Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las últimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las últimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las últimas vulnerabilidades incorporadas al repositorio.

Vulnerabilidad en AIOHTTP de aio-libs (CVE-2026-47265)

Fecha de publicación:

02/06/2026

Idioma:

Español

AIOHTTP es un framework cliente/servidor HTTP asíncrono para asyncio y Python. Antes de la versión 3.14.0, las cookies establecidas con el parámetro &#39;cookies&#39; en las solicitudes se envían después de seguir una redirección de origen cruzado. Si un desarrollador utiliza el parámetro &#39;cookies&#39; por solicitud, entonces datos sensibles podrían filtrarse a un atacante si este logra controlar una redirección. La versión 3.14.0 corrige el problema. Si no es posible actualizar, usar un encabezado &#39;Cookie&#39; en el parámetro &#39;headers&#39; no es vulnerable.

Gravedad CVSS v4.0: MEDIA

Última modificación:

21/07/2026

Vulnerabilidad en React Router para React (CVE-2026-42211)

Fecha de publicación:

02/06/2026

Idioma:

Español

React Router es un router para React. En las versiones 7.0.0 a 7.14.1, al usar el Framework Mode, una combinación de pasos podría potencialmente permitir la ejecución remota de código (RCE) no autorizada a través de solicitudes externas. Este ataque requiere que el código de la aplicación tenga una vulnerabilidad de contaminación de prototipos existente, la cual puede ser aprovechada en un ataque de 2 pasos donde el segundo paso desencadena RCE no autorizada en el servidor remoto. Esto no tiene impacto en aplicaciones que usan Declarative Mode (&#39; BrowserRouter &#39;) o Data Mode (&#39;createBrowserRouter/ RouterProvider &#39;). Esto está parcheado en la versión 7.14.2.

Gravedad CVSS v3.1: ALTA

Última modificación:

21/07/2026

Vulnerabilidad en react-router y @remix-run/server-runtime de React (CVE-2026-42342)

Fecha de publicación:

02/06/2026

Idioma:

Español

React Router es un router para React. En las versiones 7.0.0 a 7.14.x de react-router y las versiones 2.10.0 a 2.17.4 de @remix-run/server-runtime, ciertas solicitudes especialmente diseñadas pueden consumir recursos desproporcionados del servidor a través de una expansión de ruta ilimitada en el endpoint __manifest, lo que resulta en una degradación del tiempo de respuesta y/o indisponibilidad del servicio para los usuarios finales. Esto afecta a las aplicaciones en modo Framework de React Router, así como a las aplicaciones Remix. Esto no tiene impacto en las aplicaciones que utilizan el Modo Declarativo (&#39;&#39;) o el Modo de Datos (&#39;createBrowserRouter/&#39;). Esto se ha parcheado en la versión 7.15.0 de react-router y en la versión 2.17.5 de @remix-run/server-runtime.

Gravedad CVSS v3.1: ALTA

Última modificación:

21/07/2026

Vulnerabilidad en authentik de goauthentik (CVE-2026-41577)

Fecha de publicación:

02/06/2026

Idioma:

Español

authentik es un proveedor de identidad de código abierto. Antes de las versiones 2025.12.5 y 2026.2.3, el procesador de respuesta de origen SAML (ResponseProcessor.parse()) no valida el elemento Conditions en las aserciones. NotBefore, NotOnOrAfter y AudienceRestriction se ignoran todos. Esto permite la reproducción de aserciones caducadas y la aceptación de aserciones destinadas a otros proveedores de servicios. Este problema ha sido parcheado en las versiones 2025.12.5 y 2026.2.3.

Gravedad CVSS v4.0: MEDIA

Última modificación:

22/07/2026

Vulnerabilidad en wire-ios de wireapp (CVE-2026-35049)

Fecha de publicación:

02/06/2026

Idioma:

Español

wire-ios es un cliente de iOS para la aplicación de mensajería segura Wire. Antes de la versión 4.16.0, al recibir un mensaje externo Proteus malicioso y manipulado con una carga útil cifrada que es más corta de 16 bytes, el cliente de iOS de Wire falla. El fallo se activa automáticamente después de la recepción del mensaje sin interacción del usuario. Dado que el mensaje malicioso persiste en la conversación, la aplicación entra en un bucle de fallos al reiniciar y no puede ser reabierta hasta que se borre el estado local. Este problema ha sido solucionado con la versión 4.16.0, que introduce la comprobación de longitud faltante y está disponible a través de la App Store. No se conocen soluciones alternativas disponibles.

Gravedad CVSS v3.1: MEDIA

Última modificación:

22/07/2026

Vulnerabilidad en Panel de Pterodactyl (CVE-2026-35202)

Fecha de publicación:

02/06/2026

Idioma:

Español

Pterodactyl es un panel de gestión de servidor de juegos gratuito y de código abierto. Antes de la versión 1.12.3, la API de cliente de Pterodactyl tiene un fallo lógico que permite a los usuarios eludir sus límites asignados para asignaciones de base de datos. Esto ocurre porque el mecanismo de bloqueo de la base de datos utilizado en los controladores está totalmente roto y en realidad no bloquea nada. La versión 1.12.3 corrige el problema.

Gravedad CVSS v4.0: BAJA

Última modificación:

22/07/2026

Vulnerabilidad en CrowCpp Crow (CVE-2026-38967)

Fecha de publicación:

02/06/2026

Idioma:

Español

CrowCpp Crow hasta la v1.3.1 HTTP es vulnerable a la inyección de encabezado de respuesta a través de valores de encabezado de respuesta no validados.

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

22/07/2026

Vulnerabilidad en React Router para React (CVE-2026-40181)

Fecha de publicación:

02/06/2026

Idioma:

Español

React Router es un router para React. En las versiones 7.0.0 a 7.14.0 y 6.7.0 a 6.30.3, ciertas URL pasadas a la función de redirección pueden desencadenar una redirección abierta a un dominio externo debido a que los valores de ruta que comienzan con // son reinterpretados como URL relativas al protocolo. El nivel de impacto depende de la validación realizada por la aplicación antes de devolver la redirección. Esto no impacta a las aplicaciones que usan el Modo Declarativo (). Esto está parcheado en las versiones 7.14.1 y 6.30.4.

Gravedad CVSS v4.0: MEDIA

Última modificación:

22/07/2026

Vulnerabilidad en Memos de usememos (CVE-2026-30586)

Fecha de publicación:

02/06/2026

Idioma:

Español

Vulnerabilidad de Cross Site Scripting en usememos Memos v.0.26.0 permite a un atacante remoto obtener información sensible a través de las páginas SANITIZE_SCHEMA, Memo Rendering Component y Public/Private Memo View.

Gravedad CVSS v3.1: MEDIA

Última modificación:

22/07/2026

Vulnerabilidad en React Router para React (CVE-2026-33245)

Fecha de publicación:

02/06/2026

Idioma:

Español

React Router es un router para React. En las versiones 7.7.0 a la 7.13.1, al usar las API inestables de React Server Components (RSC) de React Router, existe una potencial vulnerabilidad de Cross-Site Scripting (XSS) del lado del cliente en el manejo de redirecciones de RSC si las redirecciones provienen de fuentes no confiables. Esto no tiene impacto en las aplicaciones que no están usando las API inestables de RSC en React Router. Esto está parcheado en la versión 7.13.2.

Gravedad CVSS v3.1: ALTA

Última modificación:

22/07/2026