Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las últimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las últimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las últimas vulnerabilidades incorporadas al repositorio.

Vulnerabilidad en Marketing Cloud Engagement (CVE-2026-22586)

Fecha de publicación:
24/01/2026
Idioma:
Español
Vulnerabilidad de clave criptográfica codificada de forma rígida en Salesforce Marketing Cloud Engagement (módulos CloudPages, Forward to a Friend, Profile Center, Subscription Center, Unsub Center, View As Webpage) permite la manipulación del protocolo de servicios web. Este problema afecta a Marketing Cloud Engagement: antes del 21 de enero de 2026.
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
15/05/2026

Vulnerabilidad en Marketing Cloud Engagement (CVE-2026-22582)

Fecha de publicación:
24/01/2026
Idioma:
Español
Vulnerabilidad de Neutralización Inadecuada de Delimitadores de Argumentos en un Comando ('Inyección de Argumentos') en Salesforce Marketing Cloud Engagement (módulo MicrositeUrl) permite la Manipulación del Protocolo de Servicios Web. Este problema afecta a Marketing Cloud Engagement: antes del 21 de enero de 2026.
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
12/02/2026

Vulnerabilidad en XWiki (CVE-2026-24128)

Fecha de publicación:
24/01/2026
Idioma:
Español
XWiki Platform es una plataforma wiki genérica que ofrece servicios en tiempo de ejecución para aplicaciones construidas sobre ella. Las versiones 7.0-milestone-2 hasta 16.10.11, 17.0.0-rc-1 hasta 17.4.4, y 17.5.0-rc-1 hasta 17.7.0 contienen una vulnerabilidad de cross-site scripting (XSS) reflejado, que permite a un atacante crear una URL maliciosa y ejecutar acciones arbitrarias con los mismos privilegios que la víctima. Si la víctima tiene derechos administrativos o de programación, esos derechos pueden ser explotados para obtener acceso completo a la instalación de XWiki. Este problema ha sido parcheado en las versiones 17.8.0-rc-1, 17.4.5 y 16.10.12. Como solución alternativa, el parche puede aplicarse manualmente, solo una línea en templates/logging_macros.vm necesita ser cambiada, no se requiere reiniciar.
Gravedad CVSS v4.0: MEDIA
Última modificación:
12/02/2026

Vulnerabilidad en Saleor (CVE-2026-24136)

Fecha de publicación:
24/01/2026
Idioma:
Español
Saleor es una plataforma de comercio electrónico. Las versiones 3.2.0 a 3.20.109, 3.21.0-a.0 a 3.21.44 y 3.22.0-a.0 a 3.22.28 tienen una vulnerabilidad de Referencia Directa Insegura a Objeto (IDOR) que permite a actores no autenticados extraer información sensible en texto plano. Los pedidos creados antes de Saleor 3.2.0 podrían haber tenido PIIs exfiltrados. El problema ha sido parcheado en las versiones de Saleor: 3.22.29, 3.21.45 y 3.20.110. Como solución alternativa, bloquee temporalmente a los usuarios que no son personal de obtener información de pedidos (la consulta GraphQL order()) usando un WAF.
Gravedad CVSS v4.0: ALTA
Última modificación:
12/02/2026

Vulnerabilidad en MyTube (CVE-2026-24139)

Fecha de publicación:
24/01/2026
Idioma:
Español
MyTube es un descargador y reproductor autoalojado para varios sitios web de video. Las versiones 1.7.78 e inferiores no protegen contra la omisión de autorización, permitiendo a los usuarios invitados descargar la base de datos completa de la aplicación. La aplicación no valida correctamente los permisos de usuario en el punto final de exportación de la base de datos, permitiendo a los usuarios con bajos privilegios acceder a datos sensibles a los que no deberían tener permiso para ver.
Gravedad CVSS v4.0: ALTA
Última modificación:
02/02/2026

Vulnerabilidad en MyTube (CVE-2026-24140)

