Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las ultimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las ultimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las ultimas vulnerabilidades incorporadas al repositorio.

Vulnerabilidad en scraparr (CVE-2026-26069)

Fecha de publicación:
12/02/2026
Idioma:
Español
Scraparr es un Prometheus Exporter para varios componentes de la *arr Suite. Desde la 3.0.0-beta hasta antes de la 3.0.2, cuando la integración de Readarr estaba habilitada, el exportador exponía la clave API de Readarr configurada como el valor de la etiqueta de métrica de alias. Los usuarios se veían afectados solo si se cumplían todas las siguientes condiciones, la función de scraping de Readarr estaba habilitada y no se había configurado ningún alias, el endpoint /metrics del exportador era accesible para usuarios externos o no autorizados, y la instancia de Readarr es accesible externamente. Si el endpoint /metrics era públicamente accesible, la clave API de Readarr podría haber sido divulgada a través de los datos de métricas exportados. Esta vulnerabilidad está corregida en la 3.0.2.
Gravedad CVSS v4.0: CRÍTICA
Última modificación:
23/02/2026

Vulnerabilidad en emp3r0r de jm33-m0 (CVE-2026-26068)

Fecha de publicación:
12/02/2026
Idioma:
Español
emp3r0r es un C2 centrado en el sigilo, diseñado por usuarios de Linux para entornos Linux. Antes de la versión 3.21.1, los metadatos no confiables del agente (Transport, Hostname) eran aceptados durante el registro (check-in) y posteriormente interpolados en cadenas de comandos de shell de tmux ejecutadas a través de /bin/sh -c. Esto permite la inyección de comandos y la ejecución remota de código en el host del operador. Esta vulnerabilidad está corregida en la versión 3.21.1.
Gravedad CVSS v4.0: CRÍTICA
Última modificación:
25/02/2026

Vulnerabilidad en grub-btrfs (CVE-2026-25828)

Fecha de publicación:
12/02/2026
Idioma:
Español
grub-btrfs hasta el 31-01-2026 (en Arch Linux y distribuciones derivadas) permite la inyección de comandos del sistema operativo en initramfs porque no sanea el parámetro $root de resolve_device().
Gravedad CVSS v3.1: MEDIA
Última modificación:
13/02/2026

Vulnerabilidad en Airleader Master (CVE-2026-1358)

Fecha de publicación:
12/02/2026
Idioma:
Español
Airleader Master versiones 6.381 y anteriores permiten la carga de archivos sin restricción a múltiples páginas web ejecutándose con privilegios máximos. Esto podría permitir a un usuario no autenticado obtener potencialmente la ejecución remota de código en el servidor.
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
17/02/2026

Vulnerabilidad en Dropbear (CVE-2025-14282)

Fecha de publicación:
12/02/2026
Idioma:
Español
Se encontró una vulnerabilidad en Dropbear. Cuando se ejecuta en modo multiusuario y autentica usuarios, el servidor ssh dropbear realiza los reenvíos de sockets solicitados por el cliente remoto como root, cambiando al usuario autenticado solo al generar un shell o al realizar algunas operaciones como leer los archivos del usuario. Con la capacidad reciente de también usar sockets de dominio unix como destino de reenvío, cualquier usuario capaz de iniciar sesión a través de ssh puede conectarse a cualquier socket unix con las credenciales de root, eludiendo tanto las restricciones del sistema de archivos como cualquier verificación SO_PEERCRED / SO_PASSCRED realizada por el par.
Gravedad CVSS v3.1: MEDIA
Última modificación:
18/02/2026

Vulnerabilidad en lty628 aidigu (CVE-2025-70845)

Fecha de publicación:
12/02/2026
Idioma:
Español
lty628 aidigu v1.9.1 es vulnerable a Cross Site Scripting (XSS) que existe en la página /setting/ donde el campo 'intro' no está correctamente saneado o escapado.
Gravedad CVSS v3.1: MEDIA
Última modificación:
13/02/2026

Vulnerabilidad en Clipbucket-v5 de MacWarrior (CVE-2026-26005)

Fecha de publicación:
12/02/2026
Idioma:
Español
ClipBucket v5 es una plataforma de código abierto para compartir videos. Anterior a la versión 5.5.3 - #45, en Clip Bucket V5, la función 'Remote Play' permite crear entradas de video que referencian URLs de videos externos sin subir los archivos de video al servidor. Sin embargo, al especificar un host de red interno en la URL del video, se puede activar un SSRF, lo que provoca que se envíen solicitudes GET a servidores internos. Un atacante puede explotar esto para escanear la red interna. Incluso un usuario regular (no privilegiado) puede llevar a cabo el ataque.
Gravedad CVSS v3.1: MEDIA
Última modificación:
18/02/2026

