Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las ultimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las ultimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las ultimas vulnerabilidades incorporadas al repositorio.

CVE-2026-34202

Fecha de publicación:

31/03/2026

Idioma:

Inglés

*** Pendiente de traducción *** ZEBRA is a Zcash node written entirely in Rust. Prior to zebrad version 4.3.0 and zebra-chain version 6.0.1, a vulnerability in Zebra&#39;s transaction processing logic allows a remote, unauthenticated attacker to cause a Zebra node to panic (crash). This is triggered by sending a specially crafted V5 transaction that passes initial deserialization but fails during transaction ID calculation. This issue has been patched in zebrad version 4.3.0 and zebra-chain version 6.0.1.

Gravedad CVSS v4.0: CRÍTICA

Última modificación:

07/04/2026

CVE-2026-34200

Fecha de publicación:

31/03/2026

Idioma:

Inglés

*** Pendiente de traducción *** Nhost is an open source Firebase alternative with GraphQL. Prior to version 1.41.0, The Nhost CLI MCP server, when explicitly configured to listen on a network port, applies no inbound authentication and does not enforce strict CORS. This allows a malicious website visited on the same machine to issue cross-origin requests to the MCP server and invoke privileged tools using the developer&#39;s locally configured credentials. This vulnerability requires two explicit, non-default configuration steps to be exploitable. The default nhost mcp start configuration is not affected. This issue has been patched in version 1.41.0.

Gravedad CVSS v4.0: ALTA

Última modificación:

07/04/2026

CVE-2026-34172

Fecha de publicación:

31/03/2026

Idioma:

Inglés

*** Pendiente de traducción *** Giskard is an open-source Python library for testing and evaluating agentic systems. Prior to versions 0.3.4 and 1.0.2b1, ChatWorkflow.chat(message) passes its string argument directly as a Jinja2 template source to a non-sandboxed Environment. A developer who passes user input to this method enables full remote code execution via Jinja2 class traversal. The method name chat and parameter name message naturally invite passing user input directly, but the string is silently parsed as a Jinja2 template, not treated as plain text. This issue has been patched in versions 0.3.4 and 1.0.2b1.

Gravedad CVSS v4.0: ALTA

Última modificación:

07/04/2026

CVE-2026-34162

Fecha de publicación:

31/03/2026

Idioma:

Inglés

*** Pendiente de traducción *** FastGPT is an AI Agent building platform. Prior to version 4.14.9.5, the FastGPT HTTP tools testing endpoint (/api/core/app/httpTools/runTool) is exposed without any authentication. This endpoint acts as a full HTTP proxy — it accepts a user-supplied baseUrl, toolPath, HTTP method, custom headers, and body, then makes a server-side HTTP request and returns the complete response to the caller. This issue has been patched in version 4.14.9.5.

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

01/04/2026

CVE-2026-33580

Fecha de publicación:

31/03/2026

Idioma:

Inglés

*** Pendiente de traducción *** OpenClaw before 2026.3.28 contains a missing rate limiting vulnerability in the Nextcloud Talk webhook authentication that allows attackers to brute-force weak shared secrets. Attackers who can reach the webhook endpoint can exploit this to forge inbound webhook events by repeatedly attempting authentication without throttling.

Gravedad CVSS v4.0: MEDIA

Última modificación:

01/04/2026

CVE-2026-33581

Fecha de publicación:

31/03/2026

Idioma:

Inglés

*** Pendiente de traducción *** OpenClaw before 2026.3.24 contains a sandbox bypass vulnerability in the message tool that allows attackers to read arbitrary local files by using mediaUrl and fileUrl alias parameters that bypass localRoots validation. Remote attackers can exploit this by routing file requests through unvalidated alias parameters to access files outside the intended sandbox directory.

Gravedad CVSS v4.0: ALTA

Última modificación:

01/04/2026

CVE-2026-33762

Fecha de publicación:

31/03/2026

Idioma:

Inglés

*** Pendiente de traducción *** go-git is an extensible git implementation library written in pure Go. Prior to version 5.17.1, go-git’s index decoder for format version 4 fails to validate the path name prefix length before applying it to the previously decoded path name. A maliciously crafted index file can trigger an out-of-bounds slice operation, resulting in a runtime panic during normal index parsing. This issue only affects Git index format version 4. Earlier formats (go-git supports only v2 and v3) are not vulnerable to this issue. This issue has been patched in version 5.17.1.

Gravedad CVSS v3.1: BAJA

Última modificación:

02/04/2026

CVE-2026-33578

Fecha de publicación:

31/03/2026

Idioma:

Inglés

*** Pendiente de traducción *** OpenClaw before 2026.3.28 contains a sender policy bypass vulnerability in the Google Chat and Zalouser extensions where route-level group allowlist policies silently downgrade to open policy. Attackers can exploit this policy resolution flaw to bypass sender restrictions and interact with bots despite configured allowlist restrictions.

Gravedad CVSS v4.0: MEDIA

Última modificación:

01/04/2026

CVE-2026-33577

Fecha de publicación:

31/03/2026

Idioma:

Inglés

*** Pendiente de traducción *** OpenClaw before 2026.3.28 contains an insufficient scope validation vulnerability in the node pairing approval path that allows low-privilege operators to approve nodes with broader scopes. Attackers can exploit missing callerScopes validation in node-pairing.ts to extend privileges onto paired nodes beyond their authorization level.

Gravedad CVSS v4.0: ALTA

Última modificación:

01/04/2026

CVE-2026-33576

Fecha de publicación:

31/03/2026

Idioma:

Inglés

*** Pendiente de traducción *** OpenClaw before 2026.3.28 downloads and stores inbound media from Zalo channels before validating sender authorization. Unauthorized senders can force network fetches and disk writes to the media store by sending messages that are subsequently rejected.

Gravedad CVSS v4.0: MEDIA

Última modificación:

01/04/2026

CVE-2026-33276

Fecha de publicación:

31/03/2026

Idioma:

Inglés

*** Pendiente de traducción *** Stored cross-site scripting (XSS) in Checkmk 2.5.0 (beta) before 2.5.0b2 allows authenticated users with permission to create hosts or services to execute arbitrary JavaScript in the browsers of other users performing searches in the Unified Search feature.

Gravedad CVSS v4.0: ALTA

Última modificación:

02/04/2026

CVE-2026-33579

Fecha de publicación:

31/03/2026

Idioma:

Inglés

*** Pendiente de traducción *** OpenClaw before 2026.3.28 contains a privilege escalation vulnerability in the /pair approve command path that fails to forward caller scopes into the core approval check. A caller with pairing privileges but without admin privileges can approve pending device requests asking for broader scopes including admin access by exploiting the missing scope validation in extensions/device-pair/index.ts and src/infra/device-pairing.ts.

Gravedad CVSS v4.0: CRÍTICA

Última modificación:

06/04/2026

Suscribirse a Vulnerabilidades