Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las últimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las últimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las últimas vulnerabilidades incorporadas al repositorio.

Vulnerabilidad en WP Cost Estimation &amp; Payment Forms Builder de loopus (CVE-2019-25295)

Fecha de publicación:

08/01/2026

Idioma:

Español

El plugin WP Cost Estimation para WordPress es vulnerable a salto de directorio de carga en versiones anteriores a la 9.660 a través de la función uploadFormFiles. Esto permite a los atacantes sobrescribir cualquier archivo con un tipo en la lista blanca en un sitio afectado.

Gravedad CVSS v3.1: MEDIA

Última modificación:

15/04/2026

Vulnerabilidad en Greenshot Vulnerable to OS Command Injection via ExternalCommand Plugin (CVE-2026-22035)

Fecha de publicación:

08/01/2026

Idioma:

Español

Greenshot es una utilidad de captura de pantalla de código abierto para Windows. Las versiones 1.3.310 e inferiores son vulnerables a la inyección de comandos del sistema operativo a través del procesamiento de nombres de archivo no saneados. El método FormatArguments en ExternalCommandDestination.cs:269 utiliza string.Format() para insertar nombres de archivo controlados por el usuario directamente en comandos de shell sin saneamiento, lo que permite a los atacantes ejecutar comandos arbitrarios al crear nombres de archivo maliciosos que contienen metacaracteres de shell. Este problema está corregido en la versión 1.3.311.

Gravedad CVSS v3.1: ALTA

Última modificación:

27/01/2026

Vulnerabilidad en flagForge de FlagForgeCTF (CVE-2026-21868)

Fecha de publicación:

08/01/2026

Idioma:

Español

Flag Forge es una plataforma de Capture The Flag (CTF). Las versiones 2.3.2 e inferiores tienen una vulnerabilidad de denegación de servicio por expresión regular (ReDoS) en el endpoint de la API de perfil de usuario (/api/user/[username]). La aplicación construye una expresión regular dinámicamente utilizando entrada de usuario sin escapar (el parámetro username). Un atacante puede explotar esto enviando un nombre de usuario especialmente diseñado que contenga metacaracteres de regex (p. ej., grupos anidados profundamente o cuantificadores), lo que provoca que el motor de regex de MongoDB consuma recursos excesivos de CPU. Esto puede llevar a la denegación de servicio para otros usuarios. El problema está solucionado en la versión 2.3.3. Como solución alternativa a este problema, implemente una regla de cortafuegos de aplicaciones web (WAF) para bloquear las solicitudes que contengan metacaracteres de regex en la ruta URL.

Gravedad CVSS v3.1: ALTA

Última modificación:

20/01/2026

Vulnerabilidad en n8n de n8n-io (CVE-2026-21877)

Fecha de publicación:

08/01/2026

Idioma:

Español

n8n es una plataforma de automatización de flujos de trabajo de código abierto. En las versiones 0.121.2 e inferiores, un atacante autenticado podría ejecutar código malicioso utilizando el servicio n8n. Esto podría resultar en un compromiso total y puede impactar tanto las instancias autoalojadas como las de n8n Cloud. Este problema está solucionado en la versión 1.121.3. Los administradores pueden reducir la exposición deshabilitando el nodo Git y limitando el acceso a usuarios no confiables, pero se recomienda actualizar a la última versión.

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

20/01/2026

Vulnerabilidad en mailpit de axllent (CVE-2026-21859)

Fecha de publicación:

08/01/2026

Idioma:

Español

Mailpit es una herramienta de prueba de correo electrónico y una API para desarrolladores. Las versiones 1.28.0 e inferiores tienen una vulnerabilidad de falsificación de petición del lado del servidor (SSRF) en el endpoint /proxy, permitiendo a los atacantes realizar peticiones a recursos de la red interna. El endpoint /proxy valida los esquemas http:// y https://, pero no bloquea las direcciones IP internas, lo que permite a los atacantes acceder a servicios y API internas. Esta vulnerabilidad está limitada a peticiones HTTP GET con encabezados mínimos. El problema está solucionado en la versión 1.28.1.

Gravedad CVSS v3.1: MEDIA

Última modificación:

02/02/2026

Vulnerabilidad en llama.cpp de ggml-org (CVE-2026-21869)

Fecha de publicación:

08/01/2026

Idioma:

Español

llama.cpp es una inferencia de varios modelos LLM en C/C++. En los commits 55d4206c8 y anteriores, el parámetro n_discard se analiza directamente de la entrada JSON en los puntos finales de completado del servidor de llama.cpp sin validación para asegurar que no sea negativo. Cuando se suministra un valor negativo y el contexto se llena, llama_memory_seq_rm/add recibe un rango invertido y un desplazamiento negativo, causando escrituras de memoria fuera de límites en el bucle de evaluación de tokens. Esta corrupción de memoria determinista puede bloquear el proceso o permitir la ejecución remota de código (RCE). No hay una solución en el momento de la publicación.

