Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las últimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las últimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las últimas vulnerabilidades incorporadas al repositorio.

Vulnerabilidad en ServiceNow (CVE-2026-0542)

Fecha de publicación:

25/02/2026

Idioma:

Español

ServiceNow ha abordado una vulnerabilidad de ejecución remota de código que fue identificada en la plataforma de IA de ServiceNow. Esta vulnerabilidad podría permitir a un usuario no autenticado, en ciertas circunstancias, ejecutar código dentro del sandbox de ServiceNow. ServiceNow abordó esta vulnerabilidad desplegando una actualización de seguridad en las instancias alojadas. Las actualizaciones de seguridad relevantes también se han proporcionado a los clientes y socios de ServiceNow con autoalojamiento. Además, la vulnerabilidad se aborda en los parches y hot fixes listados. Si bien no tenemos conocimiento actual de explotación contra instancias de clientes, recomendamos a los clientes aplicar rápidamente las actualizaciones apropiadas o actualizar si aún no lo han hecho.

Gravedad CVSS v4.0: CRÍTICA

Última modificación:

15/04/2026

Vulnerabilidad en GitLab (CVE-2025-14511)

Fecha de publicación:

25/02/2026

Idioma:

Español

GitLab ha remediado un problema en GitLab CE/EE que afecta a todas las versiones desde la 12.2 y anteriores a la 18.7.5, la 18.8 y anteriores a la 18.8.5, y la 18.9 y anteriores a la 18.9.1 que podría haber permitido a un usuario no autenticado causar una denegación de servicio mediante el envío de archivos especialmente diseñados al endpoint de eventos del registro de contenedores bajo ciertas condiciones.

Gravedad CVSS v3.1: ALTA

Última modificación:

28/02/2026

Vulnerabilidad en Rucio (CVE-2026-25735)

Fecha de publicación:

25/02/2026

Idioma:

Español

Rucio es un framework de software que proporciona funcionalidad para organizar, gestionar y acceder a grandes volúmenes de datos científicos utilizando políticas personalizables. Las versiones anteriores a la 35.8.3, 38.5.4 y 39.3.1 tienen una vulnerabilidad de cross-site scripting (XSS) almacenado en el campo &#39;Identity Name&#39; de la interfaz de usuario web (WebUI), donde la entrada controlada por el atacante es persistida por el backend y posteriormente renderizada en la WebUI sin una codificación de salida adecuada. Esto permite la ejecución arbitraria de JavaScript en el contexto de la WebUI para los usuarios que visualizan las páginas afectadas, lo que podría permitir el robo de tokens de sesión o acciones no autorizadas. Las versiones 35.8.3, 38.5.4 y 39.3.1 solucionan el problema.

Gravedad CVSS v3.1: MEDIA

Última modificación:

27/02/2026

Vulnerabilidad en Rucio (CVE-2026-25736)

Fecha de publicación:

25/02/2026

Idioma:

Español

Rucio es un framework de software que proporciona funcionalidad para organizar, gestionar y acceder a grandes volúmenes de datos científicos utilizando políticas personalizables. Las versiones anteriores a la 35.8.3, 38.5.4 y 39.3.1 tienen una vulnerabilidad de cross-site scripting (XSS) almacenado en el Custom RSE Attribute de la WebUI, donde la entrada controlada por el atacante es persistida por el backend y posteriormente renderizada en la WebUI sin una codificación de salida adecuada. Esto permite la ejecución arbitraria de JavaScript en el contexto de la WebUI para los usuarios que visualizan las páginas afectadas, lo que podría permitir el robo de tokens de sesión o acciones no autorizadas. Las versiones 35.8.3, 38.5.4 y 39.3.1 solucionan el problema.

Gravedad CVSS v3.1: MEDIA

Última modificación:

27/02/2026

Vulnerabilidad en FreeRDP (CVE-2026-25941)

Fecha de publicación:

25/02/2026

Idioma:

Español

FreeRDP es una implementación gratuita del Protocolo de Escritorio Remoto. Las versiones de la rama 2.x anteriores a la 2.11.8 y de la rama 3.x anteriores a la 3.23.0 tienen una vulnerabilidad de lectura fuera de límites en el canal RDPGFX del cliente FreeRDP que permite a un servidor RDP malicioso leer memoria de pila no inicializada al enviar una PDU WIRE_TO_SURFACE_2 manipulada con un valor &#39;bitmapDataLength&#39; mayor que los datos reales en el paquete. Esto puede llevar a la revelación de información o a fallos del cliente cuando un usuario se conecta a un servidor malicioso. Las versiones 2.11.8 y 3.23.0 corrigen el problema.

Gravedad CVSS v3.1: MEDIA

Última modificación:

27/02/2026

Vulnerabilidad en Microsoft (CVE-2026-2636)

Fecha de publicación:

25/02/2026

Idioma:

Español

Esta vulnerabilidad se produce por un fallo CWE?159: &#39;Manejo Inadecuado del Uso Inválido de Elementos Especiales&#39;, lo que lleva a una inconsistencia irrecuperable en el controlador CLFS.sys. Esta condición fuerza una llamada a la función KeBugCheckEx, permitiendo a un usuario sin privilegios provocar un fallo del sistema. Microsoft corrigió silenciosamente esta vulnerabilidad en la actualización acumulativa de septiembre de 2025 para Windows 11 2024 LTSC y Windows Server 2025. Windows 25H2 (lanzado en septiembre) fue lanzado con el parche. Windows 1123h2 y versiones anteriores siguen siendo vulnerables.

