Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las últimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las últimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las últimas vulnerabilidades incorporadas al repositorio.

Vulnerabilidad en kit de sveltejs (CVE-2025-67647)

Fecha de publicación:

15/01/2026

Idioma:

Español

SvelteKit es un framework para desarrollar rápidamente aplicaciones web robustas y de alto rendimiento usando Svelte. Antes de la 2.49.5, SvelteKit es vulnerable a una falsificación de petición del lado del servidor (SSRF) y denegación de servicio (DoS) bajo ciertas condiciones. Desde la 2.44.0 hasta la 2.49.4, la vulnerabilidad resulta en una DoS cuando su aplicación tiene al menos una ruta prerrenderizada (export const prerender = true). Desde la 2.19.0 hasta la 2.49.4, la vulnerabilidad resulta en una DoS cuando su aplicación tiene al menos una ruta prerrenderizada y está usando adapter-node sin una variable de entorno ORIGIN configurada, y no está usando un proxy inverso que implemente la validación del encabezado Host. Esta vulnerabilidad está corregida en la 2.49.5.

Gravedad CVSS v4.0: ALTA

Última modificación:

21/01/2026

Vulnerabilidad en EcoStruxure Power Build Rapsody de Schneider Electric (CVE-2025-13844)

Fecha de publicación:

15/01/2026

Idioma:

Español

CWE-415: Existe una vulnerabilidad de doble liberación (Double Free) que podría causar corrupción de memoria en el heap cuando el usuario final importa un archivo de proyecto malicioso (archivo SSD) compartido por el atacante en Rapsody.

Gravedad CVSS v4.0: ALTA

Última modificación:

03/03/2026

Vulnerabilidad en EcoStruxure Power Build Rapsody de Schneider Electric (CVE-2025-13845)

Fecha de publicación:

15/01/2026

Idioma:

Español

CWE-416: Vulnerabilidad Use After Free que podría causar ejecución remota de código cuando el usuario final importa el archivo de proyecto malicioso (archivo SSD) en Rapsody.

Gravedad CVSS v4.0: ALTA

Última modificación:

27/04/2026

Vulnerabilidad en TL-WR841N v14 de TP-Link Systems Inc. (CVE-2025-9014)

Fecha de publicación:

15/01/2026

Idioma:

Español

Una vulnerabilidad de desreferencia de puntero nulo existe en la verificación del encabezado referer del portal web de TP-Link TL-WR841N v14, causada por una validación de entrada incorrecta. Un atacante remoto no autenticado puede explotar esta falla y causar denegación de servicio en el servicio del portal web. Este problema afecta a TL-WR841N v14: anterior a 250908.

Gravedad CVSS v4.0: MEDIA

Última modificación:

30/01/2026

Vulnerabilidad en Android de Google (CVE-2025-36911)

Fecha de publicación:

15/01/2026

Idioma:

Español

En el emparejamiento basado en claves, hay una posible revelación de información debido a un error lógico en el código. Esto podría llevar a la revelación de información remota (próxima/adyacente) de las conversaciones y la ubicación del usuario sin necesidad de privilegios de ejecución adicionales. No se necesita interacción del usuario para la explotación.

Gravedad CVSS v3.1: ALTA

Última modificación:

28/01/2026

Vulnerabilidad en GPAC (CVE-2025-70299)

Fecha de publicación:

15/01/2026

Idioma:

Español

Un desbordamiento de montículo en la función avi_parse_input_file() de GPAC v2.4.0 permite a los atacantes causar una Denegación de Servicio (DoS) a través de un archivo AVI manipulado.

Gravedad CVSS v3.1: MEDIA

Última modificación:

30/01/2026

Vulnerabilidad en GPAC (CVE-2025-70307)

Fecha de publicación:

15/01/2026

Idioma:

Español

Un desbordamiento de pila en la función dump_ttxt_sample de GPAC v2.4.0 permite a los atacantes causar una denegación de servicio (DoS) mediante un paquete manipulado.

Gravedad CVSS v3.1: ALTA

Última modificación:

30/01/2026

Vulnerabilidad en pimcore (CVE-2026-23493)

Fecha de publicación:

15/01/2026

Idioma:

Español

Pimcore es una Plataforma de Gestión de Datos y Experiencias de Código Abierto. Antes de las versiones 12.3.1 y 11.5.14, el archivo http_error_log almacena las variables $_COOKIE y $_SERVER, lo que significa que información sensible como contraseñas de base de datos, datos de sesión de cookie y otros detalles pueden ser accedidos o recuperados a través del backend de Pimcore. Esta vulnerabilidad está corregida en las versiones 12.3.1 y 11.5.14.

