Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las ultimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las ultimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las ultimas vulnerabilidades incorporadas al repositorio.

CVE-2026-28408

Fecha de publicación:

27/02/2026

Idioma:

Inglés

*** Pendiente de traducción *** WeGIA is a web manager for charitable institutions. Prior to version 3.6.5, the script in adicionar_tipo_docs_atendido.php does not go through the project&#39;s central controller and does not have its own authentication and permission checks. A malicious user could make a request through tools like Postman or the file&#39;s URL on the web to access features exclusive to employees. The vulnerability allows external parties to inject unauthorized data in massive quantities into the application server&#39;s storage. Version 3.6.5 fixes the issue.

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

02/03/2026

CVE-2026-27167

Fecha de publicación:

27/02/2026

Idioma:

Inglés

*** Pendiente de traducción *** Gradio is an open-source Python package designed for quick prototyping. Starting in version 4.16.0 and prior to version 6.6.0, Gradio applications running outside of Hugging Face Spaces automatically enable "mocked" OAuth routes when OAuth components (e.g. `gr.LoginButton`) are used. When a user visits `/login/huggingface`, the server retrieves its own Hugging Face access token via `huggingface_hub.get_token()` and stores it in the visitor&#39;s session cookie. If the application is network-accessible, any remote attacker can trigger this flow to steal the server owner&#39;s HF token. The session cookie is signed with a hardcoded secret derived from the string `"-v4"`, making the payload trivially decodable. Version 6.6.0 fixes the issue.

Gravedad: Pendiente de análisis

Última modificación:

02/03/2026

CVE-2026-27939

Fecha de publicación:

27/02/2026

Idioma:

Inglés

*** Pendiente de traducción *** Statmatic is a Laravel and Git powered content management system (CMS). Starting in version 6.0.0 and prior to version 6.4.0, Authenticated Control Panel users may under certain conditions obtain elevated privileges without completing the intended verification step. This can allow access to sensitive operations and, depending on the user’s existing permissions, may lead to privilege escalation. This has been fixed in 6.4.0.

Gravedad CVSS v3.1: ALTA

Última modificación:

02/03/2026

CVE-2026-28338

Fecha de publicación:

27/02/2026

Idioma:

Inglés

*** Pendiente de traducción *** PMD is an extensible multilanguage static code analyzer. Prior to version 7.22.0, PMD&#39;s `vbhtml` and `yahtml` report formats insert rule violation messages into HTML output without escaping. When PMD analyzes untrusted source code containing crafted string literals, the generated HTML report contains executable JavaScript that runs when opened in a browser. Practical impact is limited because `vbhtml` and `yahtml` are legacy formats rarely used in practice. The default `html` format is properly escaped and not affected. Version 7.22.0 contains a fix for the issue.

Gravedad CVSS v3.1: MEDIA

Última modificación:

02/03/2026

CVE-2026-28351

Fecha de publicación:

27/02/2026

Idioma:

Inglés

*** Pendiente de traducción *** pypdf is a free and open-source pure-python PDF library. Prior to version 6.7.4, an attacker who uses this vulnerability can craft a PDF which leads to large memory usage. This requires parsing the content stream using the RunLengthDecode filter. This has been fixed in pypdf 6.7.4. As a workaround, consider applying the changes from PR #3664.

Gravedad CVSS v4.0: MEDIA

Última modificación:

02/03/2026

CVE-2026-28352

Fecha de publicación:

27/02/2026

Idioma:

Inglés

*** Pendiente de traducción *** Indico is an event management system that uses Flask-Multipass, a multi-backend authentication system for Flask. In versions prior to 3.3.11, the API endpoint used to manage event series is missing an access check, allowing unauthenticated/unauthorized access to this endpoint. The impact of this is limited to getting the metadata (title, category chain, start/end date) for events in an existing series, deleting an existing event series, and modifying an existing event series. This vulnerability does NOT allow unauthorized access to events (beyond the basic metadata mentioned above), nor any kind of tampering with user-visible data in events. Version 3.3.11 fixes the issue. As a workaround, use the webserver to restrict access to the series management API endpoint.

