Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las ultimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las ultimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las ultimas vulnerabilidades incorporadas al repositorio.

Vulnerabilidad en wvp-GB28181-pro (CVE-2026-4860)

Fecha de publicación:

26/03/2026

Idioma:

Español

Una falla de seguridad ha sido descubierta en 648540858 wvp-GB28181-pro hasta 2.7.4. Esto afecta a la función GenericFastJsonRedisSerializer del archivo src/main/java/com/genersoft/iot/vmp/conf/redis/RedisTemplateConfig.java del componente Endpoint de la API. La manipulación resulta en deserialización. Es posible lanzar el ataque remotamente. El exploit ha sido publicado y puede ser utilizado para ataques. El proveedor fue contactado con antelación sobre esta divulgación pero no respondió de ninguna manera.

Gravedad CVSS v4.0: MEDIA

Última modificación:

26/03/2026

Vulnerabilidad en WL-NU516U1 (CVE-2026-4861)

Fecha de publicación:

26/03/2026

Idioma:

Español

Se ha identificado una debilidad en Wavlink WL-NU516U1 260227. Esta vulnerabilidad afecta a la función ftext del archivo /cgi-bin/nas.cgi. Esta manipulación del argumento Content-Length causa desbordamiento de búfer basado en pila. El ataque puede iniciarse remotamente. El exploit se ha puesto a disposición del público y podría usarse para ataques. El proveedor fue contactado con antelación sobre esta divulgación, pero no respondió de ninguna manera.

Gravedad CVSS v4.0: ALTA

Última modificación:

26/03/2026

Vulnerabilidad en Simple Laundry System (CVE-2026-4849)

Fecha de publicación:

26/03/2026

Idioma:

Español

Se identificó una vulnerabilidad en code-projects Simple Laundry System 1.0. Esto afecta una función desconocida del archivo /modify.php del componente Gestor de Parámetros. La manipulación del argumento firstName conduce a cross site scripting. El ataque puede iniciarse de forma remota. El exploit está disponible públicamente y podría ser utilizado.

Gravedad CVSS v4.0: MEDIA

Última modificación:

26/03/2026

Vulnerabilidad en Simple Laundry System (CVE-2026-4850)

Fecha de publicación:

26/03/2026

Idioma:

Español

Se ha descubierto una vulnerabilidad de seguridad en code-projects Simple Laundry System 1.0. Afecta a una función desconocida del archivo /checkregisitem.php del componente Gestor de Parámetros. La manipulación del argumento Long-arm-shirtVol resulta en inyección SQL. El ataque puede lanzarse de forma remota. El exploit ha sido publicado y puede ser utilizado para ataques.

Gravedad CVSS v4.0: MEDIA

Última modificación:

26/03/2026

Vulnerabilidad en Red Hat (CVE-2026-4874)

Fecha de publicación:

26/03/2026

Idioma:

Español

Se encontró una vulnerabilidad en Keycloak. Un atacante autenticado puede realizar falsificación de petición del lado del servidor (SSRF) manipulando el parámetro &#39;client_session_host&#39; durante las peticiones de token de actualización. Esto ocurre cuando un cliente de Keycloak está configurado para usar la &#39;backchannel.logout.url&#39; con el marcador de posición &#39;application.session.host&#39;. La explotación exitosa permite al atacante realizar peticiones HTTP desde el contexto de red del servidor de Keycloak, potencialmente sondeando redes internas o APIs internas, lo que lleva a la revelación de información.

Gravedad CVSS v3.1: BAJA

Última modificación:

26/03/2026

Vulnerabilidad en muucmf (CVE-2026-4848)

Fecha de publicación:

26/03/2026

Idioma:

Español

Una vulnerabilidad fue determinada en dameng100 muucmf 1.9.5.20260309. Esto afecta una función desconocida del archivo /admin/extend/list.html. Ejecutar una manipulación del argumento Name puede llevar a cross site scripting. El ataque puede ser lanzado remotamente. El exploit ha sido divulgado públicamente y puede ser utilizado. El proveedor fue contactado tempranamente sobre esta divulgación pero no respondió de ninguna manera.

Gravedad CVSS v4.0: MEDIA

Última modificación:

26/03/2026

Vulnerabilidad en muucmf (CVE-2026-4847)

Fecha de publicación:

26/03/2026

Idioma:

Español

Se encontró una vulnerabilidad en dameng100 muucmf 1.9.5.20260309. El elemento afectado es una función desconocida del archivo /admin/config/list.html. La manipulación del argumento Name resulta en cross site scripting. El ataque puede iniciarse remotamente. El exploit se ha hecho público y podría utilizarse. Se contactó al proveedor con antelación sobre esta divulgación, pero no respondió de ninguna manera.

