Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las ultimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las ultimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las ultimas vulnerabilidades incorporadas al repositorio.

Vulnerabilidad en la función file upload del sistema de administración en baserCMS (CVE-2026-24729)

Fecha de publicación:

30/01/2026

Idioma:

Español

Una vulnerabilidad de carga irrestricta de archivos de tipo peligroso en la función de carga de archivos de las versiones de Interinfo DreamMaker anteriores al 22/10/2025 permite a atacantes remotos ejecutar comandos de sistema arbitrarios a través de un archivo de clase malicioso.

Gravedad CVSS v4.0: CRÍTICA

Última modificación:

15/04/2026

Vulnerabilidad en Cisco IoT Field Network Director (FND) (CVE-2025-15322)

Fecha de publicación:

30/01/2026

Idioma:

Español

Tanium abordó una vulnerabilidad de controles de acceso inadecuados en Tanium Server.

Gravedad CVSS v3.1: MEDIA

Última modificación:

09/03/2026

Vulnerabilidad en el parámetro dmzIp en la función mDMZSetCfg en Tenda AX3 (CVE-2026-1638)

Fecha de publicación:

30/01/2026

Idioma:

Español

Se ha descubierto una falla de seguridad en Tenda AC21 1.1.1.1/1.dmzip/16.03.08.16. El elemento afectado es la función mDMZSetCfg del archivo /goform/mDMZSetCfg. La manipulación del argumento dmzIp resulta en inyección de comandos. El ataque puede ser ejecutado remotamente. El exploit ha sido publicado y puede ser usado para ataques.

Gravedad CVSS v4.0: MEDIA

Última modificación:

09/03/2026

Vulnerabilidad en AC21 de Tenda (CVE-2026-1637)

Fecha de publicación:

29/01/2026

Idioma:

Español

Una vulnerabilidad fue identificada en Tenda AC21 16.03.08.16. El elemento afectado es la función fromAdvSetMacMtuWan del archivo /goform/AdvSetMacMtuWan. La manipulación conduce a un desbordamiento de búfer basado en pila. La explotación remota del ataque es posible. El exploit está disponible públicamente y podría ser utilizado.

Gravedad CVSS v4.0: ALTA

Última modificación:

10/02/2026

Vulnerabilidad en nvm de nvm-sh (CVE-2026-1665)

Fecha de publicación:

29/01/2026

Idioma:

Español

Una vulnerabilidad de inyección de comandos existe en nvm (Node Version Manager) versiones 0.40.3 e inferiores. La función nvm_download() utiliza eval para ejecutar comandos wget, y la variable de entorno NVM_AUTH_HEADER no fue saneada en la ruta de código de wget (aunque sí fue saneada en la ruta de código de curl). Un atacante que puede establecer variables de entorno en el entorno de shell de una víctima (por ejemplo, a través de configuraciones maliciosas de CI/CD, dotfiles comprometidos o imágenes de Docker) puede inyectar comandos de shell arbitrarios que se ejecutan cuando la víctima ejecuta comandos nvm que activan descargas, como &#39;nvm install&#39; o &#39;nvm ls-remote&#39;.

Gravedad CVSS v4.0: MEDIA

Última modificación:

15/04/2026

Vulnerabilidad en Runtipi (CVE-2026-25116)

Fecha de publicación:

29/01/2026

Idioma:

Español

Runtipi es un orquestador personal de servidor doméstico. A partir de la versión 4.5.0 y antes de la versión 4.7.2, una vulnerabilidad de salto de ruta no autenticada en el &#39;UserConfigController&#39; permite a cualquier usuario remoto sobrescribir el archivo de configuración &#39;docker-compose.yml&#39; del sistema. Al explotar el análisis URN inseguro, un atacante puede reemplazar la configuración de pila principal con una maliciosa, lo que resulta en una ejecución remota de código (RCE) completa y compromiso del sistema de archivos del host la próxima vez que el operador reinicie la instancia. La versión 4.7.2 corrige la vulnerabilidad.

Gravedad CVSS v3.1: ALTA

Última modificación:

26/02/2026

Vulnerabilidad en PolarLearn (CVE-2026-25126)

Fecha de publicación:

29/01/2026

Idioma:

Español

PolarLearn es un programa de aprendizaje gratuito y de código abierto. Antes de la versión 0-PRERELEASE-15, la ruta de la API de votación (&#39;POST /api/v1/forum/vote&#39;) confía en el valor &#39;direction&#39; del cuerpo JSON sin validación en tiempo de ejecución. Los tipos de TypeScript no se aplican en tiempo de ejecución, por lo que un atacante puede enviar cadenas arbitrarias (por ejemplo, &#39;x&#39;) como &#39;direction&#39;. En el flujo descendente (&#39;VoteServer&#39;) trata cualquier valor que no sea &#39;up&#39; y no sea &#39;null&#39; como un voto negativo y persiste el valor inválido en &#39;votes_data&#39;. Esto puede ser explotado para eludir la lógica de negocio prevista. La versión 0-PRERELEASE-15 corrige la vulnerabilidad.

