Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las últimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las últimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las últimas vulnerabilidades incorporadas al repositorio.

CVE-2025-4386

Fecha de publicación:

07/05/2026

Idioma:

Inglés

*** Pendiente de traducción *** Medtronic MyCareLink Patient Monitor has an internal serial interface, which allows an attacker with physical access to access a login prompt via a UART terminal.

Gravedad CVSS v3.1: MEDIA

Última modificación:

07/05/2026

CVE-2025-4397

Fecha de publicación:

07/05/2026

Idioma:

Inglés

*** Pendiente de traducción *** Medtronic MyCareLink Patient Monitor uses per-product credentials that are stored in a recoverable format. An attacker can use these credentials to modify encrypted drive data.

Gravedad CVSS v3.1: MEDIA

Última modificación:

07/05/2026

CVE-2025-65122

Fecha de publicación:

07/05/2026

Idioma:

Inglés

*** Pendiente de traducción *** Regex Denial of Service in youtube-regex npm package through version 1.0.5.

Gravedad CVSS v3.1: ALTA

Última modificación:

07/05/2026

CVE-2025-63704

Fecha de publicación:

07/05/2026

Idioma:

Inglés

*** Pendiente de traducción *** NPM package query-parser-string 1.0.0 is vulnerable to Prototype Pollution. The package does not properly sanitize user supplied query parameters and merges them to the newly created object.

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

08/05/2026

CVE-2025-63703

Fecha de publicación:

07/05/2026

Idioma:

Inglés

*** Pendiente de traducción *** npm package parse-ini v1.0.6 is vulnerable to Prototype Pollution in index.js().

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

08/05/2026

CVE-2026-44349

Fecha de publicación:

07/05/2026

Idioma:

Inglés

*** Pendiente de traducción *** Daptin is a GraphQL/JSON-API headless CMS. Prior to version 0.11.5, processFuzzySearch in server/resource/resource_findallpaginated.go:1484 splits the user-supplied column parameter by comma and interpolates each segment directly into goqu.L(fmt.Sprintf("LOWER(%s) LIKE ?", prefix+col)) raw SQL with no column whitelist check. The entry point is GET /api/ with operator=fuzzy (or fuzzy_any, fuzzy_all). Any authenticated user — including one who self-registered with no admin involvement — can read the entire database. This issue has been patched in version 0.11.5.

Gravedad CVSS v4.0: ALTA

Última modificación:

08/05/2026

CVE-2026-44264

Fecha de publicación:

07/05/2026

Idioma:

Inglés

*** Pendiente de traducción *** Weblate is a web based localization tool. Prior to version 5.17.1, the Markdown renderer used in user comments and other user-provided content didn&#39;t properly sanitize some attributes. This issue has been patched in version 5.17.1.

Gravedad CVSS v3.1: MEDIA

Última modificación:

11/05/2026

CVE-2026-44263

Fecha de publicación:

07/05/2026

Idioma:

Inglés

*** Pendiente de traducción *** Weblate is a web based localization tool. Prior to version 5.17.1, the screenshots, tasks, and component link API allowed for the enumeration of translations in a project inaccessible to the user. This issue has been patched in version 5.17.1.

Gravedad CVSS v3.1: MEDIA

Última modificación:

11/05/2026

CVE-2026-41688

Fecha de publicación:

07/05/2026

Idioma:

Inglés

*** Pendiente de traducción *** Wallos is an open-source, self-hostable personal subscription tracker. In versions 4.8.4 and prior, the incomplete SSRF fix in Wallos validates webhook URLs via gethostbyname() but passes the original hostname to cURL without CURLOPT_RESOLVE pinning on 10 of 11 outbound HTTP endpoints, leaving a DNS rebinding TOCTOU window. At time of publication, there are no publicly available patches.

Gravedad CVSS v3.1: ALTA

Última modificación:

07/05/2026

CVE-2026-41687

Fecha de publicación:

07/05/2026

Idioma:

Inglés

*** Pendiente de traducción *** Wallos is an open-source, self-hostable personal subscription tracker. Prior to version 4.8.1, the SSRF protection in endpoints/subscription/add.php (line 42) and endpoints/payments/add.php (line 40) uses an inline IP validation check (FILTER_FLAG_NO_PRIV_RANGE | FILTER_FLAG_NO_RES_RANGE) that does not block CGNAT addresses (100.64.0.0/10, RFC 6598). The includes/ssrf_helper.php file explicitly defines is_cgnat_ip() to cover this gap (used by notification endpoints), but the logo/icon URL fetching in subscription and payment endpoints performs its own inline validation that misses this range. This allows authenticated users to perform Blind SSRF to internal services in Tailscale, Carrier-Grade NAT, and other environments using 100.64.0.0/10 addresses. This issue has been patched in version 4.8.1.

Gravedad CVSS v3.1: MEDIA

Última modificación:

07/05/2026

CVE-2026-41689

Fecha de publicación:

07/05/2026

Idioma:

Inglés

*** Pendiente de traducción *** Wallos is an open-source, self-hostable personal subscription tracker. In versions 4.8.4 and prior, the webhook notification feature reuses an administrator-configured local-target allowlist for every logged-in user. Any normal user can fully control a webhook URL, headers, and body, then use Wallos to send server-side requests to allowlisted internal automation services. When such a target exposes deployment or execution APIs, this can further enable adjacent-service RCE, but that downstream result is conditional on the target service. At time of publication, there are no publicly available patches.

Gravedad CVSS v3.1: MEDIA

Última modificación:

07/05/2026

CVE-2026-42011

Fecha de publicación:

07/05/2026

Idioma:

Inglés

*** Pendiente de traducción *** A flaw was found in gnutls. This vulnerability occurs because permitted name constraints were incorrectly ignored when previous Certificate Authorities (CAs) only had excluded name constraints. A remote attacker could exploit this to bypass critical name constraint checks during certificate validation. This bypass could lead to the acceptance of invalid certificates, potentially enabling spoofing or man-in-the-middle attacks against affected systems.

Gravedad CVSS v3.1: ALTA

Última modificación:

14/05/2026

Suscribirse a Vulnerabilidades