin la autorización adecuada.
Gravedad CVSS v3.1: ALTA
Última modificación:
01/04/2026

Vulnerabilidad en grub-btrfs (CVE-2026-25828)

Fecha de publicación:
12/02/2026
Idioma:
Español
grub-btrfs hasta el 31-01-2026 (en Arch Linux y distribuciones derivadas) permite la inyección de comandos del sistema operativo en initramfs porque no sanea el parámetro $root de resolve_device().
Gravedad CVSS v3.1: MEDIA
Última modificación:
15/04/2026

Vulnerabilidad en Airleader Master (CVE-2026-1358)

Fecha de publicación:
12/02/2026
Idioma:
Español
Airleader Master versiones 6.381 y anteriores permiten la carga de archivos sin restricción a múltiples páginas web ejecutándose con privilegios máximos. Esto podría permitir a un usuario no autenticado obtener potencialmente la ejecución remota de código en el servidor.
Gravedad CVSS v4.0: CRÍTICA
Última modificación:
15/04/2026

Vulnerabilidad en Dropbear (CVE-2025-14282)

Fecha de publicación:
12/02/2026
Idioma:
Español
Se encontró una vulnerabilidad en Dropbear. Cuando se ejecuta en modo multiusuario y autentica usuarios, el servidor ssh dropbear realiza los reenvíos de sockets solicitados por el cliente remoto como root, cambiando al usuario autenticado solo al generar un shell o al realizar algunas operaciones como leer los archivos del usuario. Con la capacidad reciente de también usar sockets de dominio unix como destino de reenvío, cualquier usuario capaz de iniciar sesión a través de ssh puede conectarse a cualquier socket unix con las credenciales de root, eludiendo tanto las restricciones del sistema de archivos como cualquier verificación SO_PEERCRED / SO_PASSCRED realizada por el par.
Gravedad CVSS v3.1: MEDIA
Última modificación:
15/04/2026

Vulnerabilidad en lty628 aidigu (CVE-2025-70845)

Fecha de publicación:
12/02/2026
Idioma:
Español
lty628 aidigu v1.9.1 es vulnerable a Cross Site Scripting (XSS) que existe en la página /setting/ donde el campo 'intro' no está correctamente saneado o escapado.
Gravedad CVSS v3.1: MEDIA
Última modificación:
15/04/2026