Gravedad CVSS v3.1: ALTA

Última modificación:

20/02/2026

Vulnerabilidad en dojo de pwncollege (CVE-2026-25117)

Fecha de publicación:

29/01/2026

Idioma:

Español

pwn.college DOJO es una plataforma educativa para aprender ciberseguridad. Antes del commit e33da14449a5abcff507e554f66e2141d6683b0a, la falta de sandboxing en las rutas `/workspace/*` permite a los autores de desafíos inyectar javascript arbitrario que se ejecuta en el mismo origen que &#39;http[:]//dojo[.]website&#39;. Esto es un escape de sandbox que lleva a la ejecución arbitraria de javascript como el origen del dojo. Un autor de desafíos puede crear una página que ejecute cualquier acción peligrosa que el usuario podría. La versión e33da14449a5abcff507e554f66e2141d6683b0a soluciona el problema.

Gravedad CVSS v4.0: ALTA

Última modificación:

15/04/2026

Vulnerabilidad en WebKit en Apple Safari (CVE-2026-25047)

Fecha de publicación:

29/01/2026

Idioma:

Español

deepHas proporciona una prueba para la existencia de una clave de objeto anidado y opcionalmente devuelve esa clave. Existe una vulnerabilidad de contaminación de prototipos en la versión 1.0.7 del paquete npm deephas que permite a un atacante modificar el comportamiento de objetos globales. Este problema fue solucionado en la versión 1.0.8.

Gravedad CVSS v4.0: CRÍTICA

Última modificación:

25/02/2026

Vulnerabilidad en la función xbuf_format_converter en HHVM (CVE-2026-25061)

Fecha de publicación:

29/01/2026

Idioma:

Español

tcpflow es un demultiplexador de paquetes TCP/IP. En versiones hasta la 1.61 inclusive, wifipcap analiza los elementos de tramas de gestión 802.11 y realiza una comprobación de longitud en el campo incorrecto al manejar el elemento TIM. Una trama manipulada con una longitud TIM grande puede causar una escritura fuera de límites de 1 byte más allá de &#39;tim.bitmap[251]&#39;. El desbordamiento es pequeño y DoS es el impacto probable; la ejecución de código es potencial, pero aún está en el aire. La estructura afectada está asignada en la pila en &#39;handle_beacon()&#39; y controladores relacionados. En el momento de la publicación, no hay parches conocidos disponibles.

Gravedad CVSS v4.0: MEDIA

Última modificación:

25/02/2026

Vulnerabilidad en los Módulos de CPU de PLC CLICK de Automation Direct (CVE-2026-25040)

Fecha de publicación:

29/01/2026

Idioma:

Español

Budibase es una plataforma de bajo código para crear herramientas internas, flujos de trabajo y paneles de administración. En versiones hasta la 3.26.3 inclusive, un usuario con nivel de Creador, quien normalmente no tiene permiso en la interfaz de usuario (UI) para invitar usuarios, puede manipular solicitudes de API para invitar a nuevos usuarios con cualquier rol, incluyendo Administrador, Creador o Visor de Aplicaciones, y asignarlos a cualquier grupo de la organización. Esto permite una escalada de privilegios completa, eludiendo las restricciones de la interfaz de usuario (UI), y puede llevar a una toma de control completa del espacio de trabajo o la organización. Al momento de la publicación, no hay versiones corregidas conocidas disponibles.

Gravedad CVSS v4.0: MEDIA

Última modificación:

03/03/2026

Vulnerabilidad en TrustTunnel (CVE-2026-24904)

Fecha de publicación:

29/01/2026

Idioma:

Español

TrustTunnel es un protocolo VPN de código abierto con un problema de omisión de reglas en versiones anteriores a la 0.9.115. En `tls_listener.rs`, `TlsListener::listen()` examina 1024 bytes y llama a `extract_client_random(...)`. Si `parse_tls_plaintext` falla (por ejemplo, un ClientHello fragmentado/parcial dividido en varias escrituras TCP), `extract_client_random` devuelve `None`. En `rules.rs`, `RulesEngine::evaluate` solo evalúa `client_random_prefix` cuando `client_random` es `Some(...)`. Como resultado, cuando la extracción falla (`client_random == None`), cualquier regla que dependa de la coincidencia de `client_random_prefix` se omite y la evaluación pasa a reglas posteriores. Como una nota semántica importante: `client_random_prefix` es solo una condición de coincidencia. No significa &#39;bloquear prefijos no coincidentes&#39; por sí mismo. Una regla con `client_random_prefix = ...` activa su `acción` solo cuando el prefijo coincide (y el campo está disponible para evaluar). Las no-coincidencias (o `None`) simplemente no coinciden con esa regla y continúan pasando. La vulnerabilidad está corregida en la versión 0.9.115.

Gravedad CVSS v3.1: MEDIA

Última modificación:

20/02/2026

Suscribirse a Vulnerabilidades