Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las ultimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las ultimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las ultimas vulnerabilidades incorporadas al repositorio.

CVE-2026-3148

Fecha de publicación:

25/02/2026

Idioma:

Español

Se encontró una vulnerabilidad en SourceCodester Simple and Nice Shopping Cart Script 1.0 que afecta a una función desconocida del archivo /signup.php. Si se manipula el argumento Username se puede provocar una inyección SQL. El ataque puede ser iniciado en remoto. El exploit ha sido divulgado públicamente y puede ser utilizado.

Gravedad CVSS v4.0: MEDIA

Última modificación:

25/02/2026

CVE-2026-27696

Fecha de publicación:

25/02/2026

Idioma:

Español

changedetection.io es una herramienta gratuita de código abierto para la detección de cambios en páginas web. En versiones anteriores a la 0.54.1, changedetection.io es vulnerable a la Falsificación de Petición del Lado del Servidor (SSRF) porque la función de validación de URL &#39;is_safe_valid_url()&#39; no valida la dirección IP resuelta de las URL de vigilancia frente a rangos de direcciones privadas, de bucle invertido o de enlace local. Un usuario autenticado (o cualquier usuario cuando no hay contraseña configurada, que es el valor predeterminado) puede añadir una vigilancia para URL de red internas. La aplicación obtiene estas URL del lado del servidor, almacena el contenido de la respuesta y lo hace visible a través de la interfaz de usuario web — lo que permite la exfiltración completa de datos de servicios internos. La versión 0.54.1 contiene una solución para el problema.

Gravedad CVSS v3.1: ALTA

Última modificación:

25/02/2026

CVE-2026-27645

Fecha de publicación:

25/02/2026

Idioma:

Español

changedetection.io es una herramienta gratuita de código abierto para la detección de cambios en páginas web. En versiones anteriores a la 0.54.1, el endpoint RSS de monitoreo único refleja el parámetro de ruta UUID directamente en el cuerpo de la respuesta HTTP sin escape HTML. Dado que Flask devuelve text/html por defecto para respuestas de cadena de texto plano, el navegador analiza y ejecuta JavaScript inyectado. La versión 0.54.1 contiene una corrección para el problema.

Gravedad CVSS v3.1: MEDIA

Última modificación:

25/02/2026

CVE-2026-27624

Fecha de publicación:

25/02/2026

Idioma:

Inglés

*** Pendiente de traducción *** Coturn is a free open source implementation of TURN and STUN Server. Coturn is commonly configured to block loopback and internal ranges using "denied-peer-ip" and/or default loopback restrictions. CVE-2020-26262 addressed bypasses involving "0.0.0.0", "[::1]" and "[::]", but IPv4-mapped IPv6 is not covered. When sending a "CreatePermission" or "ChannelBind" request with the "XOR-PEER-ADDRESS" value of "::ffff:127.0.0.1", a successful response is received, even though "127.0.0.0/8" is blocked via "denied-peer-ip". The root cause is that, prior to the updated fix implemented in version 4.9.0, three functions in "src/client/ns_turn_ioaddr.c" do not check "IN6_IS_ADDR_V4MAPPED". "ioa_addr_is_loopback()" checks "127.x.x.x" (AF_INET) and "::1" (AF_INET6), but not "::ffff:127.0.0.1." "ioa_addr_is_zero()" checks "0.0.0.0" and "::", but not "::ffff:0.0.0.0." "addr_less_eq()" used by "ioa_addr_in_range()" for "denied-peer-ip" matching: when the range is AF_INET and the peer is AF_INET6, the comparison returns 0 without extracting the embedded IPv4. Version 4.9.0 contains an updated fix to address the bypass of the fix for CVE-2020-26262.

Gravedad CVSS v3.1: ALTA

Última modificación:

25/02/2026

CVE-2025-0976

Fecha de publicación:

25/02/2026

Idioma:

Inglés

*** Pendiente de traducción *** Information Exposure Vulnerability in Hitachi Ops Center API Configuration Manager, Hitachi Configuration Manager.This issue affects Hitachi Ops Center API Configuration Manager: from 10.0.0-00 before 11.0.4-00; Hitachi Configuration Manager: from 8.6.1-00 before 11.0.5-00.