Gravedad CVSS v4.0: MEDIA

Última modificación:

26/03/2026

Vulnerabilidad en RATOC Systems, Inc. (CVE-2026-28760)

Fecha de publicación:

26/03/2026

Idioma:

Español

El instalador de RATOC RAID Monitoring Manager para Windows busca en el directorio actual para cargar ciertas DLLs. Si se dirige a un usuario a colocar una DLL diseñada específicamente junto con el instalador, código arbitrario puede ser ejecutado con el privilegio de administrador.

Gravedad CVSS v4.0: ALTA

Última modificación:

26/03/2026

Vulnerabilidad en RATOC Systems, Inc. (CVE-2026-32680)

Fecha de publicación:

26/03/2026

Idioma:

Español

El instalador de RATOC RAID Monitoring Manager para Windows permite personalizar la carpeta de instalación. Si la carpeta de instalación se personaliza a una no predeterminada, la carpeta puede quedar con ACLs inseguras y los usuarios no administrativos pueden alterar el contenido de esa carpeta. Esto puede permitir a un usuario no administrativo ejecutar código arbitrario con privilegios de SYSTEM.

Gravedad CVSS v4.0: ALTA

Última modificación:

26/03/2026

Vulnerabilidad en FreeBSD (CVE-2026-4652)

Fecha de publicación:

26/03/2026

Idioma:

Español

En un sistema que expone un objetivo NVMe/TCP, un cliente remoto puede desencadenar un pánico del kernel al enviar un comando CONNECT para una cola de E/S con un CNTLID falso o caducado. Un atacante con acceso de red al objetivo NVMe/TCP puede desencadenar una condición de denegación de servicio no autenticada en la máquina afectada.

Gravedad CVSS v3.1: ALTA

Última modificación:

26/03/2026

Vulnerabilidad en FreeBSD (CVE-2026-4747)

Fecha de publicación:

26/03/2026

Idioma:

Español

Cada paquete de datos RPCSEC_GSS es validado por una rutina que verifica una firma en el paquete. Esta rutina copia una porción del paquete en un búfer de pila, pero no asegura que el búfer sea lo suficientemente grande, y un cliente malicioso puede desencadenar un desbordamiento de pila. En particular, esto no requiere que el cliente se autentique primero. Dado que la implementación RPCSEC_GSS de kgssapi.ko es vulnerable, la ejecución remota de código en el kernel es posible por un usuario autenticado que sea capaz de enviar paquetes al servidor NFS del kernel mientras kgssapi.ko está cargado en el kernel. En el espacio de usuario, las aplicaciones que tienen librpcgss_sec cargado y ejecutan un servidor RPC son vulnerables a la ejecución remota de código desde cualquier cliente capaz de enviarle paquetes. No tenemos conocimiento de ninguna aplicación de este tipo en el sistema base de FreeBSD.

Gravedad CVSS v3.1: ALTA

Última modificación:

26/03/2026

Vulnerabilidad en FreeBSD (CVE-2026-4247)

Fecha de publicación:

26/03/2026

Idioma:

Español

Cuando se debe enviar un ACK de desafío, tcp_respond() construye y envía el ACK de desafío y consume el mbuf que se le pasa. Cuando no se debe enviar ningún ACK de desafío, la función retorna y fuga el mbuf. Si un atacante está en la ruta de una conexión TCP establecida, o puede establecer una conexión TCP por sí mismo, a una máquina FreeBSD afectada, puede fácilmente crear y enviar paquetes que cumplen los criterios del ACK de desafío y hacer que el host FreeBSD fugue un mbuf por cada paquete creado en exceso de la configuración del límite de velocidad configurado, es decir, con la configuración predeterminada, los paquetes creados en exceso de los primeros 5 enviados dentro de un período de 1s fugarán un mbuf. Técnicamente, los atacantes fuera de ruta también pueden explotar este problema adivinando las direcciones IP, los números de puerto TCP y en algunos casos los números de secuencia de las conexiones establecidas y suplantando paquetes hacia una máquina FreeBSD, pero esto es más difícil de hacer de manera efectiva.

Gravedad CVSS v3.1: ALTA

Última modificación:

26/03/2026

Suscribirse a Vulnerabilidades