Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las ultimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las ultimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las ultimas vulnerabilidades incorporadas al repositorio.

CVE-2026-27520

Fecha de publicación:

24/02/2026

Idioma:

Inglés

*** Pendiente de traducción *** Binardat 10G08-0800GSM network switch firmware versions prior to V300SP10260209 store a user password in a client-side cookie as a Base64-encoded value accessible via the web interface. Because Base64 is reversible and provides no confidentiality, an attacker who can access the cookie value can recover the plaintext password.

Gravedad CVSS v4.0: ALTA

Última modificación:

25/02/2026

CVE-2026-27507

Fecha de publicación:

24/02/2026

Idioma:

Inglés

*** Pendiente de traducción *** Binardat 10G08-0800GSM network switch firmware version V300SP10260209 and prior contain hard-coded administrative credentials that cannot be changed by users. Knowledge of these credentials allows full administrative access to the device.

Gravedad CVSS v4.0: CRÍTICA

Última modificación:

25/02/2026

CVE-2026-23678

Fecha de publicación:

24/02/2026

Idioma:

Inglés

*** Pendiente de traducción *** Binardat 10G08-0800GSM network switch firmware version V300SP10260209 and prior contain a command injection vulnerability in the traceroute diagnostic function of the affected device web management interface. By injecting the %1a character into the hostname parameter, an authenticated attacker with access to the web interface can execute arbitrary CLI commands on the device.

Gravedad CVSS v4.0: ALTA

Última modificación:

25/02/2026

CVE-2026-27515

Fecha de publicación:

24/02/2026

Idioma:

Inglés

*** Pendiente de traducción *** Binardat 10G08-0800GSM network switch firmware versions prior to V300SP10260209 generate predictable numeric session identifiers in the web management interface. An attacker can guess valid session IDs and hijack authenticated sessions.

Gravedad CVSS v4.0: CRÍTICA

Última modificación:

25/02/2026

CVE-2025-69985

Fecha de publicación:

24/02/2026

Idioma:

Inglés

*** Pendiente de traducción *** FUXA 1.2.8 and prior contains an Authentication Bypass vulnerability leading to Remote Code Execution (RCE). The vulnerability exists in the server/api/jwt-helper.js middleware, which improperly trusts the HTTP "Referer" header to validate internal requests. A remote unauthenticated attacker can bypass JWT authentication by spoofing the Referer header to match the server&#39;s host. Successful exploitation allows the attacker to access the protected /api/runscript endpoint and execute arbitrary Node.js code on the server.

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

25/02/2026

CVE-2025-47904

Fecha de publicación:

24/02/2026

Idioma:

Inglés

*** Pendiente de traducción *** Download of Code Without Integrity Check vulnerability in Microchip Time Provider 4100 allows Malicious Manual Software Update.This issue affects Time Provider 4100: before 2.5.

Gravedad CVSS v4.0: MEDIA

Última modificación:

24/02/2026

CVE-2025-63409

Fecha de publicación:

24/02/2026

Idioma:

Inglés

*** Pendiente de traducción *** Privilege escalation and improper access control in GCOM EPON 1GE C00R371V00B01 allows remote authenticated users to modify administrator only settings and extract administrator credentials.

Gravedad CVSS v3.1: ALTA

Última modificación:

25/02/2026

CVE-2026-3101

Fecha de publicación:

24/02/2026

Idioma:

Inglés

*** Pendiente de traducción *** A vulnerability was found in Intelbras TIP 635G 1.12.3.5. This vulnerability affects unknown code of the component Ping Handler. The manipulation results in os command injection. The attack can be executed remotely. The exploit has been made public and could be used. The vendor was contacted early about this disclosure but did not respond in any way.

Gravedad CVSS v4.0: MEDIA

Última modificación:

24/02/2026

CVE-2026-3102

Fecha de publicación:

24/02/2026

Idioma:

Inglés

*** Pendiente de traducción *** A vulnerability was determined in exiftool up to 13.49 on macOS. This issue affects the function SetMacOSTags of the file lib/Image/ExifTool/MacOS.pm of the component PNG File Parser. This manipulation of the argument DateTimeOriginal causes os command injection. The attack is possible to be carried out remotely. The exploit has been publicly disclosed and may be utilized. Upgrading to version 13.50 is capable of addressing this issue. Patch name: e9609a9bcc0d32bd252a709a562fb822d6dd86f7. Upgrading the affected component is recommended.

Gravedad CVSS v4.0: MEDIA

Última modificación:

24/02/2026

CVE-2026-27584

Fecha de publicación:

24/02/2026

Idioma:

Inglés

*** Pendiente de traducción *** Actual is a local-first personal finance tool. Prior to version 26.2.1, missing authentication middleware in the ActualBudget server component allows any unauthenticated user to query the SimpleFIN and Pluggy.ai integration endpoints and read sensitive bank account balance and transaction information. This vulnerability allows an unauthenticated attacker to read the bank account balance and transaction history of ActualBudget users. This vulnerability impacts all ActualBudget Server users with the SimpleFIN or Pluggy.ai integrations configured. The ActualBudget Server instance must be reachable over the network. Version 26.2.1 patches the issue.

Gravedad CVSS v4.0: CRÍTICA

Última modificación:

24/02/2026

CVE-2026-27732

Fecha de publicación:

24/02/2026

Idioma:

Inglés

*** Pendiente de traducción *** WWBN AVideo is an open source video platform. Prior to version 22.0, the `aVideoEncoder.json.php` API endpoint accepts a `downloadURL` parameter and fetches the referenced resource server-side without proper validation or an allow-list. This allows authenticated users to trigger server-side requests to arbitrary URLs (including internal network endpoints). An authenticated attacker can leverage SSRF to interact with internal services and retrieve sensitive data (e.g., internal APIs, metadata services), potentially leading to further compromise depending on the deployment environment. This issue has been fixed in AVideo version 22.0.

Gravedad CVSS v4.0: ALTA

Última modificación:

25/02/2026

CVE-2026-27483

Fecha de publicación:

24/02/2026

Idioma:

Inglés

*** Pendiente de traducción *** MindsDB is a platform for building artificial intelligence from enterprise data. Prior to version 25.9.1.1, there is a path traversal vulnerability in Mindsdb&#39;s /api/files interface, which an authenticated attacker can exploit to achieve remote command execution. The vulnerability exists in the "Upload File" module, which corresponds to the API endpoint /api/files. Since the multipart file upload does not perform security checks on the uploaded file path, an attacker can perform path traversal by using `../` sequences in the filename field. The file write operation occurs before calling clear_filename and save_file, meaning there is no filtering of filenames or file types, allowing arbitrary content to be written to any path on the server. Version 25.9.1.1 patches the issue.

Gravedad CVSS v3.1: ALTA

Última modificación:

24/02/2026

Suscribirse a Vulnerabilidades