Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las últimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las últimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las últimas vulnerabilidades incorporadas al repositorio.

Vulnerabilidad en OpenClaw (CVE-2026-27004)

Fecha de publicación:

20/02/2026

Idioma:

Español

OpenClaw es un asistente personal de IA. Antes de la versión 2026.2.15, en algunas implementaciones de agente compartido, las herramientas de sesión de OpenClaw (&#39;sessions_list&#39;, &#39;sessions_history&#39;, &#39;sessions_send&#39;) permitían una segmentación de sesión más amplia de lo que algunos operadores pretendían. Esto es principalmente un problema de configuración/alcance de visibilidad en entornos multiusuario donde los pares no son igualmente confiables. En modo webhook de Telegram, el inicio del monitor tampoco recurría al &#39;webhookSecret&#39; por cuenta cuando solo se configuraba el secreto a nivel de cuenta. En entornos de agente compartido, multiusuario y menos confiables: el acceso a las herramientas de sesión podría exponer el contenido de la transcripción a través de sesiones de pares. En entornos de agente único o confiables, el impacto práctico es limitado. En modo webhook de Telegram, la conexión del secreto a nivel de cuenta podría pasarse por alto a menos que se proporcionara una anulación explícita del secreto del webhook del monitor. La versión 2026.2.15 corrige el problema.

Gravedad CVSS v4.0: MEDIA

Última modificación:

20/02/2026

Vulnerabilidad en OpenClaw (CVE-2026-27007)

Fecha de publicación:

20/02/2026

Idioma:

Español

OpenClaw es un asistente personal de IA. Antes de la versión 2026.2.15, &#39;normalizeForHash&#39; en &#39;src/agents/sandbox/config-hash.ts&#39; ordenaba recursivamente los arrays que contenían solo valores primitivos. Esto hacía que los arrays de configuración de la sandbox sensibles al orden se hashificaran al mismo valor incluso cuando el orden cambiaba. En los flujos de la sandbox de OpenClaw, este hash se utiliza para decidir si los contenedores de la sandbox existentes deben recrearse. Como resultado, los cambios de configuración solo de orden (por ejemplo, el orden de los arrays &#39;dns&#39; y &#39;binds&#39; de Docker) podían tratarse como sin cambios y los contenedores obsoletos podían reutilizarse. Esto es un problema de integridad de la configuración que afecta el comportamiento de recreación de la sandbox. A partir de la versión 2026.2.15, el orden de los arrays se conserva durante la normalización del hash; solo el orden de las claves de los objetos permanece normalizado para un hashing determinista.

Gravedad CVSS v4.0: MEDIA

Última modificación:

20/02/2026

Vulnerabilidad en Cloud Workloads (CVE-2026-2408)

Fecha de publicación:

20/02/2026

Idioma:

Español

Tanium abordó una vulnerabilidad de uso después de liberación en la extensión de cliente de Cloud Workloads Enforce.

Gravedad CVSS v3.1: MEDIA

Última modificación:

27/02/2026

Vulnerabilidad en Tanium (CVE-2026-2350)

Fecha de publicación:

20/02/2026

Idioma:

Español

Tanium abordó una vulnerabilidad de inserción de información sensible en archivo de registro en Interact y TDS.

Gravedad CVSS v3.1: MEDIA

Última modificación:

27/02/2026

Vulnerabilidad en Cilium (CVE-2026-26963)

Fecha de publicación:

20/02/2026

Idioma:

Español

Cilium es una solución de red, observabilidad y seguridad con un plano de datos basado en eBPF. Las versiones 1.18.0 a la 1.18.5 permitirán incorrectamente el tráfico desde Pods en otros nodos cuando el Enrutamiento Nativo, WireGuard y el Cifrado de Nodos estén habilitados. Este problema ha sido solucionado en la versión 1.18.6.

