Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las ultimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las ultimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las ultimas vulnerabilidades incorporadas al repositorio.

Vulnerabilidad en Saleor (CVE-2026-24136)

Fecha de publicación:
24/01/2026
Idioma:
Español
Saleor es una plataforma de comercio electrónico. Las versiones 3.2.0 a 3.20.109, 3.21.0-a.0 a 3.21.44 y 3.22.0-a.0 a 3.22.28 tienen una vulnerabilidad de Referencia Directa Insegura a Objeto (IDOR) que permite a actores no autenticados extraer información sensible en texto plano. Los pedidos creados antes de Saleor 3.2.0 podrían haber tenido PIIs exfiltrados. El problema ha sido parcheado en las versiones de Saleor: 3.22.29, 3.21.45 y 3.20.110. Como solución alternativa, bloquee temporalmente a los usuarios que no son personal de obtener información de pedidos (la consulta GraphQL order()) usando un WAF.
Gravedad CVSS v4.0: ALTA
Última modificación:
12/02/2026

Vulnerabilidad en MyTube (CVE-2026-24139)

Fecha de publicación:
24/01/2026
Idioma:
Español
MyTube es un descargador y reproductor autoalojado para varios sitios web de video. Las versiones 1.7.78 e inferiores no protegen contra la omisión de autorización, permitiendo a los usuarios invitados descargar la base de datos completa de la aplicación. La aplicación no valida correctamente los permisos de usuario en el punto final de exportación de la base de datos, permitiendo a los usuarios con bajos privilegios acceder a datos sensibles a los que no deberían tener permiso para ver.
Gravedad CVSS v4.0: ALTA
Última modificación:
02/02/2026

Vulnerabilidad en MyTube (CVE-2026-24140)

Fecha de publicación:
24/01/2026
Idioma:
Español
MyTube es un descargador y reproductor autoalojado para varios sitios web de vídeo. Las versiones 1.7.78 e inferiores tienen una vulnerabilidad de Asignación Masiva en la funcionalidad de gestión de configuraciones debido a una validación de entrada insuficiente. La función saveSettings() de la aplicación acepta pares clave-valor arbitrarios sin validar los nombres de las propiedades contra las configuraciones permitidas. La función utiliza Record como tipo de entrada e itera sobre todas las entradas usando Object.entries() sin filtrar propiedades no autorizadas. Cualquier campo enviado por el atacante se persiste directamente en la base de datos, independientemente de si corresponde a una configuración legítima de la aplicación. Este problema ha sido solucionado en la versión 1.7.78.
Gravedad CVSS v3.1: BAJA
Última modificación:
02/02/2026

Vulnerabilidad en components de DioxusLabs (CVE-2026-24474)

Fecha de publicación:
24/01/2026
Idioma:
Español
Dioxus Components es una librería de componentes estilo shadcn para el framework de aplicaciones Dioxus. Antes del commit 41e4242ecb1062d04ae42a5215363c1d9fd4e23a, `use_animated_open` formatea una cadena para `eval` con un `id` que puede ser proporcionado por el usuario. El commit 41e4242ecb1062d04ae42a5215363c1d9fd4e23a parchea el problema.
Gravedad CVSS v4.0: MEDIA
Última modificación:
15/04/2026

CVE-2026-0991

Fecha de publicación:
23/01/2026
Idioma:
Inglés
*** Pendiente de traducción *** Rejected reason: This CVE ID has been rejected or withdrawn by its CVE Numbering Authority.
Gravedad: Pendiente de análisis
Última modificación:
23/01/2026

Vulnerabilidad en Typemill (CVE-2026-24127)

Fecha de publicación:
23/01/2026
Idioma:
Español
Typemill es un CMS de archivo plano, basado en Markdown, diseñado para sitios web de documentación informativa. Un Cross-Site Scripting (XSS) reflejado existe en la plantilla de vista de error de inicio de sesión 'login.twig' de las versiones 2.19.1 e inferiores. El valor 'username' puede ser devuelto sin la codificación contextual adecuada cuando la autenticación falla. Un atacante puede ejecutar scripts en el contexto de la página de inicio de sesión. Este problema ha sido solucionado en la versión 2.19.2.
Gravedad CVSS v3.1: MEDIA
Última modificación:
02/02/2026

