Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las últimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las últimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las últimas vulnerabilidades incorporadas al repositorio.

Vulnerabilidad en ntpd-rs (CVE-2026-26076)

Fecha de publicación:

12/02/2026

Idioma:

Español

ntpd-rs es una implementación completa del Protocolo de Tiempo de Red. Antes de la versión 1.7.1, un atacante puede inducir remotamente aumentos moderados (2-4 veces por encima de lo normal) en el uso de la CPU. Cuando NTS está habilitado en un servidor ntpd-rs, un atacante puede crear paquetes NTS malformados que requieren un esfuerzo significativamente mayor para que el servidor responda al solicitar un gran número de cookies. Esto puede llevar a una degradación del rendimiento del servidor incluso cuando un servidor podría manejar la carga de otra manera. Esta vulnerabilidad está corregida en la versión 1.7.1.

Gravedad CVSS v4.0: MEDIA

Última modificación:

23/02/2026

Vulnerabilidad en FastGPT (CVE-2026-26075)

Fecha de publicación:

12/02/2026

Idioma:

Español

FastGPT es una plataforma de creación de Agentes de IA. Debido a que los nodos de adquisición de páginas web de FastGPT, los nodos HTTP, etc., necesitan iniciar solicitudes de adquisición de datos desde el servidor, existen ciertos problemas de seguridad. Además de implementar el aislamiento de red interno en el entorno de despliegue, esta optimización ha añadido una detección más estricta de direcciones de red internas. Esta vulnerabilidad se corrige en 4.14.7.

Gravedad CVSS v4.0: MEDIA

Última modificación:

23/02/2026

Vulnerabilidad en scraparr (CVE-2026-26069)

Fecha de publicación:

12/02/2026

Idioma:

Español

Scraparr es un Prometheus Exporter para varios componentes de la *arr Suite. Desde la 3.0.0-beta hasta antes de la 3.0.2, cuando la integración de Readarr estaba habilitada, el exportador exponía la clave API de Readarr configurada como el valor de la etiqueta de métrica de alias. Los usuarios se veían afectados solo si se cumplían todas las siguientes condiciones, la función de scraping de Readarr estaba habilitada y no se había configurado ningún alias, el endpoint /metrics del exportador era accesible para usuarios externos o no autorizados, y la instancia de Readarr es accesible externamente. Si el endpoint /metrics era públicamente accesible, la clave API de Readarr podría haber sido divulgada a través de los datos de métricas exportados. Esta vulnerabilidad está corregida en la 3.0.2.

Gravedad CVSS v4.0: CRÍTICA

Última modificación:

23/02/2026

Vulnerabilidad en emp3r0r de jm33-m0 (CVE-2026-26068)

Fecha de publicación:

12/02/2026

Idioma:

Español

emp3r0r es un C2 centrado en el sigilo, diseñado por usuarios de Linux para entornos Linux. Antes de la versión 3.21.1, los metadatos no confiables del agente (Transport, Hostname) eran aceptados durante el registro (check-in) y posteriormente interpolados en cadenas de comandos de shell de tmux ejecutadas a través de /bin/sh -c. Esto permite la inyección de comandos y la ejecución remota de código en el host del operador. Esta vulnerabilidad está corregida en la versión 3.21.1.

Gravedad CVSS v4.0: CRÍTICA

Última modificación:

25/02/2026

Vulnerabilidad en Yoke de yokecd (CVE-2026-26056)

Fecha de publicación:

12/02/2026

Idioma:

Español

Yoke es un desplegador de paquetes de infraestructura como código (IaC) inspirado en Helm. En la versión 0.19.0 y anteriores, existe una vulnerabilidad en el componente Air Traffic Controller (ATC) de Yoke. Permite a los usuarios con permisos de creación/actualización de CR ejecutar código WASM arbitrario en el contexto del controlador ATC inyectando una URL maliciosa a través de la anotación overrides.yoke.cd/flight. El controlador ATC descarga y ejecuta el módulo WASM sin una validación de URL adecuada, lo que permite a los atacantes crear recursos arbitrarios de Kubernetes o potencialmente escalar privilegios a nivel de cluster-admin.

Gravedad CVSS v3.1: ALTA

Última modificación:

01/04/2026

Vulnerabilidad en Yoke de yokecd (CVE-2026-26055)

Fecha de publicación:

12/02/2026

Idioma:

Español

Yoke es un desplegador de paquetes de infraestructura como código (IaC) inspirado en Helm. En la versión 0.19.0 y anteriores, existe una vulnerabilidad en el componente Air Traffic Controller (ATC) de Yoke. Los puntos finales del webhook de ATC carecen de mecanismos de autenticación adecuados, lo que permite que cualquier pod dentro de la red del clúster envíe directamente solicitudes de AdmissionReview al webhook, eludiendo la autenticación del Kubernetes API Server. Esto permite a los atacantes activar la ejecución de módulos WASM en el contexto del controlador ATC sin la autorización adecuada.