Gravedad CVSS v3.1: MEDIA

Última modificación:

20/02/2026

Vulnerabilidad en OpenClaw (CVE-2026-26972)

Fecha de publicación:

20/02/2026

Idioma:

Español

OpenClaw es un asistente personal de IA. En las versiones 2026.1.12 a 2026.2.12, los ayudantes de descarga del navegador de OpenClaw aceptaban una ruta de salida no saneada. Cuando se invocaban a través de las rutas de la pasarela de control del navegador, esto permitía el salto de ruta para escribir descargas fuera del directorio de descargas temporales de OpenClaw previsto. Este problema no se expone a través del esquema de herramientas del agente de IA (sin acción &#39;download&#39;). La explotación requiere acceso CLI autenticado o un token RPC de pasarela autenticado. La versión 2026.2.13 corrige el problema.

Gravedad CVSS v3.1: MEDIA

Última modificación:

20/02/2026

Vulnerabilidad en OpenClaw (CVE-2026-27001)

Fecha de publicación:

20/02/2026

Idioma:

Español

OpenClaw es un asistente personal de IA. Antes de la versión 2026.2.15, OpenClaw incrustaba el directorio de trabajo actual (ruta del espacio de trabajo) en el prompt del sistema del agente sin saneamiento. Si un atacante puede hacer que OpenClaw se ejecute dentro de un directorio cuyo nombre contiene caracteres de control/formato (por ejemplo, saltos de línea o marcadores Unicode bidireccionales/de ancho cero), esos caracteres podrían romper la estructura del prompt e inyectar instrucciones controladas por el atacante. A partir de la versión 2026.2.15, la ruta del espacio de trabajo se sanea antes de incrustarse en cualquier salida de prompt de LLM, eliminando caracteres de control/formato Unicode y separadores explícitos de línea/párrafo. La resolución de la ruta del espacio de trabajo también aplica el mismo saneamiento como defensa en profundidad.

Gravedad CVSS v4.0: ALTA

Última modificación:

20/02/2026

Vulnerabilidad en OpenClaw (CVE-2026-27002)

Fecha de publicación:

20/02/2026

Idioma:

Español

OpenClaw es un asistente personal de IA. Antes de la versión 2026.2.15, un problema de inyección de configuración en el sandbox de la herramienta Docker podría permitir que opciones peligrosas de Docker (montajes de enlace, redes de host, perfiles no confinados) se aplicaran, permitiendo el escape del contenedor o el acceso a datos del host. OpenClaw 2026.2.15 bloquea configuraciones peligrosas de Docker del sandbox e incluye aplicación en tiempo de ejecución al construir argumentos de `docker create`; validación de esquema de configuración para `network=host`, `seccompProfile=unconfined`, `apparmorProfile=unconfined`; y hallazgos de auditoría de seguridad para revelar configuraciones peligrosas de Docker del sandbox. Como solución alternativa, no configure `agents.*.sandbox.docker.binds` para montar directorios del sistema o rutas de socket de Docker, mantenga `agents.*.sandbox.docker.network` en `none` (predeterminado) o `bridge`, y no use `unconfined` para perfiles de seccomp/AppArmor.

Gravedad CVSS v4.0: ALTA

Última modificación:

20/02/2026

Vulnerabilidad en OpenClaw (CVE-2026-27003)

Fecha de publicación:

20/02/2026

Idioma:

Español

OpenClaw es un asistente personal de IA. Los tokens de bot de Telegram pueden aparecer en mensajes de error y rastreos de pila (por ejemplo, cuando las URL de solicitud incluyen &#39;https://api.telegram.org/bot/...&#39;). Antes de la versión 2026.2.15, OpenClaw registraba estas cadenas sin censura, lo que podría filtrar el token del bot en registros, informes de fallos, salida de CI o paquetes de soporte. La divulgación de un token de bot de Telegram permite a un atacante suplantar la identidad del bot y tomar el control del acceso a la API del Bot. Los usuarios deben actualizar a la versión 2026.2.15 para obtener una solución y rotar el token del bot de Telegram si pudo haber sido expuesto.