CVE-2025-12780

Fecha de publicación:
23/01/2026
Idioma:
Inglés
*** Pendiente de traducción *** Rejected reason: This CVE ID has been rejected or withdrawn by its CVE Numbering Authority.
Gravedad: Pendiente de análisis
Última modificación:
23/01/2026

Vulnerabilidad en Sourcecodester Modern Image Gallery App (CVE-2025-70457)

Fecha de publicación:
23/01/2026
Idioma:
Español
Una vulnerabilidad de ejecución remota de código (RCE) existe en Sourcecodester Modern Image Gallery App v1.0 dentro del componente gallery/upload.php. La aplicación no valida correctamente el contenido de los archivos subidos. Además, la aplicación conserva la extensión de archivo proporcionada por el usuario durante el proceso de guardado. Esto permite a un atacante no autenticado subir código PHP arbitrario suplantando el tipo MIME como una imagen, lo que lleva a un compromiso total del sistema.
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
30/01/2026

Vulnerabilidad en DomainCheckerApp de Sourcecodester (CVE-2025-70458)

Fecha de publicación:
23/01/2026
Idioma:
Español
Una vulnerabilidad de cross-site scripting (XSS) basada en DOM existe en la clase DomainCheckerApp dentro de domain/script.js de Sourcecodester Domain Availability Checker v1.0. La vulnerabilidad ocurre porque la aplicación maneja incorrectamente los datos proporcionados por el usuario en el método createResultElement al usar la propiedad insegura innerHTML para renderizar los resultados de búsqueda de dominio.
Gravedad CVSS v3.1: MEDIA
Última modificación:
30/01/2026

Vulnerabilidad en Firecracker (CVE-2026-1386)

Fecha de publicación:
23/01/2026
Idioma:
Español
Un problema de seguimiento de enlaces simbólicos de UNIX en el componente jailer en Firecracker versión v1.13.1 y anteriores y 1.14.0 en Linux puede permitir a un usuario local del host con acceso de escritura a los directorios precreados del jailer sobrescribir archivos arbitrarios del host a través de un ataque de enlace simbólico durante la copia de inicialización al inicio del jailer, si el jailer se ejecuta con privilegios de root.<br /> <br /> Para mitigar este problema, los usuarios deben actualizar a la versión v1.13.2 o 1.14.1 o superior.
Gravedad CVSS v4.0: MEDIA
Última modificación:
30/01/2026

Vulnerabilidad en PHP de gemscms.aptsys.com.sg thru (CVE-2025-52023)

Fecha de publicación:
23/01/2026
Idioma:
Español
Una vulnerabilidad en el backend PHP de gemscms.aptsys.com.sg hasta el 28-05-2025 permite a atacantes remotos no autenticados activar mensajes de error detallados que revelan rutas de archivos internas, fragmentos de código y rastreos de pila. Esto ocurre cuando solicitudes HTTP GET/POST especialmente diseñadas se envían a puntos finales de API públicos, exponiendo información potencialmente sensible útil para una explotación posterior. Este problema se clasifica bajo CWE-209: Exposición de Información a Través de un Mensaje de Error.
Gravedad CVSS v3.1: MEDIA
Última modificación:
11/02/2026

Vulnerabilidad en Aptsys gemscms POS (CVE-2025-52024)

Fecha de publicación:
23/01/2026
Idioma:
Español
Una vulnerabilidad existe en el módulo de servicios web de la plataforma Aptsys POS hasta el 28-05-2025, lo que expone herramientas internas de prueba de API a usuarios no autenticados. Al acceder a URL específicas, a un atacante se le presenta un índice estilo directorio que lista todos los servicios backend y servicios web POS disponibles, cada uno con un formulario HTML para enviar entradas de prueba. Estos paneles están destinados para uso de desarrolladores, pero son accesibles en entornos de producción sin autenticación ni validación de sesión. Esto otorga a cualquier actor externo la capacidad de descubrir, probar y ejecutar endpoints de API que realizan funciones críticas, incluyendo, entre otros, recuperación de transacciones de usuario, ajustes de crédito, acciones de POS y consultas de datos internas.
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
11/02/2026