Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las últimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las últimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las últimas vulnerabilidades incorporadas al repositorio.

Vulnerabilidad en FTP Navigator de Softpedia (CVE-2019-25321)

Fecha de publicación:

12/02/2026

Idioma:

Español

FTP Navigator 8.03 contiene una vulnerabilidad de desbordamiento de pila que permite a los atacantes ejecutar código arbitrario sobrescribiendo los registros del Manejador de Excepciones Estructurado (SEH). Los atacantes pueden crear una carga útil maliciosa que desencadena un desbordamiento de búfer cuando se pega en el cuadro de texto Custom Command, lo que permite la ejecución remota de código y el lanzamiento de la calculadora como prueba de concepto.

Gravedad CVSS v4.0: ALTA

Última modificación:

03/03/2026

Vulnerabilidad en Domain Quester Pro de Internet-Soft (CVE-2019-25319)

Fecha de publicación:

12/02/2026

Idioma:

Español

Domain Quester Pro 6.02 contiene una vulnerabilidad de desbordamiento de pila que permite a atacantes remotos ejecutar código arbitrario sobrescribiendo los registros del controlador de excepciones estructuradas (SEH). Los atacantes pueden diseñar una carga útil maliciosa dirigida al campo de entrada &#39;Domain Name Keywords&#39; para desencadenar una violación de acceso y ejecutar un bind shell en el puerto 9999.

Gravedad CVSS v4.0: ALTA

Última modificación:

15/04/2026

Vulnerabilidad en elearning-script de amitkolloldey (CVE-2019-25320)

Fecha de publicación:

12/02/2026

Idioma:

Español

E Learning Script 1.0 contiene una vulnerabilidad de omisión de autenticación que permite a los atacantes acceder al panel de control sin credenciales válidas manipulando los parámetros de inicio de sesión. Los atacantes pueden explotar el archivo /login.php enviando una carga útil específica &#39;=&#39;&#39;or&#39; para omitir la autenticación y obtener acceso no autorizado al sistema.

Gravedad CVSS v4.0: ALTA

Última modificación:

15/04/2026

Vulnerabilidad en Heatmiser Netmonitor de Heatmiser (CVE-2019-25322)

Fecha de publicación:

12/02/2026

Idioma:

Español

Heatmiser Netmonitor 3.03 contiene una vulnerabilidad de credenciales codificadas de forma rígida en la página networkSetup.htm con credenciales de inicio de sesión de administrador predecibles. Los atacantes pueden acceder al dispositivo utilizando el nombre de usuario codificado de forma rígida &#39;admin&#39; y la contraseña &#39;admin&#39; en los campos de entrada de formulario ocultos.

Gravedad CVSS v4.0: CRÍTICA

Última modificación:

15/04/2026

Vulnerabilidad en AVS Audio Converter (CVE-2019-25318)

Fecha de publicación:

12/02/2026

Idioma:

Español

AVS Audio Converter 9.1.2.600 contiene una vulnerabilidad de desbordamiento de pila que permite a los atacantes ejecutar código arbitrario manipulando la entrada de texto de la carpeta de salida. Los atacantes pueden crear una carga útil maliciosa que sobrescribe la memoria de pila y activa un bind shell en el puerto 9999 cuando se hace clic en el botón Browse.

Gravedad CVSS v4.0: ALTA

Última modificación:

15/04/2026

Vulnerabilidad en @directus/api (CVE-2026-26185)

Fecha de publicación:

12/02/2026

Idioma:

Español

Directus es una API en tiempo real y un panel de control de aplicaciones para gestionar contenido de bases de datos SQL. Antes de 11.14.1, existe una vulnerabilidad de enumeración de usuarios basada en tiempo en la funcionalidad de restablecimiento de contraseña. Cuando se proporciona un parámetro reset_url no válido, el tiempo de respuesta difiere en aproximadamente 500 ms entre usuarios existentes y no existentes, lo que permite una enumeración de usuarios fiable. Esta vulnerabilidad se ha corregido en 11.14.1.

Gravedad CVSS v3.1: MEDIA

Última modificación:

20/02/2026

Vulnerabilidad en Log Reporter de Intego (CVE-2026-26224)

Fecha de publicación:

12/02/2026

Idioma:

Español

Intego Log Reporter, una utilidad de diagnóstico de macOS incluida con los productos de seguridad de Intego que recopila registros del sistema y de aplicaciones para análisis de soporte, contiene una vulnerabilidad de escalada de privilegios local. Un script de diagnóstico ejecutado como root crea y escribe archivos en /tmp sin aplicar un manejo seguro del directorio, introduciendo una condición de carrera de tiempo de verificación a tiempo de uso (TOCTOU). Un usuario local sin privilegios puede explotar una condición de carrera basada en symlink para causar escrituras de archivos arbitrarias en ubicaciones privilegiadas del sistema, lo que resulta en una escalada de privilegios a root.

