Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las últimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las últimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las últimas vulnerabilidades incorporadas al repositorio.

Vulnerabilidad en openSeaChest para Seagate (CVE-2026-10717)

Fecha de publicación:

02/06/2026

Idioma:

Español

Escrituras y lecturas fuera de límites en el argumento --showSCSIDefects de openSeaChest en openSeaChest v25.05.3 de Seagate en todas las plataformas compatibles permite la escritura de información de defectos fuera de límites para listas de defectos muy grandes a través de una unidad muy defectuosa con muchos defectos o la longitud de respuesta de defectos de un dispositivo SCSI maliciosamente diseñado.

Gravedad CVSS v4.0: BAJA

Última modificación:

22/07/2026

Vulnerabilidad en Docker Desktop (CVE-2026-8936)

Fecha de publicación:

02/06/2026

Idioma:

Español

Se corrigió un pánico de VM causado por recursión ilimitada en el módulo del kernel grpcfuse cuando un contenedor creó directorios profundamente anidados en una carpeta de host montada por enlace y desencadenó un evento de invalidación de dentry. Este problema se ha solucionado en Docker Desktop 4.76.0.

Gravedad CVSS v4.0: ALTA

Última modificación:

22/07/2026

CVE-2026-42029

Fecha de publicación:

02/06/2026

Idioma:

Inglés

*** Pendiente de traducción *** Rejected reason: This CVE is a duplicate of another CVE.

Gravedad: Pendiente de análisis

Última modificación:

02/06/2026

Vulnerabilidad en libwebsockets de warmcat (CVE-2026-10650)

Fecha de publicación:

02/06/2026

Idioma:

Español

Se ha encontrado una vulnerabilidad en warmcat libwebsockets hasta la versión 4.5.8. Este problema afecta a la función lws_ssh_parse_plaintext del archivo plugins/protocol_lws_ssh_base/sshd.c del componente Gestor de Protocolo SSH. La ejecución de una manipulación del argumento msg_len puede llevar a un consumo de recursos. El ataque puede lanzarse de forma remota. El exploit ha sido publicado y puede ser utilizado. Este parche se llama 3f9f0c6ecaf0e6f3f219d30632c5d1f2479d7498. Se debe aplicar un parche para remediar este problema.

Gravedad CVSS v4.0: MEDIA

Última modificación:

22/07/2026

Vulnerabilidad en blender-mcp de ahujasid (CVE-2026-10661)

Fecha de publicación:

02/06/2026

Idioma:

Español

Se ha encontrado una vulnerabilidad en ahujasid blender-mcp hasta 7636d13bded82eca58eb93c3f4cd8708dfdfbe8b. La función Open del archivo src/blender_mcp/server.py está afectada. La manipulación del argumento input_image_url conduce a la inyección. La explotación remota del ataque es posible. El exploit ha sido divulgado al público y puede ser utilizado. Este producto sigue un enfoque de lanzamiento continuo para la entrega continua, por lo que no se proporcionan detalles de la versión para las versiones afectadas o actualizadas. El identificador del parche es 5b37be25242e73dc4cf1328974d30458b9e5d67e. Para solucionar este problema, se recomienda desplegar un parche.

Gravedad CVSS v4.0: BAJA

Última modificación:

22/07/2026

Vulnerabilidad en opencti de OpenCTI-Platform (CVE-2026-35212)

Fecha de publicación:

02/06/2026

Idioma:

Español

OpenCTI es una plataforma de código abierto para gestionar el conocimiento y los observables de inteligencia de ciberamenazas. Las versiones anteriores a la 7.260227.0 son vulnerables a XSS en la representación de los datos del cuerpo de los observables de mensajes de correo electrónico. El contenido del campo del cuerpo no se sanea adecuadamente al ser representado. Requiere interacción del usuario, pero podría ser explotado por alguien que comparta stix o cualquiera de los ingester. Esto podría conducir a CSRF y luego a un robo de sesión a gran escala. La versión 7.260227.0 contiene una corrección.

Gravedad CVSS v4.0: MEDIA

Última modificación:

22/07/2026

Vulnerabilidad en Protector Software de Dräger (CVE-2021-4481)

Fecha de publicación:

02/06/2026

Idioma:

Español

El software Dräger Protector anterior a la versión 6.4.2 contiene una vulnerabilidad de escalada de privilegios local debido a permisos de sistema de archivos inseguros que permite a atacantes locales ejecutar código arbitrario con privilegios elevados. Los atacantes pueden reemplazar binarios o módulos cargados en el sistema anfitrión para ejecutar código con privilegios de NT SYSTEM.

