Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las ultimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las ultimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las ultimas vulnerabilidades incorporadas al repositorio.

Vulnerabilidad en dataease (CVE-2026-32140)

Fecha de publicación:

12/03/2026

Idioma:

Español

Dataease es una herramienta de análisis de visualización de datos de código abierto. Anterior a la versión 2.10.20, al controlar el parámetro IniFile, un atacante puede forzar al controlador JDBC a cargar un archivo de configuración controlado por el atacante. Este archivo de configuración puede inyectar propiedades JDBC peligrosas, lo que lleva a la ejecución remota de código. El flujo de ejecución del controlador JDBC de Redshift alcanza un método llamado getJdbcIniFile. El método getJdbcIniFile implementa un mecanismo agresivo de descubrimiento automático de archivos de configuración. Si no se restringe explícitamente, busca un archivo llamado rsjdbc.ini. En un contexto de URL JDBC, los usuarios pueden especificar explícitamente el archivo de configuración a través de parámetros de URL, lo que permite que archivos arbitrarios en el servidor se carguen como archivos de configuración JDBC. Dentro de las propiedades del controlador JDBC de Redshift, el parámetro IniFile es explícitamente compatible y se utiliza para cargar un archivo de configuración externo. Esta vulnerabilidad se corrige en la versión 2.10.20.

Gravedad CVSS v4.0: CRÍTICA

Última modificación:

13/03/2026

Vulnerabilidad en flatted de WebReflection (CVE-2026-32141)

Fecha de publicación:

12/03/2026

Idioma:

Español

flatted es un analizador de JSON circular. Antes de la versión 3.4.0, la función parse() de flatted utiliza una fase recursiva revive() para resolver referencias circulares en JSON deserializado. Cuando se le proporciona una carga útil manipulada con índices $ profundamente anidados o autorreferenciales, la profundidad de recursión es ilimitada, causando un desbordamiento de pila que bloquea el proceso de Node.js. Esta vulnerabilidad se ha corregido en la versión 3.4.0.

Gravedad CVSS v3.1: ALTA

Última modificación:

13/03/2026

Vulnerabilidad en unhead de unjs (CVE-2026-31873)

Fecha de publicación:

12/03/2026

Idioma:

Español

Unhead es un gestor de cabeceras de documento y plantillas. Antes de la versión 2.1.11, la comprobación de link.href en makeTagSafe (safe.ts) utiliza String.includes(), que distingue entre mayúsculas y minúsculas. Los navegadores tratan los esquemas URI sin distinguir entre mayúsculas y minúsculas. DATA:text/css,... es lo mismo que data:text/css,... para el navegador, pero &#39;DATA:...&#39;.includes(&#39;data:&#39;) devuelve falso. Un atacante puede inyectar CSS arbitrario para la manipulación de la interfaz de usuario o la exfiltración de datos a través de selectores de atributos CSS con retrollamadas de background-image. Esta vulnerabilidad se corrige en la versión 2.1.11.

Gravedad: Pendiente de análisis

Última modificación:

12/03/2026

Vulnerabilidad en platform-security de swag (CVE-2026-32100)

Fecha de publicación:

12/03/2026

Idioma:

Español

Shopware es una plataforma de comercio abierta. La ruta /api/_info/config expone información sobre correcciones de seguridad activas. Esta vulnerabilidad está corregida en 2.0.16, 3.0.12 y 4.0.7.

Gravedad CVSS v3.1: MEDIA

Última modificación:

12/03/2026

Vulnerabilidad en magic-wormhole (CVE-2026-32116)

Fecha de publicación:

12/03/2026

Idioma:

Español

Magic Wormhole permite obtener archivos y directorios de tamaño arbitrario de un ordenador a otro. Desde la versión 0.21.0 hasta antes de la 0.23.0, recibir un archivo (wormhole receive) de un actor malicioso podría resultar en la sobrescritura de archivos locales críticos, incluyendo ~/.ssh/authorized_keys y .bashrc. Esto podría utilizarse para comprometer el ordenador del receptor. Solo el remitente del archivo (el actor que ejecuta wormhole send) puede llevar a cabo el ataque. Otras partes (incluyendo los servidores de tránsito/retransmisión) quedan excluidas por el protocolo wormhole. Esta vulnerabilidad está corregida en la versión 0.23.0.

