Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las últimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las últimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las últimas vulnerabilidades incorporadas al repositorio.

Vulnerabilidad en Cisco (CVE-2026-20075)

Fecha de publicación:
15/01/2026
Idioma:
Español
Una vulnerabilidad en la interfaz de gestión basada en web de Cisco Evolved Programmable Network Manager (EPNM) y Cisco Prime Infrastructure podría permitir a un atacante remoto autenticado realizar un ataque de cross-site scripting (XSS) almacenado contra los usuarios de la interfaz de un sistema afectado.<br /> <br /> Esta vulnerabilidad existe porque la interfaz de gestión basada en web no valida correctamente la entrada proporcionada por el usuario. Un atacante podría explotar esta vulnerabilidad insertando código malicioso en campos de datos específicos de la interfaz. Un exploit exitoso podría permitir al atacante ejecutar código de script arbitrario en el contexto de la interfaz afectada o acceder a información sensible basada en el navegador. Para explotar esta vulnerabilidad, un atacante debe tener credenciales administrativas válidas.
Gravedad CVSS v3.1: MEDIA
Última modificación:
30/01/2026

Vulnerabilidad en Cisco Identity Services Engine Software (CVE-2026-20076)

Fecha de publicación:
15/01/2026
Idioma:
Español
Una vulnerabilidad en la interfaz de gestión basada en web de Cisco Identity Services Engine (ISE) podría permitir a un atacante remoto y autenticado realizar un ataque de cross-site scripting (XSS) almacenado contra un usuario de la interfaz.<br /> <br /> Esta vulnerabilidad se debe a una validación insuficiente de la entrada proporcionada por el usuario por parte de la interfaz de gestión basada en web de un sistema afectado. Un atacante podría explotar esta vulnerabilidad inyectando código malicioso en páginas específicas de la interfaz. Un exploit exitoso podría permitir al atacante ejecutar código de script arbitrario en el contexto de la interfaz afectada o acceder a información sensible basada en el navegador. Para explotar esta vulnerabilidad, el atacante debe tener credenciales administrativas válidas.
Gravedad CVSS v3.1: MEDIA
Última modificación:
30/01/2026

Vulnerabilidad en roxy-wi (CVE-2026-22265)

Fecha de publicación:
15/01/2026
Idioma:
Español
Roxy-WI es una interfaz web para gestionar servidores Haproxy, Nginx, Apache y Keepalived. Anteriormente a la versión 8.2.8.2, existe una vulnerabilidad de inyección de comandos en la funcionalidad de visualización de registros que permite a usuarios autenticados ejecutar comandos de sistema arbitrarios. La vulnerabilidad se encuentra en app/modules/roxywi/logs.py línea 87, donde el parámetro grep se utiliza dos veces — una vez saneado y otra sin procesar. Esta vulnerabilidad se corrigió en la versión 8.2.8.2.
Gravedad CVSS v3.1: ALTA
Última modificación:
18/02/2026

Vulnerabilidad en docs de suitenumerique (CVE-2026-22867)

Fecha de publicación:
15/01/2026
Idioma:
Español
LaSuite Doc es una plataforma colaborativa de toma de notas, wiki y documentación. Desde la versión 3.8.0 hasta la 4.3.0, existe una vulnerabilidad de cross-site scripting (XSS) almacenado en la función de interconexión. Cuando un usuario crea un enlace a otro documento dentro del editor, la URL de ese enlace no es validada. Un atacante con privilegios de edición de documentos puede inyectar una URL maliciosa de javascript: que ejecuta código arbitrario cuando otros usuarios hacen clic en el enlace. Esta vulnerabilidad está corregida en la versión 4.4.0.
Gravedad CVSS v3.1: ALTA
Última modificación:
12/03/2026

Vulnerabilidad en GPAC (CVE-2025-70308)