Gravedad CVSS v4.0: ALTA

Última modificación:

22/07/2026

Vulnerabilidad en Infinity de Dräger (CVE-2022-4992)

Fecha de publicación:

02/06/2026

Idioma:

Español

Dräger Infinity Acute Care System y monitores de paciente Standalone Infinity M540 versiones VG4.1.1, VG4.0.3, e inferiores (con VG4.2 parcialmente afectado) contienen una vulnerabilidad en el manejo de mensajes de red que permite a atacantes remotos inyectar datos falsificados o manipulados y causar condiciones de denegación de servicio. Los atacantes pueden comprometer las comunicaciones de red para modificar la configuración del dispositivo, como los estados de alarma o los límites de alarma, o sobrecargar el sistema con tráfico de red excesivo, lo que provoca que el Cockpit o el M540 se reinicien y pierdan la funcionalidad de red.

Gravedad CVSS v4.0: ALTA

Última modificación:

22/07/2026

Vulnerabilidad en Core de Dräger (CVE-2024-14036)

Fecha de publicación:

02/06/2026

Idioma:

Español

Dräger Core 1.0.5 y Dräger M540 Converter Service 1.0.9 contienen una vulnerabilidad de denegación de servicio que permite a atacantes adyacentes a la red desencadenar una alta carga de CPU enviando mensajes SDC especialmente diseñados y sin cifrar durante el proceso de descubrimiento. Atacantes con acceso a la red del hospital pueden enviar paquetes SDC malformados para agotar los recursos de CPU en el proceso afectado, provocando que los mensajes SDC posteriores dejen de procesarse.

Gravedad CVSS v4.0: ALTA

Última modificación:

22/07/2026

Vulnerabilidad en Zeus de Dräger (CVE-2025-15653)

Fecha de publicación:

02/06/2026

Idioma:

Español

Las estaciones de trabajo de anestesia Dräger Zeus Infinity Empowered (Zeus IE) y Zeus RS C500 contienen una vulnerabilidad de seguridad local que permite a individuos no autorizados con acceso físico comprometer la integridad del software mediante la manipulación de la interfaz USB. Los atacantes pueden explotar las interfaces USB desprotegidas para afectar las funciones de terapia, manipular los datos procesados por el dispositivo o utilizar el dispositivo como punto de pivote para ataques basados en la red más amplios cuando está conectado a una red o a Dräger Service Connect.

Gravedad CVSS v4.0: ALTA

Última modificación:

22/07/2026

Vulnerabilidad en Protector Software de Dräger (CVE-2021-4480)

Fecha de publicación:

02/06/2026

Idioma:

Español

Dräger Protector Software anterior a la versión 6.4.2 contiene una vulnerabilidad de escalada de privilegios local debido a permisos de sistema de archivos inseguros que permite a atacantes locales ejecutar código arbitrario con privilegios elevados. Los atacantes pueden reemplazar binarios o módulos cargados en el sistema anfitrión para ejecutar código con privilegios de NT SYSTEM.

Gravedad CVSS v4.0: ALTA

Última modificación:

22/07/2026

Vulnerabilidad en BrowserStack Runner de browserstack (CVE-2026-49143)

Fecha de publicación:

02/06/2026

Idioma:

Español

BrowserStack Runner hasta la versión 0.9.5 contiene una vulnerabilidad de ejecución remota de código en el gestor HTTP /_log que permite a atacantes adyacentes a la red sin autenticación ejecutar código arbitrario al enviar cuerpos de solicitud JSON manipulados al gestor, el cual pasa datos proporcionados por el usuario a vm.runInNewContext() combinado con eval(). Los atacantes pueden escapar del sandbox vm de Node.js aprovechando una referencia de función de contexto de host a través de util.format para acceder al proceso del host a través de this.constructor.constructor, logrando una ejecución remota de código completa en el sistema subyacente sin autenticación alguna.

Gravedad CVSS v4.0: ALTA

Última modificación:

22/07/2026

Suscribirse a Vulnerabilidades