Gravedad CVSS v4.0: ALTA

Última modificación:

12/03/2026

Vulnerabilidad en unhead de unjs (CVE-2026-31860)

Fecha de publicación:

12/03/2026

Idioma:

Español

Unhead es un gestor de cabecera de documento y plantillas. Antes de la 2.1.11, se puede eludir useHeadSafe() para inyectar atributos HTML arbitrarios, incluyendo manejadores de eventos, en etiquetas renderizadas por SSR. Este es el composable que la documentación de Nuxt recomienda para manejar de forma segura contenido generado por el usuario. La función acceptDataAttrs (safe.ts, línea 16-20) permite cualquier clave de propiedad que comience con &#39;data-&#39; hasta el HTML final. Solo verifica el prefijo, no si la clave contiene espacios u otros caracteres que rompen el análisis de atributos HTML. Esta vulnerabilidad está corregida en la 2.1.11.

Gravedad CVSS v4.0: MEDIA

Última modificación:

13/03/2026

Vulnerabilidad en inspektor-gadget (CVE-2026-31890)

Fecha de publicación:

12/03/2026

Idioma:

Español

Inspektor Gadget es un conjunto de herramientas y framework para la recopilación de datos y la inspección del sistema en clústeres de Kubernetes y hosts de Linux usando eBPF. Antes de la versión 0.50.1, en una situación donde el búfer circular de un gadget está – incidental o maliciosamente – ya lleno, el gadget descartará eventos silenciosamente. El archivo include/gadget/buffer.h contiene definiciones para la API de búfer que los gadgets pueden usar para, entre otras cosas, transferir datos de programas eBPF al espacio de usuario. Para hosts que ejecutan un kernel de Linux lo suficientemente moderno (&gt;= 5.8), este mecanismo de transferencia se basa en búferes circulares. El tamaño del búfer circular para los gadgets está codificado a 256KB. Cuando un gadget_reserve_buf falla debido a espacio insuficiente, el gadget se limpia silenciosamente sin producir una alerta. El recuento de pérdidas informado por el operador eBPF, cuando se usan búferes circulares – la opción moderna – está codificado a cero. La vulnerabilidad puede ser utilizada por una fuente de eventos maliciosa (por ejemplo, un contenedor comprometido) para causar una denegación de servicio, forzando al sistema a descartar eventos provenientes de otros contenedores (o del mismo contenedor). Esta vulnerabilidad está corregida en la versión 0.50.1.

Gravedad CVSS v4.0: MEDIA

Última modificación:

13/03/2026

Vulnerabilidad en Trane (CVE-2026-28252)

Fecha de publicación:

12/03/2026

Idioma:

Español

Una vulnerabilidad de uso de algoritmo criptográfico roto o arriesgado en Trane Tracer SC, Tracer SC+ y Tracer Concierge podría permitir a un atacante eludir la autenticación y obtener acceso a nivel de root al dispositivo.

Gravedad CVSS v4.0: CRÍTICA

Última modificación:

12/03/2026

Vulnerabilidad en Trane (CVE-2026-28253)

Fecha de publicación:

12/03/2026

Idioma:

Español

Una vulnerabilidad de Asignación de Memoria con Valor de Tamaño Excesivo en Trane Tracer SC, Tracer SC+ y Tracer Concierge podría permitir a un atacante no autenticado causar una condición de denegación de servicio.

Gravedad CVSS v4.0: ALTA

Última modificación:

12/03/2026

Vulnerabilidad en Trane (CVE-2026-28254)

Fecha de publicación:

12/03/2026

Idioma:

Español

Una vulnerabilidad de autorización faltante en Trane Tracer SC, Tracer SC+ y Tracer Concierge podría permitir a un atacante no autenticado acceder a información sensible a través de APIs no protegidas.

Gravedad CVSS v4.0: MEDIA

Última modificación:

12/03/2026

Vulnerabilidad en Trane (CVE-2026-28255)

Fecha de publicación:

12/03/2026

Idioma:

Español

Una vulnerabilidad de uso de credenciales codificadas de forma rígida en Trane Tracer SC, Tracer SC+ y Tracer Concierge podría permitir a un atacante divulgar información sensible y tomar el control de cuentas.

Gravedad CVSS v4.0: ALTA

Última modificación:

12/03/2026

Vulnerabilidad en Trane (CVE-2026-28256)

Fecha de publicación:

12/03/2026

Idioma:

Español

Una vulnerabilidad de Uso de constantes codificadas de forma rígida y relevantes para la seguridad en Trane Tracer SC, Tracer SC+ y Tracer Concierge podría permitir a un atacante divulgar información sensible y tomar el control de cuentas.

Gravedad CVSS v4.0: MEDIA

Última modificación:

12/03/2026

Suscribirse a Vulnerabilidades