Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las ultimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las ultimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las ultimas vulnerabilidades incorporadas al repositorio.

Vulnerabilidad en Apple (CVE-2025-46302)

Fecha de publicación:

11/02/2026

Idioma:

Español

El problema se abordó con comprobaciones de límites mejoradas. Este problema se corrigió en macOS Sequoia 15.7.4, iOS 18.7.5 y iPadOS 18.7.5, macOS Sonoma 14.8.4. Un dispositivo HID malicioso puede causar una caída inesperada del proceso.

Gravedad CVSS v3.1: MEDIA

Última modificación:

13/02/2026

Vulnerabilidad en Apple (CVE-2025-46303)

Fecha de publicación:

11/02/2026

Idioma:

Español

El problema se abordó con comprobaciones de límites mejoradas. Este problema se corrige en macOS Sequoia 15.7.4, iOS 18.7.5 y iPadOS 18.7.5, macOS Sonoma 14.8.4. Un dispositivo HID malicioso puede causar un cierre inesperado del proceso.

Gravedad CVSS v3.1: MEDIA

Última modificación:

13/02/2026

Vulnerabilidad en Apple (CVE-2025-46304)

Fecha de publicación:

11/02/2026

Idioma:

Español

El problema se abordó con comprobaciones de límites mejoradas. Este problema está corregido en macOS Sequoia 15.7.4, iOS 18.7.5 y iPadOS 18.7.5, macOS Sonoma 14.8.4. Un dispositivo HID malicioso puede causar un cierre inesperado del proceso.

Gravedad CVSS v3.1: MEDIA

Última modificación:

13/02/2026

Vulnerabilidad en Apple (CVE-2025-43403)

Fecha de publicación:

11/02/2026

Idioma:

Español

Se abordó un problema de autorización con una gestión de estado mejorada. Este problema está corregido en macOS Sequoia 15.7.4, macOS Sonoma 14.8.4. Una aplicación podría acceder a datos sensibles del usuario.

Gravedad CVSS v3.1: MEDIA

Última modificación:

13/02/2026

Vulnerabilidad en set-in (CVE-2026-26021)

Fecha de publicación:

11/02/2026

Idioma:

Español

set-in proporciona el valor establecido de una estructura asociativa anidada dado un array de claves. Una vulnerabilidad de contaminación de prototipos existe en el paquete npm set-in (&gt;=2.0.1, &lt; 2.0.5). A pesar de una corrección anterior que intentó mitigar la contaminación de prototipos al verificar si la entrada del usuario contenía una clave prohibida, todavía es posible contaminar Object.prototype a través de una entrada manipulada usando Array.prototype. Esto ha sido corregido en la versión 2.0.5.

Gravedad CVSS v4.0: CRÍTICA

Última modificación:

13/02/2026

Vulnerabilidad en Dify (CVE-2026-26023)

Fecha de publicación:

11/02/2026

Idioma:

Español

Dify es una plataforma de desarrollo de aplicaciones LLM de código abierto. Antes de la versión 1.13.0, se ha encontrado una vulnerabilidad de cross-site scripting en el frontend de chat de la aplicación web al usar echarts. Las entradas de usuario o de LLM que contengan echarts con una carga útil de javascript específica se ejecutarán. Esta vulnerabilidad está corregida en la versión 1.13.0.

Gravedad CVSS v4.0: MEDIA

Última modificación:

13/02/2026

Vulnerabilidad en sf-mcp-server (CVE-2026-26029)

Fecha de publicación:

11/02/2026

Idioma:

Español

sf-mcp-server es una implementación del servidor Salesforce MCP para Claude para Escritorio. Una vulnerabilidad de inyección de comandos existe en sf-mcp-server debido al uso inseguro de child_process.exec al construir comandos de Salesforce CLI con entrada controlada por el usuario. La explotación exitosa permite a los atacantes ejecutar comandos de shell arbitrarios con los privilegios del proceso del servidor MCP.

Gravedad CVSS v3.1: ALTA

Última modificación:

12/02/2026

Vulnerabilidad en Frappe Learning Management System (CVE-2026-26031)

Fecha de publicación:

11/02/2026

Idioma:

Español

Frappe Learning Management System (LMS) es un sistema de aprendizaje que ayuda a los usuarios a estructurar su contenido. Previo a la versión 2.44.0, se identificó un problema de seguridad en Frappe Learning, donde usuarios no autorizados pudieron acceder a la lista completa de estudiantes matriculados (por correo electrónico) en lotes. Esta vulnerabilidad se corrigió en la versión 2.44.0.

Gravedad CVSS v4.0: BAJA

Última modificación:

12/02/2026

CVE-2026-26012

Fecha de publicación:

11/02/2026

Idioma:

Inglés

*** Pendiente de traducción *** vaultwarden is an unofficial Bitwarden compatible server written in Rust, formerly known as bitwarden_rs. Prior to 1.35.3, a regular organization member can retrieve all ciphers within an organization, regardless of collection permissions. The endpoint /ciphers/organization-details is accessible to any organization member and internally uses Cipher::find_by_org to retrieve all ciphers. These ciphers are returned with CipherSyncType::Organization without enforcing collection-level access control. This vulnerability is fixed in 1.35.3.

Gravedad CVSS v3.1: MEDIA

Última modificación:

13/02/2026

Vulnerabilidad en LangChain (CVE-2026-26019)

Fecha de publicación:

11/02/2026

Idioma:

Español

LangChain es un framework para construir aplicaciones impulsadas por LLM. Antes de la versión 1.1.14, la clase RecursiveUrlLoader en @langchain/community es un rastreador web que sigue enlaces recursivamente desde una URL inicial. Su opción preventOutside (habilitada por defecto) está destinada a restringir el rastreo al mismo sitio que la URL base. La implementación utilizaba String.startsWith() para comparar URLs, lo que no realiza una validación semántica de URL. Un atacante que controla contenido en una página rastreada podría incluir enlaces a dominios que comparten un prefijo de cadena con el objetivo, haciendo que el rastreador siga enlaces a infraestructura controlada por el atacante o interna. Además, el rastreador no realizaba ninguna validación contra direcciones IP privadas o reservadas. Una página rastreada podría incluir enlaces dirigidos a servicios de metadatos en la nube, localhost o direcciones RFC 1918, y el rastreador los obtendría sin restricción. Esta vulnerabilidad está corregida en la versión 1.1.14.

Gravedad CVSS v3.1: MEDIA

Última modificación:

19/02/2026

CVE-2024-50619

Fecha de publicación:

11/02/2026

Idioma:

Inglés

*** Pendiente de traducción *** Vulnerabilities in the My Account and User Management components in CIPPlanner CIPAce before 9.17 allows attackers to escalate their access levels. A low-privileged authenticated user can gain access to other people&#39;s accounts by tampering with the client&#39;s user id to change their account information. A low-privileged authenticated user can elevate his or her system privileges by modifying the information of a user role that is disabled in the client.

Gravedad CVSS v3.1: ALTA

Última modificación:

13/02/2026

CVE-2024-50617

Fecha de publicación:

11/02/2026

Idioma:

Inglés

*** Pendiente de traducción *** Vulnerabilities in the File Download and Get File handler components in CIPPlanner CIPAce before 9.17 allow attackers to download unauthorized files. An authenticated user can easily change the file id parameter or pass the physical file path in the URL query string to retrieve the files. (Retrieval is not intended without correct data access configured for documents.)

Gravedad CVSS v3.1: ALTA

Última modificación:

13/02/2026

Suscribirse a Vulnerabilidades