Gravedad CVSS v3.1: ALTA

Última modificación:

20/01/2026

Vulnerabilidad en pimcore (CVE-2026-23494)

Fecha de publicación:

15/01/2026

Idioma:

Español

Pimcore es una Plataforma de Gestión de Datos y Experiencias de Código Abierto. Antes de 12.3.1 y 11.5.14, la aplicación falla en aplicar controles de autorización adecuados del lado del servidor en el endpoint de la API responsable de leer o listar rutas estáticas. En Pimcore, las rutas estáticas son patrones de URL personalizados definidos a través de la interfaz de backend o el archivo var/config/staticroutes.php, incluyendo detalles como patrones basados en regex, controladores, variables y prioridades. Estas rutas se registran automáticamente a través del PimcoreStaticRoutesBundle e integradas en el sistema de enrutamiento MVC. Las pruebas revelaron que un usuario de backend autenticado que carecía de permisos explícitos pudo invocar el endpoint (por ejemplo, GET /api/static-routes) y recuperar configuraciones de rutas sensibles. Esta vulnerabilidad se corrige en 12.3.1 y 11.5.14.

Gravedad CVSS v3.1: MEDIA

Última modificación:

20/01/2026

Vulnerabilidad en pimcore (CVE-2026-23495)

Fecha de publicación:

15/01/2026

Idioma:

Español

El Admin Classic Bundle de Pimcore proporciona una interfaz de usuario de backend para Pimcore. Antes de las versiones 2.2.3 y 1.7.16, el endpoint de la API para listar Propiedades Predefinidas en la plataforma Pimcore carece de comprobaciones de autorización adecuadas del lado del servidor. Las Propiedades Predefinidas son definiciones de metadatos configurables (por ejemplo, nombre, clave, tipo, valor predeterminado) utilizadas en documentos, activos y objetos para estandarizar atributos personalizados y mejorar los flujos de trabajo editoriales, como se documenta en la guía oficial de propiedades de Pimcore. Las pruebas confirmaron que un usuario de backend autenticado sin permisos explícitos para la gestión de propiedades podría llamar con éxito al endpoint y recuperar la lista completa de estas configuraciones. La vulnerabilidad está corregida en las versiones 2.2.3 y 1.7.16.

Gravedad CVSS v3.1: MEDIA

Última modificación:

30/01/2026

Vulnerabilidad en pimcore (CVE-2026-23496)

Fecha de publicación:

15/01/2026

Idioma:

Español

El Pimcore Web2Print Tools Bundle añade herramientas para casos de uso web-to-print a Pimcore. Antes de las versiones 5.2.2 y 6.1.1, la aplicación no logra aplicar comprobaciones de autorización adecuadas del lado del servidor en el endpoint de la API responsable de gestionar las &#39;Favourite Output Channel Configurations&#39;. Las pruebas revelaron que un usuario de backend autenticado sin carecer explícitamente de permisos para esta característica aún podía invocar exitosamente el endpoint y modificar o recuperar estas configuraciones. Esta vulnerabilidad está corregida en las versiones 5.2.2 y 6.1.1.

Gravedad CVSS v3.1: MEDIA

Última modificación:

30/01/2026

Vulnerabilidad en Cisco Identity Services Engine Software (CVE-2026-20047)

Fecha de publicación:

15/01/2026

Idioma:

Español

Una vulnerabilidad en la interfaz de gestión basada en web de Cisco Identity Services Engine (ISE) y Cisco ISE Passive Identity Connector (ISE-PIC) podría permitir a un atacante remoto autenticado realizar ataques de cross-site scripting (XSS) contra un usuario de la interfaz.<br /> <br /> Esta vulnerabilidad se debe a una validación insuficiente de la entrada proporcionada por el usuario por parte de la interfaz de gestión basada en web de un sistema afectado. Un atacante podría explotar esta vulnerabilidad inyectando código malicioso en páginas específicas de la interfaz. Un exploit exitoso podría permitir al atacante ejecutar código de script arbitrario en el contexto de la interfaz afectada o acceder a información sensible basada en el navegador. Para explotar esta vulnerabilidad, el atacante debe tener credenciales administrativas válidas.

Gravedad CVSS v3.1: MEDIA

Última modificación:

30/01/2026

Suscribirse a Vulnerabilidades