Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las últimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las últimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las últimas vulnerabilidades incorporadas al repositorio.

CVE-2026-26956

Fecha de publicación:
04/05/2026
Idioma:
Inglés
*** Pendiente de traducción *** vm2 is an open source vm/sandbox for Node.js. In version 3.10.4, vm2 is vulnerable to full sandbox escape with arbitrary code execution. Attacker code inside VM.run() obtains host process object and runs host commands with zero host cooperation. This issue has been patched in version 3.10.5.
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
05/05/2026

CVE-2026-25266

Fecha de publicación:
04/05/2026
Idioma:
Inglés
*** Pendiente de traducción *** Memory corruption while processing IOCTL command when device is in power-save state.
Gravedad CVSS v3.1: MEDIA
Última modificación:
05/05/2026

CVE-2026-25293

Fecha de publicación:
04/05/2026
Idioma:
Inglés
*** Pendiente de traducción *** Buffer overflow due to incorrect authorization in PLC FW
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
05/05/2026

CVE-2026-26332

Fecha de publicación:
04/05/2026
Idioma:
Inglés
*** Pendiente de traducción *** vm2 is an open source vm/sandbox for Node.js. Prior to version 3.11.0, SuppressedError allows attackers to escape the sandbox and run arbitrary code. This issue has been patched in version 3.11.0.
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
05/05/2026

CVE-2026-29514

Fecha de publicación:
04/05/2026
Idioma:
Inglés
*** Pendiente de traducción *** NetBox versions 4.3.5 through 4.5.4 contain a remote code execution vulnerability in the RenderTemplateMixin.get_environment_params() method that allows authenticated users with exporttemplate or configtemplate permissions to execute arbitrary code by specifying malicious Python callables in the environment_params field. Attackers can bypass Jinja2 SandboxedEnvironment protections by setting the finalize parameter to any importable Python callable such as subprocess.getoutput, which is invoked on every rendered expression outside the sandbox's call interception mechanism, achieving remote code execution as the NetBox service user.
Gravedad CVSS v4.0: ALTA
Última modificación:
05/05/2026

CVE-2026-24781

Fecha de publicación:
04/05/2026
Idioma:
Inglés
*** Pendiente de traducción *** vm2 is an open source vm/sandbox for Node.js. Prior to version 3.11.0, VM2 suffers from a sandbox breakout vulnerability through the inspect function. This allows attackers to write code which can escape from the VM2 sandbox and execute arbitrary commands on the host system. This issue has been patched in version 3.11.0.
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
04/05/2026

CVE-2026-24118

Fecha de publicación:
04/05/2026
Idioma:
Inglés
*** Pendiente de traducción *** vm2 is an open source vm/sandbox for Node.js. Prior to version 3.11.0, VM2 suffers from a sandbox breakout vulnerability. This allows attackers to write code which can escape from the VM2 sandbox and execute arbitrary commands on the host system. This issue has been patched in version 3.11.0.
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
04/05/2026

CVE-2026-24120

Fecha de publicación:
04/05/2026
Idioma:
Inglés
*** Pendiente de traducción *** vm2 is an open source vm/sandbox for Node.js. Prior to version 3.10.5, the fix for CVE-2023-37466 is insufficient and can be circumvented allowing attackers to write code which can escape from the VM2 sandbox and execute arbitrary commands on the host system. This issue has been patched in version 3.10.5.
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
05/05/2026

CVE-2025-47407

Fecha de publicación:
04/05/2026
Idioma:
Inglés
*** Pendiente de traducción *** Memory corruption while creating a process on the digital signal processor due to allocation failure at the kernel level.
Gravedad CVSS v3.1: ALTA
Última modificación:
05/05/2026

CVE-2025-47408

Fecha de publicación:
04/05/2026
Idioma:
Inglés
*** Pendiente de traducción *** Memory corruption when another driver calls an IOCTL with invalid input/output buffer.
Gravedad CVSS v3.1: ALTA
Última modificación:
05/05/2026

CVE-2026-24082

Fecha de publicación:
04/05/2026
Idioma:
Inglés
*** Pendiente de traducción *** Memory Corruption when copying data from a freed source while executing performance counter deselect operation.
Gravedad CVSS v3.1: ALTA
Última modificación:
05/05/2026

CVE-2025-47401

Fecha de publicación:
04/05/2026
Idioma:
Inglés
*** Pendiente de traducción *** Transient DOS when processing target power rate tables during channel configuration.
Gravedad CVSS v3.1: MEDIA
Última modificación:
05/05/2026