Gravedad CVSS v3.1: MEDIA

Última modificación:

02/03/2026

CVE-2026-28355

Fecha de publicación:

27/02/2026

Idioma:

Inglés

*** Pendiente de traducción *** Canarytokens help track activity and actions on a network. Versions prior to `sha-7ff0e12` have a Self Cross-Site Scripting vulnerability in the "PWA" Canarytoken, whereby the Canarytoken&#39;s creator can attack themselves or someone they share the link with. The creator of a PWA Canarytoken can insert Javascript into the title field of their PWA token. When the creator later browses the installation page for their own Canarytoken, the Javascript executes. This is a self-XSS. An attacker could create a Canarytoken with this self-XSS, and send the install link to a victim. When they click on it, the Javascript would execute. However, no sensitive information (ex. session information) will be disclosed to the malicious actor. This issue is now patched on Canarytokens.org. Users of self-hosted Canarytokens installations can update by pulling the latest Docker image, or any Docker image after sha-7ff0e12.

Gravedad CVSS v4.0: BAJA

Última modificación:

02/03/2026

CVE-2026-28268

Fecha de publicación:

27/02/2026

Idioma:

Inglés

*** Pendiente de traducción *** Vikunja is an open-source self-hosted task management platform. Versions prior to 2.1.0 have a business logic vulnerability exists in the password reset mechanism of vikunja/api that allows password reset tokens to be reused indefinitely. Due to a failure to invalidate tokens upon use and a critical logic bug in the token cleanup cron job, reset tokens remain valid forever. This allows an attacker who intercepts a single reset token (via logs, browser history, or phishing) to perform a complete, persistent account takeover at any point in the future, bypassing standard authentication controls. Version 2.1.0 contains a patch for the issue.

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

02/03/2026

CVE-2026-28270

Fecha de publicación:

27/02/2026

Idioma:

Inglés

*** Pendiente de traducción *** Kiteworks is a private data network (PDN). Prior to version 9.2.0, a vulnerability in Kiteworks configuration allows uploading of arbitrary files without proper validation. Malicious administrators could exploit this to upload unauthorized file types to the system. Version 9.2.0 contains a patch for the issue.

Gravedad CVSS v3.1: MEDIA

Última modificación:

02/03/2026

CVE-2026-28271

Fecha de publicación:

27/02/2026

Idioma:

Inglés

*** Pendiente de traducción *** Kiteworks is a private data network (PDN). Prior to version 9.2.0, a vulnerability in Kiteworks configuration functionality allows bypassing of SSRF protections through DNS rebinding attacks. Malicious administrators could exploit this to access internal services that should be restricted. Version 9.2.0 contains a patch for the issue.

Gravedad CVSS v3.1: MEDIA

Última modificación:

02/03/2026

CVE-2026-28272

Fecha de publicación:

27/02/2026

Idioma:

Inglés

*** Pendiente de traducción *** Kiteworks is a private data network (PDN). Prior to version 9.2.0, a vulnerability in Kiteworks Email Protection Gateway allows authenticated administrators to inject malicious scripts through a configuration interface. The stored script executes when users interact with the affected user interface. Version 9.2.0 contains a patch for the issue.

Gravedad CVSS v3.1: ALTA

Última modificación:

02/03/2026

CVE-2026-28288

Fecha de publicación:

27/02/2026

Idioma:

Inglés

*** Pendiente de traducción *** Dify is an open-source LLM app development platform. Prior to 1.9.0, responses from the Dify API to existing and non-existent accounts differ, allowing an attacker to enumerate email addresses registered with Dify. Version 1.9.0 fixes the issue.

Gravedad CVSS v4.0: MEDIA

Última modificación:

02/03/2026

Suscribirse a Vulnerabilidades