Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las últimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las últimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las últimas vulnerabilidades incorporadas al repositorio.

Vulnerabilidad en Rack (CVE-2026-25500)

Fecha de publicación:

18/02/2026

Idioma:

Español

Rack es una interfaz modular para servidores web Ruby. Antes de las versiones 2.2.22, 3.1.20 y 3.2.5, `Rack::Directory` generaba un índice de directorio HTML en el que cada entrada de archivo se representaba como un enlace en el que se podía hacer clic. Si existe un archivo en el disco cuyo nombre base comienza con el esquema `javascript:` (por ejemplo, `javascript:alert(1)`), el índice generado contiene un ancla cuyo `href` es exactamente `javascript:alert(1)`. Al hacer clic en la entrada, se ejecuta JavaScript en el navegador (demostrado con `alert(1)`). Las versiones 2.2.22, 3.1.20 y 3.2.5 corrigen el problema.

Gravedad CVSS v3.1: MEDIA

Última modificación:

19/02/2026

Vulnerabilidad en Squirrel (CVE-2026-2661)

Fecha de publicación:

18/02/2026

Idioma:

Español

Se ha descubierto una falla de seguridad en Squirrel hasta 3.2. Esto afecta a la función SQObjectPtr::operator en la biblioteca squirrel/sqobject.h. Su manipulación resulta en un desbordamiento de búfer basado en montículo. El ataque necesita ser abordado localmente. El exploit ha sido liberado al público y puede ser utilizado para ataques. Se informó pronto al proyecto del problema a través de un informe de incidencias, pero no ha respondido aún.

Gravedad CVSS v4.0: BAJA

Última modificación:

29/04/2026

Vulnerabilidad en FascinatedBox lily (CVE-2026-2662)

Fecha de publicación:

18/02/2026

Idioma:

Español

Se ha identificado una debilidad en FascinatedBox lily hasta la versión 2.3. Esta vulnerabilidad afecta la función count_transforms del archivo src/lily_emitter.c. Esta manipulación causa una lectura fuera de límites. El ataque solo puede ejecutarse localmente. El exploit se ha puesto a disposición del público y podría usarse para ataques. El proyecto fue informado del problema tempranamente a través de un informe de problema, pero aún no ha respondido.

Gravedad CVSS v4.0: BAJA

Última modificación:

29/04/2026

Vulnerabilidad en Alixhan xh-admin-backend (CVE-2026-2663)

Fecha de publicación:

18/02/2026

Idioma:

Español

Se ha detectado una vulnerabilidad de seguridad en Alixhan xh-admin-backend hasta la versión 1.7.0. Este problema afecta a un procesamiento desconocido del archivo /frontend-api/system-service/api/system/role/query del componente Manejador de Consultas de Base de Datos. Dicha manipulación del argumento prop conduce a una inyección SQL. Es posible lanzar el ataque de forma remota. El exploit ha sido divulgado públicamente y puede ser utilizado. Se contactó pronto con el proveedor sobre esta divulgación pero no respondió de ninguna manera.

Gravedad CVSS v4.0: BAJA

Última modificación:

29/04/2026

Vulnerabilidad en método get_file en InvoicePlane (CVE-2026-23491)

Fecha de publicación:

18/02/2026

Idioma:

Español

InvoicePlane es una aplicación de código abierto autoalojada para gestionar facturas, clientes y pagos. Existe una vulnerabilidad de salto de ruta en el método &#39;get_file&#39; del controlador &#39;Get&#39; del módulo &#39;Guest&#39; en InvoicePlane hasta la versión 1.6.3 inclusive. La vulnerabilidad permite a atacantes no autenticados leer archivos arbitrarios en el servidor manipulando el nombre de archivo de entrada. Esto lleva a la divulgación de información sensible, incluyendo archivos de configuración con credenciales de base de datos. La versión 1.6.4 soluciona el problema.

Gravedad CVSS v4.0: CRÍTICA

Última modificación:

25/02/2026

Vulnerabilidad en archivos CATPART en Autodesk (CVE-2026-0874)

Fecha de publicación:

18/02/2026

Idioma:

Español

Un archivo CATPART creado maliciosamente, cuando es analizado por ciertos productos de Autodesk, puede forzar una vulnerabilidad de escritura fuera de límites. Un actor malicioso puede aprovechar esta vulnerabilidad para provocar un fallo, provocar corrupción de datos o ejecutar código arbitrario en el contexto del proceso actual.