Gravedad CVSS v3.1: MEDIA

Última modificación:

25/02/2026

CVE-2026-27745

Fecha de publicación:

25/02/2026

Idioma:

Inglés

*** Pendiente de traducción *** The SPIP interface_traduction_objets plugin versions prior to 2.2.2 contain an authenticated remote code execution vulnerability in the translation interface workflow. The plugin incorporates untrusted request data into a hidden form field that is rendered without SPIP output filtering. Because fields prefixed with an underscore bypass protection mechanisms and the hidden content is rendered with filtering disabled, an authenticated attacker with editor-level privileges can inject crafted content that is evaluated through SPIP&#39;s template processing chain, resulting in execution of code in the context of the web server.

Gravedad CVSS v4.0: ALTA

Última modificación:

25/02/2026

CVE-2026-27746

Fecha de publicación:

25/02/2026

Idioma:

Inglés

*** Pendiente de traducción *** The SPIP jeux plugin versions prior to 4.1.1 contain a reflected cross-site scripting (XSS) vulnerability in the pre_propre pipeline. The plugin incorporates untrusted request parameters into HTML output without proper output encoding, allowing attackers to inject arbitrary script content into pages that render a jeux block. When a victim is induced to visit a crafted URL, the injected content is reflected into the response and executed in the victim&#39;s browser context.

Gravedad CVSS v4.0: MEDIA

Última modificación:

25/02/2026

CVE-2026-27747

Fecha de publicación:

25/02/2026

Idioma:

Inglés

*** Pendiente de traducción *** The SPIP interface_traduction_objets plugin versions prior to 2.2.2 contain an authenticated SQL injection vulnerability in interface_traduction_objets_pipelines.php. When handling translation requests, the plugin reads the id_parent parameter from user-supplied input and concatenates it directly into a SQL WHERE clause in a call to sql_getfetsel() without input validation or parameterization. An authenticated attacker with editor-level privileges can inject crafted SQL expressions into the id_parent parameter to manipulate the backend query. Successful exploitation can result in disclosure or modification of database contents and may lead to denial of service depending on the database configuration and privileges.

Gravedad CVSS v4.0: ALTA

Última modificación:

25/02/2026

CVE-2026-3147

Fecha de publicación:

25/02/2026

Idioma:

Inglés

*** Pendiente de traducción *** A vulnerability was found in libvips up to 8.18.0. This affects the function vips_foreign_load_csv_build of the file libvips/foreign/csvload.c. The manipulation results in heap-based buffer overflow. The attack requires a local approach. The exploit has been made public and could be used. The patch is identified as b3ab458a25e0e261cbd1788474bbc763f7435780. It is advisable to implement a patch to correct this issue.

Gravedad CVSS v4.0: MEDIA

Última modificación:

25/02/2026

CVE-2026-27637

Fecha de publicación:

25/02/2026

Idioma:

Inglés

*** Pendiente de traducción *** FreeScout is a free help desk and shared inbox built with PHP&#39;s Laravel framework. Prior to version 1.8.206, FreeScout&#39;s `TokenAuth` middleware uses a predictable authentication token computed as `MD5(user_id + created_at + APP_KEY)`. This token is static (never expires/rotates), and if an attacker obtains the `APP_KEY` — a well-documented and common exposure vector in Laravel applications — they can compute a valid token for any user, including the administrator, achieving full account takeover without any password. This vulnerability can be exploited on its own or in combination with CVE-2026-27636. Version 1.8.206 fixes both vulnerabilities.

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

25/02/2026

CVE-2026-27743

Fecha de publicación:

25/02/2026

Idioma:

Inglés

*** Pendiente de traducción *** The SPIP referer_spam plugin versions prior to 1.3.0 contain an unauthenticated SQL injection vulnerability in the referer_spam_ajouter and referer_spam_supprimer action handlers. The handlers read the url parameter from a GET request and interpolate it directly into SQL LIKE clauses without input validation or parameterization. The endpoints do not enforce authorization checks and do not use SPIP action protections such as securiser_action(), allowing remote attackers to execute arbitrary SQL queries.

Gravedad CVSS v4.0: CRÍTICA

Última modificación:

25/02/2026

CVE-2026-27744

Fecha de publicación:

25/02/2026

Idioma:

Inglés

*** Pendiente de traducción *** The SPIP tickets plugin versions prior to 4.3.3 contain an unauthenticated remote code execution vulnerability in the forum preview handling for public ticket pages. The plugin appends untrusted request parameters into HTML that is later rendered by a template using unfiltered environment rendering (#ENV**), which disables SPIP output filtering. As a result, an unauthenticated attacker can inject crafted content that is evaluated through SPIP&#39;s template processing chain, leading to execution of code in the context of the web server.

Gravedad CVSS v4.0: CRÍTICA

Última modificación:

25/02/2026

Suscribirse a Vulnerabilidades