Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las ultimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las ultimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las ultimas vulnerabilidades incorporadas al repositorio.

Vulnerabilidad en Heatmiser Netmonitor de Heatmiser (CVE-2019-25322)

Fecha de publicación:

12/02/2026

Idioma:

Español

Heatmiser Netmonitor 3.03 contiene una vulnerabilidad de credenciales codificadas de forma rígida en la página networkSetup.htm con credenciales de inicio de sesión de administrador predecibles. Los atacantes pueden acceder al dispositivo utilizando el nombre de usuario codificado de forma rígida &#39;admin&#39; y la contraseña &#39;admin&#39; en los campos de entrada de formulario ocultos.

Gravedad CVSS v4.0: CRÍTICA

Última modificación:

13/02/2026

Vulnerabilidad en AVS Audio Converter (CVE-2019-25318)

Fecha de publicación:

12/02/2026

Idioma:

Español

AVS Audio Converter 9.1.2.600 contiene una vulnerabilidad de desbordamiento de pila que permite a los atacantes ejecutar código arbitrario manipulando la entrada de texto de la carpeta de salida. Los atacantes pueden crear una carga útil maliciosa que sobrescribe la memoria de pila y activa un bind shell en el puerto 9999 cuando se hace clic en el botón Browse.

Gravedad CVSS v4.0: ALTA

Última modificación:

13/02/2026

Vulnerabilidad en @directus/api (CVE-2026-26185)

Fecha de publicación:

12/02/2026

Idioma:

Español

Directus es una API en tiempo real y un panel de control de aplicaciones para gestionar contenido de bases de datos SQL. Antes de 11.14.1, existe una vulnerabilidad de enumeración de usuarios basada en tiempo en la funcionalidad de restablecimiento de contraseña. Cuando se proporciona un parámetro reset_url no válido, el tiempo de respuesta difiere en aproximadamente 500 ms entre usuarios existentes y no existentes, lo que permite una enumeración de usuarios fiable. Esta vulnerabilidad se ha corregido en 11.14.1.

Gravedad CVSS v3.1: MEDIA

Última modificación:

20/02/2026

Vulnerabilidad en Log Reporter de Intego (CVE-2026-26224)

Fecha de publicación:

12/02/2026

Idioma:

Español

Intego Log Reporter, una utilidad de diagnóstico de macOS incluida con los productos de seguridad de Intego que recopila registros del sistema y de aplicaciones para análisis de soporte, contiene una vulnerabilidad de escalada de privilegios local. Un script de diagnóstico ejecutado como root crea y escribe archivos en /tmp sin aplicar un manejo seguro del directorio, introduciendo una condición de carrera de tiempo de verificación a tiempo de uso (TOCTOU). Un usuario local sin privilegios puede explotar una condición de carrera basada en symlink para causar escrituras de archivos arbitrarias en ubicaciones privilegiadas del sistema, lo que resulta en una escalada de privilegios a root.

Gravedad CVSS v4.0: ALTA

Última modificación:

13/02/2026

Vulnerabilidad en Personal Backup de Intego (CVE-2026-26225)

Fecha de publicación:

12/02/2026

Idioma:

Español

Intego Personal Backup, una utilidad de copia de seguridad de macOS que permite a los usuarios crear copias de seguridad programadas y clones de sistema arrancables, contiene una vulnerabilidad de escalada de privilegios local. Las definiciones de tareas de copia de seguridad se almacenan en una ubicación escribible por usuarios no privilegiados mientras se procesan con privilegios elevados. Al crear un archivo de tarea serializado malicioso, un atacante local puede desencadenar escrituras de archivos arbitrarias en ubicaciones sensibles del sistema, lo que lleva a la escalada de privilegios a root.

Gravedad CVSS v4.0: ALTA

Última modificación:

13/02/2026

Vulnerabilidad en Yoke de yokecd (CVE-2026-26055)

Fecha de publicación:

12/02/2026

Idioma:

Español

Yoke es un desplegador de paquetes de infraestructura como código (IaC) inspirado en Helm. En la versión 0.19.0 y anteriores, existe una vulnerabilidad en el componente Air Traffic Controller (ATC) de Yoke. Los puntos finales del webhook de ATC carecen de mecanismos de autenticación adecuados, lo que permite que cualquier pod dentro de la red del clúster envíe directamente solicitudes de AdmissionReview al webhook, eludiendo la autenticación del Kubernetes API Server. Esto permite a los atacantes activar la ejecución de módulos WASM en el contexto del controlador ATC sin la autorización adecuada.