Gravedad CVSS v3.1: ALTA

Última modificación:

20/02/2026

Vulnerabilidad en archivos MODEL en productos Autodesk (CVE-2026-0875)

Fecha de publicación:

18/02/2026

Idioma:

Español

Un archivo MODEL creado maliciosamente, cuando es analizado por ciertos productos de Autodesk, puede forzar una vulnerabilidad de escritura fuera de límites. Un actor malicioso puede aprovechar esta vulnerabilidad para causar un fallo, causar corrupción de datos o ejecutar código arbitrario en el contexto del proceso actual.

Gravedad CVSS v3.1: ALTA

Última modificación:

20/02/2026

Vulnerabilidad en FascinatedBox lily (CVE-2026-2660)

Fecha de publicación:

18/02/2026

Idioma:

Español

Se ha encontrado una vulnerabilidad en FascinatedBox lily hasta la versión 2.3. Este problema afecta a la función shorthash_for_name del archivo src/lily_symtab.c. Si se explota se provoca un uso después de la liberación. Se requiere acceso local para llevar a cabo este ataque. El exploit está disponible públicamente y podría ser utilizado. Se informó al proyecto del problema con antelación, a través de un informe de incidencia pero aún no ha respondido.

Gravedad CVSS v4.0: BAJA

Última modificación:

29/04/2026

Vulnerabilidad en Rack::Directory en Rack (CVE-2026-22860)

Fecha de publicación:

18/02/2026

Idioma:

Español

Rack es una interfaz modular de servidor web Ruby. Antes de las versiones 2.2.22, 3.1.20 y 3.2.5, la verificación de ruta de &#39;Rack::Directory&#39; utilizaba una coincidencia de prefijo de cadena en la ruta expandida. Una solicitud como &#39;/../root_example/&#39; puede escapar de la raíz configurada si la ruta de destino comienza con la cadena raíz, permitiendo la enumeración de directorios fuera de la raíz prevista. Las versiones 2.2.22, 3.1.20 y 3.2.5 solucionan el problema.

Gravedad CVSS v3.1: ALTA

Última modificación:

19/02/2026

Vulnerabilidad en PHPGurukul Hospital Management System (CVE-2025-70062)

Fecha de publicación:

18/02/2026

Idioma:

Español

PHPGurukul Hospital Management System v4.0 contiene una vulnerabilidad de falsificación de petición en sitios cruzados (CSRF) en el módulo &#39;Add Doctor&#39;. La aplicación no aplica la validación de tokens CSRF en el endpoint add-doctor.php. Esto permite a atacantes remotos crear cuentas de Doctor arbitrarias (usuarios privilegiados) engañando a un administrador autenticado para que visite una página maliciosa.

Gravedad CVSS v3.1: MEDIA

Última modificación:

23/02/2026

Vulnerabilidad en PHPGurukul Hospital Management System (CVE-2025-70064)

Fecha de publicación:

18/02/2026

Idioma:

Español

PHPGurukul Hospital Management System v4.0 contiene una vulnerabilidad de escalada de privilegios. Un usuario con pocos privilegios (Paciente) puede acceder directamente al Panel de Administrador y a todos los submódulos (p. ej., Registros de Usuario, Gestión de Médicos) navegando manualmente al directorio /admin/ después de la autenticación. Esto permite a cualquier usuario autorregistrado tomar el control de la aplicación, ver registros confidenciales y modificar datos del sistema.

Gravedad CVSS v3.1: ALTA

Última modificación:

23/02/2026

Vulnerabilidad en historial médico en PHPGurukul Hospital Management System (CVE-2025-70063)

Fecha de publicación:

18/02/2026

Idioma:

Español

El módulo &#39;Medical History&#39; en PHPGurukul Hospital Management System v4.0 contiene una vulnerabilidad de Referencia Directa Insegura a Objeto (IDOR). La aplicación no verifica que el parámetro &#39;viewid&#39; solicitado pertenezca al paciente actualmente autenticado. Esto permite a un usuario acceder a los registros médicos confidenciales de otros pacientes al iterar el entero &#39;viewid&#39;.

Gravedad CVSS v3.1: MEDIA

Última modificación:

26/02/2026

Suscribirse a Vulnerabilidades