Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las últimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las últimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las últimas vulnerabilidades incorporadas al repositorio.

Vulnerabilidad en CRMEB (CVE-2026-1202)

Fecha de publicación:

20/01/2026

Idioma:

Español

Una falla de seguridad ha sido descubierta en CRMEB hasta la versión 5.6.3. El elemento afectado es la función appleLogin del archivo crmeb/app/API/controller/v1/LoginController.PHP. Realizar una manipulación del argumento openId resulta en autenticación impropia. El ataque es posible de llevar a cabo de forma remota. El exploit ha sido publicado y puede ser utilizado para ataques. El proveedor fue contactado tempranamente sobre esta divulgación pero no respondió de ninguna manera.

Gravedad CVSS v4.0: MEDIA

Última modificación:

29/04/2026

Vulnerabilidad en CRMEB (CVE-2026-1203)

Fecha de publicación:

20/01/2026

Idioma:

Español

Se ha identificado una debilidad en CRMEB hasta la versión 5.6.3. El elemento afectado es la función remoteRegister del archivo crmeb/app/services/user/LoginServices.PHP del componente JSON Token Handler. La ejecución de una manipulación del argumento uid puede llevar a una autenticación incorrecta. El ataque puede realizarse de forma remota. El ataque requiere un alto nivel de complejidad. La explotabilidad se considera difícil. El exploit se ha puesto a disposición del público y podría utilizarse para ataques. Se contactó al proveedor con antelación sobre esta divulgación, pero no respondió de ninguna manera.

Gravedad CVSS v4.0: BAJA

Última modificación:

29/04/2026

Vulnerabilidad en Chainlit (CVE-2026-22219)

Fecha de publicación:

20/01/2026

Idioma:

Español

Las versiones de Chainlit anteriores a la 2.9.4 contienen una vulnerabilidad de falsificación de petición del lado del servidor (SSRF) en el flujo de actualización de /project/element cuando se configura con el backend de la capa de datos de SQLAlchemy. Un cliente autenticado puede proporcionar un valor de URL controlado por el usuario en un Element, que es recuperado por la lógica de creación de elementos de SQLAlchemy utilizando una petición HTTP GET saliente. Esto permite a un atacante realizar peticiones HTTP arbitrarias desde el servidor de Chainlit a servicios de red internos o puntos finales de metadatos en la nube y almacenar las respuestas recuperadas a través del proveedor de almacenamiento configurado.

Gravedad CVSS v4.0: ALTA

Última modificación:

02/02/2026

Vulnerabilidad en MineAdmin (CVE-2026-1194)

Fecha de publicación:

20/01/2026

Idioma:

Español

Se ha descubierto una falla de seguridad en MineAdmin 1.x/2.x. Esto afecta una función desconocida del componente Swagger. La manipulación resulta en revelación de información. El ataque puede realizarse de forma remota. El exploit ha sido publicado y puede ser utilizado para ataques. Se contactó con el proveedor con antelación sobre esta revelación, pero no respondió de ninguna manera.

Gravedad CVSS v4.0: MEDIA

Última modificación:

05/02/2026

Vulnerabilidad en Chainlit (CVE-2026-22218)

Fecha de publicación:

20/01/2026

Idioma:

Español

Las versiones de Chainlit anteriores a la 2.9.4 contienen una vulnerabilidad de lectura arbitraria de archivos en el flujo de actualización de /project/element. Un cliente autenticado puede enviar un Element personalizado con un valor de ruta controlado por el usuario, haciendo que el servidor copie el archivo referenciado en la sesión del atacante. El identificador de elemento resultante (chainlitKey) puede usarse entonces para recuperar el contenido del archivo a través de /project/file/, permitiendo la divulgación de cualquier archivo legible por el servicio Chainlit.

Gravedad CVSS v4.0: ALTA

Última modificación:

02/02/2026

Vulnerabilidad en Image Photo Gallery Final Tiles Grid de wpchill (CVE-2025-15466)

Fecha de publicación:

20/01/2026

Idioma:

Español

El plugin Image Photo Gallery Final Tiles Grid para WordPress es vulnerable a acceso no autorizado y modificación de datos debido a la falta de comprobaciones de capacidad en múltiples acciones AJAX en todas las versiones hasta la 3.6.9, inclusive. Esto hace posible que atacantes autenticados, con acceso de nivel Colaborador y superior, puedan ver, crear, modificar, clonar, eliminar y reasignar la propiedad de galerías creadas por otros usuarios, incluidos los administradores.

Gravedad CVSS v3.1: MEDIA

Última modificación:

15/04/2026

Vulnerabilidad en Tosei (CVE-2026-1192)

Fecha de publicación:

19/01/2026

Idioma:

Español

Se determinó una vulnerabilidad en Tosei Online Store Management System ??????????? 1.01. El elemento afectado es una función desconocida del archivo /cgi-bin/imode_alldata.php. La ejecución de una manipulación del argumento DevId puede llevar a una inyección de comandos. El ataque puede ejecutarse de forma remota. El exploit ha sido divulgado públicamente y puede ser utilizado. Se contactó al proveedor con antelación sobre esta divulgación, pero no respondió de ninguna manera.

