Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las ultimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las ultimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las ultimas vulnerabilidades incorporadas al repositorio.

Vulnerabilidad en prime de birkir (CVE-2026-1171)

Fecha de publicación:

19/01/2026

Idioma:

Español

Se ha encontrado un fallo en birkir prime hasta la versión 0.4.0.beta.0. Se ve afectada una función desconocida del archivo /graphql del componente GraphQL Field Handler. La ejecución de una manipulación puede llevar a una denegación de servicio. El ataque puede lanzarse remotamente. El exploit ha sido publicado y puede utilizarse. Se informó al proyecto del problema con antelación a través de un informe de incidencias, pero aún no ha respondido.

Gravedad CVSS v4.0: MEDIA

Última modificación:

23/02/2026

Vulnerabilidad en prime de birkir (CVE-2026-1172)

Fecha de publicación:

19/01/2026

Idioma:

Español

Se ha encontrado una vulnerabilidad en birkir prime hasta la versión 0.4.0.beta.0. El elemento afectado es una función desconocida del archivo /graphql del componente GraphQL Directive Handler. La manipulación conduce a denegación de servicio. La explotación remota del ataque es posible. El exploit ha sido revelado al público y puede ser utilizado. El proyecto fue informado del problema con antelación a través de un informe de incidencias pero aún no ha respondido.

Gravedad CVSS v4.0: MEDIA

Última modificación:

23/02/2026

Vulnerabilidad en AION de HCL Software (CVE-2025-55250)

Fecha de publicación:

19/01/2026

Idioma:

Español

HCL AION versión 2 está afectado por una vulnerabilidad de revelación de errores técnicos. Esto puede exponer detalles técnicos sensibles, lo que podría resultar en revelación de información o facilitar ataques adicionales.

Gravedad CVSS v3.1: BAJA

Última modificación:

30/01/2026

Vulnerabilidad en AION de HCL Software (CVE-2025-55252)

Fecha de publicación:

19/01/2026

Idioma:

Español

HCL AION versión 2 está afectado por una vulnerabilidad de política de contraseñas débil. Esto puede permitir el uso de contraseñas fácilmente adivinables, lo que podría resultar en acceso no autorizado.

Gravedad CVSS v3.1: BAJA

Última modificación:

30/01/2026

Vulnerabilidad en ESPHome (CVE-2026-23833)

Fecha de publicación:

19/01/2026

Idioma:

Español

ESPHome es un sistema para controlar microcontroladores remotamente a través de sistemas de automatización del hogar. En las versiones 2025.9.0 a 2025.12.6, un desbordamiento de entero en el decodificador protobuf del componente API permite ataques de denegación de servicio cuando no se utiliza el cifrado de API. La comprobación de límites `ptr + field_length &gt; end` en `components/api/proto.cpp` puede desbordarse cuando un cliente malicioso envía un valor `field_length` grande. Esto afecta a todas las plataformas de dispositivos ESPHome (ESP32, ESP8266, RP2040, LibreTiny). El desbordamiento omite la comprobación fuera de límites, lo que provoca que el dispositivo lea memoria no válida y falle. Cuando se utiliza el protocolo API de texto plano, este ataque puede realizarse sin autenticación. Cuando el cifrado de ruido está habilitado, se requiere conocimiento de la clave de cifrado. Los usuarios deben actualizar a ESPHome 2025.12.7 o posterior para recibir un parche, habilitar el cifrado de API con una clave única por dispositivo y seguir las Mejores Prácticas de Seguridad.

Gravedad CVSS v4.0: BAJA

Última modificación:

04/03/2026

Vulnerabilidad en FreeRDP (CVE-2026-23883)

Fecha de publicación:

19/01/2026

Idioma:

Español

FreeRDP es una implementación gratuita del Protocolo de Escritorio Remoto. Antes de la versión 3.21.0, xf_Pointer_New libera cursorPixels en caso de fallo, luego pointer_free llama a xf_Pointer_Free y lo libera de nuevo, lo que activa un UAF de ASan. Un servidor malicioso puede desencadenar un uso después de liberación del lado del cliente, causando una caída (DoS) y una posible corrupción de la pila con riesgo de ejecución de código, dependiendo del comportamiento del asignador y del diseño de la pila circundante. La versión 3.21.0 contiene un parche para el problema.

Gravedad CVSS v4.0: ALTA

Última modificación:

28/01/2026

Vulnerabilidad en HotCRP de kohler (CVE-2026-23836)

Fecha de publicación:

19/01/2026

Idioma:

Español

HotCRP es software de revisión de conferencias. Un problema introducido en abril de 2024 en la versión 3.1 llevó a una generación de código insuficientemente saneado para las fórmulas de HotCRP, lo que permitió a los usuarios desencadenar la ejecución de código PHP arbitrario. El problema está parcheado en la versión de lanzamiento 3.2.