Fecha de publicación:
24/01/2026
Idioma:
Español
MyTube es un descargador y reproductor autoalojado para varios sitios web de vídeo. Las versiones 1.7.78 e inferiores tienen una vulnerabilidad de Asignación Masiva en la funcionalidad de gestión de configuraciones debido a una validación de entrada insuficiente. La función saveSettings() de la aplicación acepta pares clave-valor arbitrarios sin validar los nombres de las propiedades contra las configuraciones permitidas. La función utiliza Record como tipo de entrada e itera sobre todas las entradas usando Object.entries() sin filtrar propiedades no autorizadas. Cualquier campo enviado por el atacante se persiste directamente en la base de datos, independientemente de si corresponde a una configuración legítima de la aplicación. Este problema ha sido solucionado en la versión 1.7.78.
Gravedad CVSS v3.1: BAJA
Última modificación:
02/02/2026

Vulnerabilidad en components de DioxusLabs (CVE-2026-24474)

Fecha de publicación:
24/01/2026
Idioma:
Español
Dioxus Components es una librería de componentes estilo shadcn para el framework de aplicaciones Dioxus. Antes del commit 41e4242ecb1062d04ae42a5215363c1d9fd4e23a, `use_animated_open` formatea una cadena para `eval` con un `id` que puede ser proporcionado por el usuario. El commit 41e4242ecb1062d04ae42a5215363c1d9fd4e23a parchea el problema.
Gravedad CVSS v4.0: MEDIA
Última modificación:
15/04/2026

CVE-2026-0991

Fecha de publicación:
23/01/2026
Idioma:
Inglés
*** Pendiente de traducción *** Rejected reason: This CVE ID has been rejected or withdrawn by its CVE Numbering Authority.
Gravedad: Pendiente de análisis
Última modificación:
23/01/2026

Vulnerabilidad en Typemill (CVE-2026-24127)

Fecha de publicación:
23/01/2026
Idioma:
Español
Typemill es un CMS de archivo plano, basado en Markdown, diseñado para sitios web de documentación informativa. Un Cross-Site Scripting (XSS) reflejado existe en la plantilla de vista de error de inicio de sesión 'login.twig' de las versiones 2.19.1 e inferiores. El valor 'username' puede ser devuelto sin la codificación contextual adecuada cuando la autenticación falla. Un atacante puede ejecutar scripts en el contexto de la página de inicio de sesión. Este problema ha sido solucionado en la versión 2.19.2.
Gravedad CVSS v3.1: MEDIA
Última modificación:
02/02/2026

CVE-2025-12780

Fecha de publicación:
23/01/2026
Idioma:
Inglés
*** Pendiente de traducción *** Rejected reason: This CVE ID has been rejected or withdrawn by its CVE Numbering Authority.
Gravedad: Pendiente de análisis
Última modificación:
23/01/2026

Vulnerabilidad en Sourcecodester Modern Image Gallery App (CVE-2025-70457)

Fecha de publicación:
23/01/2026
Idioma:
Español
Una vulnerabilidad de ejecución remota de código (RCE) existe en Sourcecodester Modern Image Gallery App v1.0 dentro del componente gallery/upload.php. La aplicación no valida correctamente el contenido de los archivos subidos. Además, la aplicación conserva la extensión de archivo proporcionada por el usuario durante el proceso de guardado. Esto permite a un atacante no autenticado subir código PHP arbitrario suplantando el tipo MIME como una imagen, lo que lleva a un compromiso total del sistema.
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
30/01/2026

Vulnerabilidad en DomainCheckerApp de Sourcecodester (CVE-2025-70458)

Fecha de publicación:
23/01/2026
Idioma:
Español
Una vulnerabilidad de cross-site scripting (XSS) basada en DOM existe en la clase DomainCheckerApp dentro de domain/script.js de Sourcecodester Domain Availability Checker v1.0. La vulnerabilidad ocurre porque la aplicación maneja incorrectamente los datos proporcionados por el usuario en el método createResultElement al usar la propiedad insegura innerHTML para renderizar los resultados de búsqueda de dominio.
Gravedad CVSS v3.1: MEDIA
Última modificación:
30/01/2026