Vulnerabilidad en AutoGPT (CVE-2026-26020)

Fecha de publicación:
12/02/2026
Idioma:
Español
AutoGPT es una plataforma que permite a los usuarios crear, desplegar y gestionar agentes de inteligencia artificial continuos que automatizan flujos de trabajo complejos. Antes de la versión 0.6.48, un usuario autenticado podría lograr Ejecución Remota de Código (RCE) en el servidor de backend al incrustar un bloque deshabilitado dentro de un grafo. El BlockInstallationBlock — una herramienta de desarrollo capaz de escribir e importar código Python arbitrario — estaba marcado como disabled=True, pero la validación del grafo no aplicaba esta bandera. Esto permitía a cualquier usuario autenticado eludir la restricción al incluir el bloque como un nodo en un grafo, en lugar de llamar directamente al punto final de ejecución del bloque (que sí aplicaba la bandera). Esta vulnerabilidad está corregida en la versión 0.6.48.
Gravedad CVSS v4.0: CRÍTICA
Última modificación:
17/02/2026

Vulnerabilidad en navigation2 (CVE-2026-26011)

Fecha de publicación:
12/02/2026
Idioma:
Español
navigation2 es un Framework y Sistema de Navegación de ROS 2. En 1.3.11 y versiones anteriores, existe una vulnerabilidad crítica de escritura fuera de límites en el heap en la lógica de agrupamiento del filtro de partículas de Nav2 AMCL. Al publicar un único mensaje manipulado geometry_msgs/PoseWithCovarianceStamped con valores de covarianza extremos en el tema /initialpose, un atacante no autenticado en el mismo dominio DDS de ROS 2 puede desencadenar una escritura de índice negativo (set->clusters[-1]) en la memoria del heap que precede al búfer asignado. En las compilaciones de lanzamiento, la única comprobación de límites (assert) se elimina en la compilación, dejando cero protección en tiempo de ejecución. Esta primitiva permite la corrupción controlada de los metadatos del fragmento del heap (al menos el tamaño del fragmento del heap donde se encuentra set->clusters es controlable por el atacante), lo que podría conducir a una explotación posterior. Como mínimo, proporciona una denegación de servicio fiable de un solo paquete que detiene la localización y toda la navegación.
Gravedad CVSS v4.0: CRÍTICA
Última modificación:
23/02/2026

Vulnerabilidad en Silicon Labs Matter (CVE-2026-0619)

Fecha de publicación:
12/02/2026
Idioma:
Español
Un bucle infinito alcanzable a través de un desbordamiento de enteros está presente en el SDK de Matter de Silicon Labs, lo que permite a un atacante desencadenar una denegación de servicio. Se requiere un reinicio forzado para recuperar el dispositivo.
Gravedad CVSS v4.0: MEDIA
Última modificación:
13/02/2026

Vulnerabilidad en XWiki-platform (CVE-2026-26000)

Fecha de publicación:
12/02/2026
Idioma:
Español
La Plataforma XWiki es una plataforma wiki genérica que ofrece servicios en tiempo de ejecución para aplicaciones construidas sobre ella. Antes de las versiones 17.9.0, 17.4.6 y 16.10.13, era posible, usando comentarios, inyectar CSS que transformaría toda la wiki en un área de enlaces que llevaría a una página maliciosa. Esta vulnerabilidad está corregida en las versiones 17.9.0, 17.4.6 y 16.10.13.
Gravedad CVSS v4.0: MEDIA
Última modificación:
19/02/2026

Vulnerabilidad en Inspektor Gadget (CVE-2026-25996)

Fecha de publicación:
12/02/2026
Idioma:
Español
Inspektor Gadget es un conjunto de herramientas y framework para la recopilación de datos y la inspección del sistema en clústeres de Kubernetes y hosts Linux utilizando eBPF. Los campos de cadena de los eventos eBPF en modo de salida de columnas se renderizan en la terminal sin ninguna sanitización de caracteres de control o secuencias de escape ANSI. Por lo tanto, una carga útil de evento forjada maliciosamente – parcial o completamente –, proveniente de un contenedor observado, podría inyectar las secuencias de escape en la terminal de los operadores de ig, con diversos efectos. El modo de salida de columnas es el predeterminado al ejecutar ig run de forma interactiva.
Gravedad CVSS v4.0: MEDIA
Última modificación:
23/02/2026