Gravedad CVSS v4.0: ALTA

Última modificación:

15/04/2026

Vulnerabilidad en Personal Backup de Intego (CVE-2026-26225)

Fecha de publicación:

12/02/2026

Idioma:

Español

Intego Personal Backup, una utilidad de copia de seguridad de macOS que permite a los usuarios crear copias de seguridad programadas y clones de sistema arrancables, contiene una vulnerabilidad de escalada de privilegios local. Las definiciones de tareas de copia de seguridad se almacenan en una ubicación escribible por usuarios no privilegiados mientras se procesan con privilegios elevados. Al crear un archivo de tarea serializado malicioso, un atacante local puede desencadenar escrituras de archivos arbitrarias en ubicaciones sensibles del sistema, lo que lleva a la escalada de privilegios a root.

Gravedad CVSS v4.0: ALTA

Última modificación:

15/04/2026

Vulnerabilidad en ntpd-rs (CVE-2026-26076)

Fecha de publicación:

12/02/2026

Idioma:

Español

ntpd-rs es una implementación completa del Protocolo de Tiempo de Red. Antes de la versión 1.7.1, un atacante puede inducir remotamente aumentos moderados (2-4 veces por encima de lo normal) en el uso de la CPU. Cuando NTS está habilitado en un servidor ntpd-rs, un atacante puede crear paquetes NTS malformados que requieren un esfuerzo significativamente mayor para que el servidor responda al solicitar un gran número de cookies. Esto puede llevar a una degradación del rendimiento del servidor incluso cuando un servidor podría manejar la carga de otra manera. Esta vulnerabilidad está corregida en la versión 1.7.1.

Gravedad CVSS v4.0: MEDIA

Última modificación:

23/02/2026

Vulnerabilidad en FastGPT (CVE-2026-26075)

Fecha de publicación:

12/02/2026

Idioma:

Español

FastGPT es una plataforma de creación de Agentes de IA. Debido a que los nodos de adquisición de páginas web de FastGPT, los nodos HTTP, etc., necesitan iniciar solicitudes de adquisición de datos desde el servidor, existen ciertos problemas de seguridad. Además de implementar el aislamiento de red interno en el entorno de despliegue, esta optimización ha añadido una detección más estricta de direcciones de red internas. Esta vulnerabilidad se corrige en 4.14.7.

Gravedad CVSS v4.0: MEDIA

Última modificación:

23/02/2026

Vulnerabilidad en scraparr (CVE-2026-26069)

Fecha de publicación:

12/02/2026

Idioma:

Español

Scraparr es un Prometheus Exporter para varios componentes de la *arr Suite. Desde la 3.0.0-beta hasta antes de la 3.0.2, cuando la integración de Readarr estaba habilitada, el exportador exponía la clave API de Readarr configurada como el valor de la etiqueta de métrica de alias. Los usuarios se veían afectados solo si se cumplían todas las siguientes condiciones, la función de scraping de Readarr estaba habilitada y no se había configurado ningún alias, el endpoint /metrics del exportador era accesible para usuarios externos o no autorizados, y la instancia de Readarr es accesible externamente. Si el endpoint /metrics era públicamente accesible, la clave API de Readarr podría haber sido divulgada a través de los datos de métricas exportados. Esta vulnerabilidad está corregida en la 3.0.2.

Gravedad CVSS v4.0: CRÍTICA

Última modificación:

23/02/2026

Vulnerabilidad en emp3r0r de jm33-m0 (CVE-2026-26068)

Fecha de publicación:

12/02/2026

Idioma:

Español

emp3r0r es un C2 centrado en el sigilo, diseñado por usuarios de Linux para entornos Linux. Antes de la versión 3.21.1, los metadatos no confiables del agente (Transport, Hostname) eran aceptados durante el registro (check-in) y posteriormente interpolados en cadenas de comandos de shell de tmux ejecutadas a través de /bin/sh -c. Esto permite la inyección de comandos y la ejecución remota de código en el host del operador. Esta vulnerabilidad está corregida en la versión 3.21.1.

Gravedad CVSS v4.0: CRÍTICA

Última modificación:

25/02/2026

Suscribirse a Vulnerabilidades