Gravedad CVSS v3.1: ALTA

Última modificación:

02/02/2026

Vulnerabilidad en ClipBucket (CVE-2026-21875)

Fecha de publicación:

08/01/2026

Idioma:

Español

ClipBucket v5 es una plataforma de código abierto para compartir vídeos. Las versiones 5.5.2-#187 y anteriores permiten a un atacante realizar una inyección SQL ciega a través de la sección de comentarios de un canal. Al añadir un comentario en un canal, se envía una solicitud POST al punto final /actions/ajax.php. El parámetro obj_id de la solicitud POST a /actions/ajax.php se utiliza posteriormente en la función user_exists del archivo upload/includes/classes/user.class.php como parámetro $id. A continuación, se utiliza en la función count del archivo upload/includes/classes/db.class.php. El parámetro $id se concatena en la consulta sin validación ni sanitización, y una entrada proporcionada por el usuario como 1&#39; o 1=1-- puede utilizarse para desencadenar la inyección. Esta vulnerabilidad no tiene solución en el momento de la publicación.

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

27/01/2026

Vulnerabilidad en titra de kromitgmbh (CVE-2026-21694)

Fecha de publicación:

08/01/2026

Idioma:

Español

Titra es un software de seguimiento de tiempo de proyectos de código abierto. Las versiones 0.99.49 e inferiores tienen un Control de Acceso Inadecuado, permitiendo a los usuarios ver y editar las entradas de tiempo de otros usuarios en proyectos privados a los que no se les ha concedido acceso. Este problema se ha solucionado en la versión 0.99.50.

Gravedad CVSS v3.1: MEDIA

Última modificación:

12/01/2026

Vulnerabilidad en titra de kromitgmbh (CVE-2026-21695)

Fecha de publicación:

08/01/2026

Idioma:

Español

Titra es un software de seguimiento de tiempo de proyectos de código abierto. En las versiones 0.99.49 e inferiores, una API tiene una vulnerabilidad de Asignación Masiva que permite a los usuarios autenticados inyectar campos arbitrarios en las entradas de tiempo, eludiendo los controles de lógica de negocio a través del parámetro customfields. El endpoint afectado utiliza el operador de propagación de JavaScript (...customfields) para fusionar la entrada controlada por el usuario directamente en el documento de la base de datos. Aunque customfields se valida como un tipo de Objeto, no hay validación de qué claves están permitidas dentro de ese objeto. Esto permite a los atacantes sobrescribir campos protegidos como userId, hours y state. El problema está solucionado en la versión 0.99.50.

Gravedad CVSS v3.1: MEDIA

Última modificación:

12/01/2026

Vulnerabilidad en n8n de n8n-io (CVE-2026-21858)

Fecha de publicación:

08/01/2026

Idioma:

Español

n8n es una plataforma de automatización de flujos de trabajo de código abierto. Las versiones a partir de la 1.65.0 y anteriores a la 1.121.0 permiten a un atacante acceder a archivos en el servidor subyacente mediante la ejecución de ciertos flujos de trabajo basados en formularios. Un flujo de trabajo vulnerable podría conceder acceso a un atacante remoto no autenticado, lo que resultaría en la exposición de información sensible almacenada en el sistema y podría permitir un mayor compromiso dependiendo de la configuración de despliegue y el uso del flujo de trabajo. Este problema está solucionado en la versión 1.121.0.

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

16/01/2026

Vulnerabilidad en Smartliving SmartLAN/G/SI de INIM Electronics s.r.l. (CVE-2019-25291)

Fecha de publicación:

08/01/2026

Idioma:

Español

INIM Electronics Smartliving SmartLAN/G/SI &lt;=6.x contiene credenciales codificadas de forma rígida en su imagen de distribución de Linux que no pueden cambiarse mediante las operaciones normales del dispositivo. Los atacantes pueden exploit estas credenciales persistentes para iniciar sesión y obtener acceso no autorizado al sistema en múltiples modelos de dispositivos SmartLiving.

Gravedad CVSS v4.0: CRÍTICA

Última modificación:

15/04/2026

CVE-2025-15346

Fecha de publicación:

08/01/2026

Idioma:

Inglés

*** Pendiente de traducción *** A vulnerability in the handling of verify_mode = CERT_REQUIRED in the wolfssl Python package (wolfssl-py) causes client certificate requirements to not be fully enforced. Because the WOLFSSL_VERIFY_FAIL_IF_NO_PEER_CERT flag was not included, the behavior effectively matched CERT_OPTIONAL: a peer certificate was verified if presented, but connections were incorrectly authenticated when no client certificate was provided. This results in improper authentication, allowing attackers to bypass mutual TLS (mTLS) client authentication by omitting a client certificate during the TLS handshake. The issue affects versions up to and including 5.8.2.

Gravedad CVSS v4.0: CRÍTICA

Última modificación:

15/04/2026