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

18/02/2026

Vulnerabilidad en FreeRDP (CVE-2026-23884)

Fecha de publicación:

19/01/2026

Idioma:

Español

FreeRDP es una implementación gratuita del Protocolo de Escritorio Remoto. Antes de la versión 3.21.0, la eliminación de mapas de bits fuera de pantalla deja &#39;gdi-&gt;drawing&#39; apuntando a memoria liberada, causando UAF cuando llegan paquetes de actualización relacionados. Un servidor malicioso puede desencadenar un uso después de la liberación del lado del cliente, causando un fallo (DoS) y una posible corrupción del heap con riesgo de ejecución de código, dependiendo del comportamiento del asignador y del diseño del heap circundante. La versión 3.21.0 contiene un parche para el problema.

Gravedad CVSS v4.0: ALTA

Última modificación:

28/01/2026

Vulnerabilidad en FreeRDP (CVE-2026-23533)

Fecha de publicación:

19/01/2026

Idioma:

Español

FreeRDP es una implementación gratuita del Protocolo de Escritorio Remoto. Antes de la versión 3.21.0, se produce un desbordamiento de búfer de montón del lado del cliente en la ruta de decodificación RDPGFX ClearCodec cuando datos residuales creados maliciosamente causan escrituras fuera de límites durante la salida de color. Un servidor malicioso puede desencadenar un desbordamiento de búfer de montón del lado del cliente, causando un fallo (DoS) y una posible corrupción del montón con riesgo de ejecución de código dependiendo del comportamiento del asignador y del diseño del montón circundante. La versión 3.21.0 contiene un parche para el problema.

Gravedad CVSS v4.0: ALTA

Última modificación:

28/01/2026

Vulnerabilidad en FreeRDP (CVE-2026-23534)

Fecha de publicación:

19/01/2026

Idioma:

Español

FreeRDP es una implementación gratuita del Protocolo de Escritorio Remoto. Antes de la versión 3.21.0, un desbordamiento de búfer de montón del lado del cliente ocurre en la ruta de decodificación de las bandas ClearCodec cuando coordenadas de banda manipuladas permiten escrituras más allá del final del búfer de superficie de destino. Un servidor malicioso puede desencadenar un desbordamiento de búfer de montón del lado del cliente, causando un fallo (DoS) y una posible corrupción del montón con riesgo de ejecución de código dependiendo del comportamiento del asignador y del diseño del montón circundante. La versión 3.21.0 contiene un parche para el problema.

Gravedad CVSS v4.0: ALTA

Última modificación:

28/01/2026

Vulnerabilidad en FreeRDP (CVE-2026-23732)

Fecha de publicación:

19/01/2026

Idioma:

Español

FreeRDP es una implementación gratuita del Protocolo de Escritorio Remoto. Antes de la versión 3.21.0, el análisis de FastGlyph confía en &#39;cbData&#39;/la longitud restante y nunca valida contra el tamaño mínimo implícito por &#39;cx/cy&#39;. Un servidor malicioso puede desencadenar un desbordamiento de búfer global del lado del cliente, causando un fallo (DoS). La versión 3.21.0 contiene un parche para el problema.

Gravedad CVSS v4.0: MEDIA

Última modificación:

28/01/2026

Vulnerabilidad en openproject de opf (CVE-2026-23625)

Fecha de publicación:

19/01/2026

Idioma:

Español

OpenProject es un software de gestión de proyectos de código abierto y basado en la web. Las versiones 16.3.0 a la 16.6.4 están afectadas por una vulnerabilidad de cross-site scripting almacenado en la vista de Hoja de Ruta. La vista de hoja de ruta de OpenProject renderiza la lista de &#39;Paquetes de trabajo relacionados&#39; para cada versión. Cuando una versión contiene paquetes de trabajo de un proyecto diferente (por ejemplo, un subproyecto), el ayudante link_to_work_package antepone package.project.to_s al enlace y devuelve la cadena completa con .html_safe. Debido a que los nombres de los proyectos son controlados por el usuario y no se produce ningún escape antes de llamar a html_safe, cualquier HTML colocado en el nombre de un subproyecto se inyecta textualmente en la página. El problema subyacente se mitiga en las versiones 16.6.5 y 17.0.0 al establecer un encabezado &#39;X-Content-Type-Options: nosniff&#39;, que estuvo en su lugar hasta una refactorización a la política de seguridad de contenido estándar de Rails, que no aplicó correctamente este encabezado en la nueva configuración desde OpenProject 16.3.0. Aquellos que no puedan actualizar sus instalaciones deben asegurarse de añadir un encabezado &#39;X-Content-Type-Options: nosniff&#39; en su servidor de aplicaciones web de proxy.

Gravedad CVSS v3.1: ALTA

Última modificación:

02/02/2026

Suscribirse a Vulnerabilidades