Gravedad CVSS v4.0: MEDIA

Última modificación:

20/02/2026

Vulnerabilidad en Windmill Exposes Workspace (CVE-2026-26964)

Fecha de publicación:

20/02/2026

Idioma:

Español

Windmill es una plataforma de desarrollo de código abierto para código interno: APIs, trabajos en segundo plano, flujos de trabajo e interfaces de usuario. Las versiones 1.634.6 y anteriores permiten a los usuarios no administradores obtener secretos de cliente de Slack OAuth, que solo deberían ser accesibles para los administradores del espacio de trabajo. El endpoint GET /api/w/{workspace}/workspaces/get_settings devuelve el slack_oauth_client_secret a cualquier miembro autenticado del espacio de trabajo, independientemente de su estado de administrador. Es un comportamiento esperado que los usuarios no administradores vean una versión redactada de la configuración del espacio de trabajo, ya que algunos de ellos son necesarios para que el frontend se comporte correctamente incluso para los no administradores. Sin embargo, la configuración de Slack no debería ser visible para los no administradores. Este es un problema heredado donde la configuración se almacenaba como un valor sin formato en lugar de usar la indirección de $variable, y nunca se añadió a la lógica de redacción. Este problema ha sido solucionado en la versión 1.635.0.

Gravedad CVSS v3.1: BAJA

Última modificación:

14/04/2026

Vulnerabilidad en ADB-Explorer (CVE-2026-26959)

Fecha de publicación:

20/02/2026

Idioma:

Español

ADB Explorer es una interfaz de usuario fluida para ADB en Windows. Las versiones 0.9.26020 e inferiores no validan la integridad o autenticidad de la ruta del binario de ADB especificada en la configuración ManualAdbPath antes de ejecutarlo, lo que permite la ejecución de código arbitrario con los privilegios del usuario actual. Un atacante puede explotar esto creando un archivo de configuración App.txt malicioso que apunte ManualAdbPath a un ejecutable arbitrario, y luego convenciendo a una víctima para que inicie la aplicación con un argumento de línea de comandos que la dirija al directorio de configuración malicioso. Esta vulnerabilidad podría ser aprovechada mediante tácticas de ingeniería social, como la distribución de un acceso directo empaquetado con un archivo de configuración manipulado en un archivo comprimido, lo que resultaría en RCE al iniciar la aplicación. Este problema ha sido solucionado en la versión 0.9.26021.

Gravedad CVSS v3.1: ALTA

Última modificación:

15/04/2026

Vulnerabilidad en OpenClaw (CVE-2026-26329)

Fecha de publicación:

20/02/2026

Idioma:

Español

OpenClaw es un asistente personal de IA. Antes de la versión 2026.2.14, los atacantes autenticados pueden leer archivos arbitrarios del host Gateway proporcionando rutas absolutas o secuencias de salto de ruta a la acción &#39;upload&#39; de la herramienta del navegador. El servidor pasó estas rutas a las API &#39;setInputFiles()&#39; de Playwright sin restringirlas a una raíz segura. Un atacante debe alcanzar la superficie HTTP del Gateway (o invocar de otro modo los mismos puntos finales de gancho de control del navegador); presentar autenticación Gateway válida (token de portador / contraseña), según lo requiera la configuración del Gateway (En configuraciones predeterminadas comunes, el Gateway se enlaza a loopback y el asistente de incorporación genera un token de gateway incluso para loopback); y tener la herramienta &#39;browser&#39; permitida por la política de herramientas para la sesión/contexto objetivo (y tener el soporte del navegador habilitado). Si un operador expone el Gateway más allá de loopback (LAN/tailnet/enlace personalizado, proxy inverso, túneles, etc.), el impacto aumenta en consecuencia. A partir de la versión 2026.2.14, las rutas de carga ahora están confinadas a la raíz de cargas temporales de OpenClaw (&#39;DEFAULT_UPLOAD_DIR&#39;) y las rutas de salto/escape son rechazadas.

Gravedad CVSS v4.0: ALTA

Última modificación:

20/02/2026

Suscribirse a Vulnerabilidades