Fecha de publicación:
15/01/2026
Idioma:
Español
Una lectura fuera de límites en el componente de filtro demuxer GSF de GPAC v2.4.0 permite a los atacantes causar una denegación de servicio (DoS) mediante un archivo .gsf manipulado.
Gravedad CVSS v3.1: ALTA
Última modificación:
23/01/2026

Vulnerabilidad en GPAC (CVE-2025-70309)

Fecha de publicación:
15/01/2026
Idioma:
Español
Un desbordamiento de pila en la función pcmreframe_flush_packet de GPAC v2.4.0 permite a los atacantes causar una Denegación de Servicio (DoS) mediante un archivo WAV manipulado.
Gravedad CVSS v3.1: MEDIA
Última modificación:
23/01/2026

Vulnerabilidad en GPAC (CVE-2025-70310)

Fecha de publicación:
15/01/2026
Idioma:
Español
Un desbordamiento de montículo en la función vorbis_to_intern() de GPAC v2.4.0 permite a los atacantes causar una denegación de servicio (DoS) mediante un archivo .ogg manipulado.
Gravedad CVSS v3.1: MEDIA
Última modificación:
23/01/2026

Vulnerabilidad en Tenda AX-1806 (CVE-2025-70656)

Fecha de publicación:
15/01/2026
Idioma:
Español
Se descubrió que Tenda AX-1806 v1.0.0.1 contenía un desbordamiento de pila en el parámetro mac de la función sub_65B5C. Esta vulnerabilidad permite a los atacantes causar una denegación de servicio (DoS) mediante una solicitud manipulada.
Gravedad CVSS v3.1: ALTA
Última modificación:
20/01/2026

Vulnerabilidad en GPAC (CVE-2025-70298)

Fecha de publicación:
15/01/2026
Idioma:
Español
GPAC v2.4.0 se descubrió que contenía una lectura fuera de límites en la función oggdmx_parse_tags.
Gravedad CVSS v3.1: ALTA
Última modificación:
23/01/2026

Vulnerabilidad en GPAC (CVE-2025-70304)

Fecha de publicación:
15/01/2026
Idioma:
Español
Un desbordamiento de búfer en la función vobsub_get_subpic_duration() de GPAC v2.4.0 permite a los atacantes causar una Denegación de Servicio (DoS) mediante un paquete manipulado.
Gravedad CVSS v3.1: ALTA
Última modificación:
23/01/2026

Vulnerabilidad en GPAC (CVE-2025-70305)

Fecha de publicación:
15/01/2026
Idioma:
Español
Un desbordamiento de pila en la función dmx_saf de GPAC v2.4.0 permite a los atacantes causar una Denegación de Servicio (DoS) mediante un archivo .saf manipulado.
Gravedad CVSS v3.1: MEDIA
Última modificación:
23/01/2026

Vulnerabilidad en dpanel de donknap (CVE-2025-66292)

Fecha de publicación:
15/01/2026
Idioma:
Español
DPanel es un panel de gestión de servidor de código abierto escrito en Go. Anterior a 1.9.2, DPanel tiene una vulnerabilidad de eliminación arbitraria de archivos en la interfaz /api/common/attach/delete. Los usuarios autenticados pueden eliminar archivos arbitrarios en el servidor mediante salto de ruta. Cuando un usuario inicia sesión en el backend administrativo, esta interfaz puede usarse para eliminar archivos. La vulnerabilidad reside en la función Delete dentro del archivo app/common/http/controller/attach.go. El parámetro de ruta enviado por el usuario se pasa directamente a storage.Local{}.GetSaveRealPath y, posteriormente, a os.Remove sin una sanitización adecuada o sin verificar caracteres de salto de ruta (../). Y la función auxiliar en common/service/storage/local.go utiliza filepath.Join, que resuelve ../ pero no impone un chroot/jail. Esta vulnerabilidad está corregida en 1.9.2.
Gravedad CVSS v3.1: ALTA
Última modificación:
12/03/2026