Gravedad CVSS v3.1: ALTA

Última modificación:

13/02/2026

Vulnerabilidad en Yoke de yokecd (CVE-2026-26056)

Fecha de publicación:

12/02/2026

Idioma:

Español

Yoke es un desplegador de paquetes de infraestructura como código (IaC) inspirado en Helm. En la versión 0.19.0 y anteriores, existe una vulnerabilidad en el componente Air Traffic Controller (ATC) de Yoke. Permite a los usuarios con permisos de creación/actualización de CR ejecutar código WASM arbitrario en el contexto del controlador ATC inyectando una URL maliciosa a través de la anotación overrides.yoke.cd/flight. El controlador ATC descarga y ejecuta el módulo WASM sin una validación de URL adecuada, lo que permite a los atacantes crear recursos arbitrarios de Kubernetes o potencialmente escalar privilegios a nivel de cluster-admin.

Gravedad CVSS v3.1: ALTA

Última modificación:

13/02/2026

Vulnerabilidad en emp3r0r de jm33-m0 (CVE-2026-26068)

Fecha de publicación:

12/02/2026

Idioma:

Español

emp3r0r es un C2 centrado en el sigilo, diseñado por usuarios de Linux para entornos Linux. Antes de la versión 3.21.1, los metadatos no confiables del agente (Transport, Hostname) eran aceptados durante el registro (check-in) y posteriormente interpolados en cadenas de comandos de shell de tmux ejecutadas a través de /bin/sh -c. Esto permite la inyección de comandos y la ejecución remota de código en el host del operador. Esta vulnerabilidad está corregida en la versión 3.21.1.

Gravedad CVSS v4.0: CRÍTICA

Última modificación:

25/02/2026

Vulnerabilidad en ntpd-rs (CVE-2026-26076)

Fecha de publicación:

12/02/2026

Idioma:

Español

ntpd-rs es una implementación completa del Protocolo de Tiempo de Red. Antes de la versión 1.7.1, un atacante puede inducir remotamente aumentos moderados (2-4 veces por encima de lo normal) en el uso de la CPU. Cuando NTS está habilitado en un servidor ntpd-rs, un atacante puede crear paquetes NTS malformados que requieren un esfuerzo significativamente mayor para que el servidor responda al solicitar un gran número de cookies. Esto puede llevar a una degradación del rendimiento del servidor incluso cuando un servidor podría manejar la carga de otra manera. Esta vulnerabilidad está corregida en la versión 1.7.1.

Gravedad CVSS v4.0: MEDIA

Última modificación:

23/02/2026

Vulnerabilidad en FastGPT (CVE-2026-26075)

Fecha de publicación:

12/02/2026

Idioma:

Español

FastGPT es una plataforma de creación de Agentes de IA. Debido a que los nodos de adquisición de páginas web de FastGPT, los nodos HTTP, etc., necesitan iniciar solicitudes de adquisición de datos desde el servidor, existen ciertos problemas de seguridad. Además de implementar el aislamiento de red interno en el entorno de despliegue, esta optimización ha añadido una detección más estricta de direcciones de red internas. Esta vulnerabilidad se corrige en 4.14.7.

Gravedad CVSS v4.0: MEDIA

Última modificación:

23/02/2026

Vulnerabilidad en scraparr (CVE-2026-26069)

Fecha de publicación:

12/02/2026

Idioma:

Español

Scraparr es un Prometheus Exporter para varios componentes de la *arr Suite. Desde la 3.0.0-beta hasta antes de la 3.0.2, cuando la integración de Readarr estaba habilitada, el exportador exponía la clave API de Readarr configurada como el valor de la etiqueta de métrica de alias. Los usuarios se veían afectados solo si se cumplían todas las siguientes condiciones, la función de scraping de Readarr estaba habilitada y no se había configurado ningún alias, el endpoint /metrics del exportador era accesible para usuarios externos o no autorizados, y la instancia de Readarr es accesible externamente. Si el endpoint /metrics era públicamente accesible, la clave API de Readarr podría haber sido divulgada a través de los datos de métricas exportados. Esta vulnerabilidad está corregida en la 3.0.2.

Gravedad CVSS v4.0: CRÍTICA

Última modificación:

23/02/2026

Vulnerabilidad en grub-btrfs (CVE-2026-25828)

Fecha de publicación:

12/02/2026

Idioma:

Español

grub-btrfs hasta el 31-01-2026 (en Arch Linux y distribuciones derivadas) permite la inyección de comandos del sistema operativo en initramfs porque no sanea el parámetro $root de resolve_device().

Gravedad CVSS v3.1: MEDIA

Última modificación:

13/02/2026

Suscribirse a Vulnerabilidades