Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las ultimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las ultimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las ultimas vulnerabilidades incorporadas al repositorio.

CVE-2026-28392

Fecha de publicación:

05/03/2026

Idioma:

Inglés

*** Pendiente de traducción *** OpenClaw versions prior to 2026.2.14 contain a privilege escalation vulnerability in the Slack slash-command handler that incorrectly authorizes any direct message sender when dmPolicy is set to open (must be configured). Attackers can execute privileged slash commands via direct message to bypass allowlist and access-group restrictions.

Gravedad CVSS v4.0: ALTA

Última modificación:

06/03/2026

CVE-2026-28393

Fecha de publicación:

05/03/2026

Idioma:

Inglés

*** Pendiente de traducción *** OpenClaw versions 2.0.0-beta3 prior to 2026.2.14 contain a path traversal vulnerability in hook transform module loading that allows arbitrary JavaScript execution. The hooks.mappings[].transform.module parameter accepts absolute paths and traversal sequences, enabling attackers with configuration write access to load and execute malicious modules with gateway process privileges.

Gravedad CVSS v4.0: ALTA

Última modificación:

06/03/2026

CVE-2026-21622

Fecha de publicación:

05/03/2026

Idioma:

Inglés

*** Pendiente de traducción *** Insufficient Session Expiration vulnerability in hexpm hexpm/hexpm (&#39;Elixir.Hexpm.Accounts.PasswordReset&#39; module) allows Account Takeover. Password reset tokens generated via the "Reset your password" flow do not expire. When a user requests a password reset, Hex sends an email containing a reset link with a token. This token remains valid indefinitely until used. There is no time-based expiration enforced. If a user&#39;s historical emails are exposed through a data breach (e.g., a leaked mailbox archive), any unused password reset email contained in that dataset could be used by an attacker to reset the victim&#39;s password. The attacker does not need current access to the victim&#39;s email account, only access to a previously leaked copy of the reset email. This vulnerability is associated with program files lib/hexpm/accounts/password_reset.ex and program routines &#39;Elixir.Hexpm.Accounts.PasswordReset&#39;:can_reset?/3. This issue affects hexpm: from 617e44c71f1dd9043870205f371d375c5c4d886d before bb0e42091995945deef10556f58d046a52eb7884.

Gravedad CVSS v4.0: CRÍTICA

Última modificación:

05/03/2026

CVE-2026-29188

Fecha de publicación:

05/03/2026

Idioma:

Inglés

*** Pendiente de traducción *** File Browser provides a file managing interface within a specified directory and it can be used to upload, delete, preview, rename and edit files. Prior to version 2.61.1, a broken access control vulnerability in the TUS protocol DELETE endpoint allows authenticated users with only Create permission to delete arbitrary files and directories within their scope, bypassing the intended Delete permission restriction. Any multi-user deployment where administrators explicitly restrict file deletion for certain users is affected. This issue has been patched in version 2.61.1.

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

05/03/2026

CVE-2026-28413

Fecha de publicación:

05/03/2026

Idioma:

Inglés

*** Pendiente de traducción *** Products.isurlinportal is a replacement for isURLInPortal method in Plone. Prior to versions 2.1.0, 3.1.0, and 4.0.0, a url /login?came_from=////evil.example may redirect to an external website after login. This issue has been patched in versions 2.1.0, 3.1.0, and 4.0.0.

Gravedad CVSS v3.1: MEDIA

Última modificación:

05/03/2026

CVE-2026-28436

Fecha de publicación:

05/03/2026

Idioma:

Inglés

*** Pendiente de traducción *** Frappe is a full-stack web application framework. Prior to versions 16.11.0 and 15.102.0, an attacker can set a crafted image URL that results in XSS when the avatar is displayed, and it can be triggered for other users via website page comments. This issue has been patched in versions 16.11.0 and 15.102.0.

Gravedad CVSS v4.0: MEDIA

Última modificación:

05/03/2026

CVE-2026-28443

Fecha de publicación:

05/03/2026

Idioma:

Inglés

*** Pendiente de traducción *** OpenReplay is a self-hosted session replay suite. Prior to version 1.20.0, the POST /{projectId}/cards/search endpoint has a SQL injection in the sort.field parameter. This issue has been patched in version 1.20.0.

Gravedad CVSS v4.0: MEDIA

Última modificación:

05/03/2026

CVE-2026-28492

Fecha de publicación:

05/03/2026

Idioma:

Inglés

*** Pendiente de traducción *** File Browser provides a file managing interface within a specified directory and it can be used to upload, delete, preview, rename and edit files. Prior to version 2.61.0, when a user creates a public share link for a directory, the withHashFile middleware in http/public.go uses filepath.Dir(link.Path) to compute the BasePathFs root. This sets the filesystem root to the parent directory instead of the shared directory itself, allowing anyone with the share link to browse and download files from all sibling directories. This issue has been patched in version 2.61.0.

Gravedad CVSS v4.0: ALTA

Última modificación:

05/03/2026

CVE-2026-29077

Fecha de publicación:

05/03/2026

Idioma:

Inglés

*** Pendiente de traducción *** Frappe is a full-stack web application framework. Prior to versions 15.98.0 and 14.100.0, due to a lack of validation when sharing documents, a user could share a document with a permission that they themselves didn&#39;t have. This issue has been patched in versions 15.98.0 and 14.100.0.

Gravedad CVSS v3.1: ALTA

Última modificación:

05/03/2026

CVE-2026-29081

Fecha de publicación:

05/03/2026

Idioma:

Inglés

*** Pendiente de traducción *** Frappe is a full-stack web application framework. Prior to versions 14.100.1 and 15.100.0, an endpoint was vulnerable to SQL injection through specially crafted requests, which would allow a malicious actor to extract sensitive information. This issue has been patched in versions 14.100.1 and 15.100.0.

Gravedad CVSS v3.1: MEDIA

Última modificación:

05/03/2026

CVE-2026-28442

Fecha de publicación:

05/03/2026

Idioma:

Inglés

*** Pendiente de traducción *** ZimaOS is a fork of CasaOS, an operating system for Zima devices and x86-64 systems with UEFI. In version 1.5.2-beta3, users are restricted from deleting internal system files or folders through the application interface. However, when interacting directly with the API, these restrictions can be bypassed. By altering the path parameter in the delete request, internal OS files and directories can be removed successfully. The backend processes these manipulated requests without validating whether the targeted path belongs to restricted system locations. This demonstrates improper input validation and broken access control on sensitive filesystem operations. No known public patch is available.

Gravedad CVSS v3.1: ALTA

Última modificación:

06/03/2026

CVE-2026-28405

Fecha de publicación:

05/03/2026

Idioma:

Inglés

*** Pendiente de traducción *** MarkUs is a web application for the submission and grading of student assignments. Prior to version 2.9.1, the courses//assignments//submissions/html_content route reads the contents of a student-submitted file and renders them without sanitization. This issue has been patched in version 2.9.1.

Gravedad CVSS v3.1: ALTA

Última modificación:

05/03/2026

Suscribirse a Vulnerabilidades