Gravedad CVSS v3.1: MEDIA

Última modificación:

15/04/2026

Vulnerabilidad en Rucio (CVE-2026-25136)

Fecha de publicación:

25/02/2026

Idioma:

Español

Rucio es un framework de software que proporciona funcionalidad para organizar, gestionar y acceder a grandes volúmenes de datos científicos utilizando políticas personalizables. Una vulnerabilidad de cross-site scripting reflejado fue localizada en versiones anteriores a la 35.8.3, 38.5.4 y 39.3.1 en la renderización del ExceptionMessage del error 500 de la WebUI, lo que podría permitir a los atacantes robar tokens de sesión de inicio de sesión de usuarios que naveguen a una URL especialmente diseñada. Las versiones 35.8.3, 38.5.4 y 39.3.1 solucionan el problema.

Gravedad CVSS v3.1: ALTA

Última modificación:

27/02/2026

Vulnerabilidad en Rucio (CVE-2026-25138)

Fecha de publicación:

25/02/2026

Idioma:

Español

Rucio es un framework de software que proporciona funcionalidad para organizar, gestionar y acceder a grandes volúmenes de datos científicos utilizando políticas personalizables. Antes de las versiones 35.8.3, 38.5.4 y 39.3.1, el endpoint de inicio de sesión de la WebUI devolvía mensajes de error distintos dependiendo de si un nombre de usuario proporcionado existía, permitiendo a atacantes no autenticados enumerar nombres de usuario válidos. Las versiones 35.8.3, 38.5.4 y 39.3.1 solucionan el problema.

Gravedad CVSS v3.1: MEDIA

Última modificación:

27/02/2026

Vulnerabilidad en VMware (CVE-2026-22720)

Fecha de publicación:

25/02/2026

Idioma:

Español

VMware Aria Operations contiene una vulnerabilidad de cross-site scripting almacenada. Un actor malicioso con privilegios para crear puntos de referencia personalizados podría inyectar scripts para realizar acciones administrativas en VMware Aria Operations. Para remediar CVE-2026-22720, aplique los parches enumerados en la columna &#39;Fixed Version&#39; de la &#39;Response Matrix&#39; de VMSA-2026-0001 https://support.broadcom.com/web/ecx/support-content-notification/-/external/content/SecurityAdvisories/0/36947https:// .

Gravedad CVSS v3.1: ALTA

Última modificación:

04/03/2026

Vulnerabilidad en Rucio (CVE-2026-25733)

Fecha de publicación:

25/02/2026

Idioma:

Español

Rucio es un framework de software que proporciona funcionalidad para organizar, gestionar y acceder a grandes volúmenes de datos científicos utilizando políticas personalizables. Las versiones anteriores a la 35.8.3, 38.5.4 y 39.3.1 tienen una vulnerabilidad de cross-site scripting (XSS) almacenado en la función de Reglas Personalizadas de la WebUI donde la entrada controlada por el atacante es persistida por el backend y luego renderizada en la WebUI sin una codificación de salida adecuada. Esto permite la ejecución arbitraria de JavaScript en el contexto de la WebUI para los usuarios que ven las páginas afectadas, lo que podría permitir el robo de tokens de sesión o acciones no autorizadas. Las versiones 35.8.3, 38.5.4 y 39.3.1 solucionan el problema.

Gravedad CVSS v3.1: ALTA

Última modificación:

27/02/2026

Vulnerabilidad en Rucio (CVE-2026-25734)

Fecha de publicación:

25/02/2026

Idioma:

Español

Rucio es un framework de software que proporciona funcionalidad para organizar, gestionar y acceder a grandes volúmenes de datos científicos utilizando políticas personalizables. Las versiones anteriores a la 35.8.3, 38.5.4 y 39.3.1 tienen una vulnerabilidad de cross-site scripting (XSS) almacenado en los metadatos RSE de la WebUI, donde la entrada controlada por el atacante es persistida por el backend y posteriormente renderizada en la WebUI sin una codificación de salida adecuada. Esto permite la ejecución arbitraria de JavaScript en el contexto de la WebUI para los usuarios que ven las páginas afectadas, lo que podría permitir el robo de tokens de sesión o acciones no autorizadas. Las versiones 35.8.3, 38.5.4 y 39.3.1 solucionan el problema.

Gravedad CVSS v3.1: MEDIA

Última modificación:

27/02/2026

Vulnerabilidad en VMware (CVE-2026-22719)

Fecha de publicación:

25/02/2026

Idioma:

Español

VMware Aria Operations contiene una vulnerabilidad de inyección de comandos. Un actor malicioso no autenticado puede explotar este problema para ejecutar comandos arbitrarios, lo que puede conducir a la ejecución remota de código en VMware Aria Operations mientras la migración del producto asistida por soporte está en curso. Para remediar CVE-2026-22719, aplique los parches enumerados en la columna &#39;Fixed Version&#39; de la &#39; Response Matrix https://support.broadcom.com/web/ecx/support-content-notification/-/external/content/SecurityAdvisories/0/36947 &#39; en VMSA-2026-0001 Las soluciones alternativas para CVE-2026-22719 están documentadas en la columna &#39;Workarounds&#39; de la &#39; Response Matrix https://support.broadcom.com/web/ecx/support-content-notification/-/external/content/SecurityAdvisories/0/36947 &#39; en VMSA-2026-0001

Gravedad CVSS v3.1: ALTA

Última modificación:

04/03/2026

Suscribirse a Vulnerabilidades