Gravedad CVSS v3.1: ALTA

Última modificación:

01/04/2026

Vulnerabilidad en grub-btrfs (CVE-2026-25828)

Fecha de publicación:

12/02/2026

Idioma:

Español

grub-btrfs hasta el 31-01-2026 (en Arch Linux y distribuciones derivadas) permite la inyección de comandos del sistema operativo en initramfs porque no sanea el parámetro $root de resolve_device().

Gravedad CVSS v3.1: MEDIA

Última modificación:

15/04/2026

Vulnerabilidad en Airleader Master (CVE-2026-1358)

Fecha de publicación:

12/02/2026

Idioma:

Español

Airleader Master versiones 6.381 y anteriores permiten la carga de archivos sin restricción a múltiples páginas web ejecutándose con privilegios máximos. Esto podría permitir a un usuario no autenticado obtener potencialmente la ejecución remota de código en el servidor.

Gravedad CVSS v4.0: CRÍTICA

Última modificación:

15/04/2026

Vulnerabilidad en Dropbear (CVE-2025-14282)

Fecha de publicación:

12/02/2026

Idioma:

Español

Se encontró una vulnerabilidad en Dropbear. Cuando se ejecuta en modo multiusuario y autentica usuarios, el servidor ssh dropbear realiza los reenvíos de sockets solicitados por el cliente remoto como root, cambiando al usuario autenticado solo al generar un shell o al realizar algunas operaciones como leer los archivos del usuario. Con la capacidad reciente de también usar sockets de dominio unix como destino de reenvío, cualquier usuario capaz de iniciar sesión a través de ssh puede conectarse a cualquier socket unix con las credenciales de root, eludiendo tanto las restricciones del sistema de archivos como cualquier verificación SO_PEERCRED / SO_PASSCRED realizada por el par.

Gravedad CVSS v3.1: MEDIA

Última modificación:

15/04/2026

Vulnerabilidad en lty628 aidigu (CVE-2025-70845)

Fecha de publicación:

12/02/2026

Idioma:

Español

lty628 aidigu v1.9.1 es vulnerable a Cross Site Scripting (XSS) que existe en la página /setting/ donde el campo &#39;intro&#39; no está correctamente saneado o escapado.

Gravedad CVSS v3.1: MEDIA

Última modificación:

15/04/2026

Vulnerabilidad en Clipbucket-v5 de MacWarrior (CVE-2026-26005)

Fecha de publicación:

12/02/2026

Idioma:

Español

ClipBucket v5 es una plataforma de código abierto para compartir videos. Anterior a la versión 5.5.3 - #45, en Clip Bucket V5, la función &#39;Remote Play&#39; permite crear entradas de video que referencian URLs de videos externos sin subir los archivos de video al servidor. Sin embargo, al especificar un host de red interno en la URL del video, se puede activar un SSRF, lo que provoca que se envíen solicitudes GET a servidores internos. Un atacante puede explotar esto para escanear la red interna. Incluso un usuario regular (no privilegiado) puede llevar a cabo el ataque.

Gravedad CVSS v3.1: MEDIA

Última modificación:

18/02/2026

Vulnerabilidad en AutoGPT (CVE-2026-26020)

Fecha de publicación:

12/02/2026

Idioma:

Español

AutoGPT es una plataforma que permite a los usuarios crear, desplegar y gestionar agentes de inteligencia artificial continuos que automatizan flujos de trabajo complejos. Antes de la versión 0.6.48, un usuario autenticado podría lograr Ejecución Remota de Código (RCE) en el servidor de backend al incrustar un bloque deshabilitado dentro de un grafo. El BlockInstallationBlock — una herramienta de desarrollo capaz de escribir e importar código Python arbitrario — estaba marcado como disabled=True, pero la validación del grafo no aplicaba esta bandera. Esto permitía a cualquier usuario autenticado eludir la restricción al incluir el bloque como un nodo en un grafo, en lugar de llamar directamente al punto final de ejecución del bloque (que sí aplicaba la bandera). Esta vulnerabilidad está corregida en la versión 0.6.48.

Gravedad CVSS v4.0: CRÍTICA

Última modificación:

17/02/2026

Suscribirse a Vulnerabilidades