Gravedad CVSS v4.0: MEDIA

Última modificación:

29/04/2026

Vulnerabilidad en MineAdmin (CVE-2026-1193)

Fecha de publicación:

19/01/2026

Idioma:

Español

Una vulnerabilidad fue identificada en MineAdmin 1.x/2.x. El elemento afectado es una función desconocida del archivo /system/cache/view del componente View Interface. La manipulación conduce a una autorización indebida. El ataque es posible de llevar a cabo de forma remota. El exploit está disponible públicamente y podría ser utilizado. El proveedor fue contactado tempranamente sobre esta divulgación, pero no respondió de ninguna manera.

Gravedad CVSS v4.0: BAJA

Última modificación:

29/04/2026

Vulnerabilidad en KSOA de Yonyou (CVE-2026-1179)

Fecha de publicación:

19/01/2026

Idioma:

Español

Una vulnerabilidad fue detectada en Yonyou KSOA 9.0. Esto afecta una parte desconocida del archivo /kmf/user_popedom.jsp del componente HTTP GET Parameter Handler. La manipulación del argumento folderid resulta en inyección SQL. El ataque puede ser lanzado remotamente. El exploit es ahora público y puede ser utilizado. El proveedor fue contactado tempranamente sobre esta divulgación pero no respondió de ninguna manera.

Gravedad CVSS v4.0: MEDIA

Última modificación:

29/04/2026

Vulnerabilidad en Alchemy (CVE-2026-23885)

Fecha de publicación:

19/01/2026

Idioma:

Español

Alchemy es un motor de sistema de gestión de contenido de código abierto escrito en Ruby on Rails. Antes de las versiones 7.4.12 y 8.0.3, la aplicación utiliza la función `eval()` de Ruby para ejecutar dinámicamente una cadena proporcionada por el atributo `resource_handler.engine_name` en `Alchemy::ResourcesHelper#resource_url_proxy`. La vulnerabilidad existe en `app/helpers/alchemy/resources_helper.rb` en la línea 28. El código omite explícitamente el análisis de seguridad con `# rubocop:disable Security/Eval`, indicando que el uso de una función peligrosa era conocido pero no mitigado adecuadamente. Dado que `engine_name` se obtiene de definiciones de módulos que pueden ser influenciadas por configuraciones de administración, permite a un atacante autenticado escapar de la sandbox de Ruby y ejecutar comandos de sistema arbitrarios en el sistema operativo anfitrión. Las versiones 7.4.12 y 8.0.3 solucionan el problema reemplazando `eval()` por `send()`.

Gravedad CVSS v3.1: MEDIA

Última modificación:

09/04/2026

Vulnerabilidad en Arcane (CVE-2026-23944)

Fecha de publicación:

19/01/2026

Idioma:

Español

Arcane es una interfaz para gestionar contenedores Docker, imágenes, redes y volúmenes. Antes de la versión 1.13.2, las solicitudes no autenticadas podían ser redirigidas a agentes de entornos remotos, permitiendo el acceso a recursos de entornos remotos sin autenticación. El middleware de proxy de entorno manejaba las solicitudes `/api/environments/{id}/...` para entornos remotos antes de que se aplicara la autenticación. Cuando el ID del entorno no era local, el middleware redirigía la solicitud y adjuntaba el token de agente en posesión del gestor, incluso si el solicitante no estaba autenticado. Esto permitía el acceso no autenticado a operaciones de entornos remotos (por ejemplo, listar contenedores, transmitir registros u otros puntos finales de agente). Un atacante no autenticado podía acceder y manipular recursos de entornos remotos a través del proxy, lo que podría llevar a la exposición de datos, cambios no autorizados o interrupción del servicio. La versión 1.13.2 corrige la vulnerabilidad.

Gravedad CVSS v4.0: ALTA

Última modificación:

02/02/2026

Vulnerabilidad en KSOA de Yonyou (CVE-2026-1177)

Fecha de publicación:

19/01/2026

Idioma:

Español

Una debilidad ha sido identificada en Yonyou KSOA 9.0. Afectada por esta vulnerabilidad es una funcionalidad desconocida del archivo /kmf/save_folder.jsp del componente HTTP GET Parameter Handler. La ejecución de una manipulación del argumento folderid puede llevar a inyección SQL. Es posible lanzar el ataque remotamente. El exploit ha sido puesto a disposición del público y podría ser utilizado para ataques. El proveedor fue contactado tempranamente sobre esta divulgación pero no respondió de ninguna manera.

Gravedad CVSS v4.0: MEDIA

Última modificación:

29/04/2026

Suscribirse a Vulnerabilidades