Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las ultimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las ultimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las ultimas vulnerabilidades incorporadas al repositorio.

Vulnerabilidad en melange de Chainguard-dev (CVE-2026-24843)

Fecha de publicación:

04/02/2026

Idioma:

Español

melange permite a los usuarios construir paquetes apk utilizando pipelines declarativos. En las versiones 0.11.3 hasta antes de la 0.40.3, un atacante que puede influir en el flujo tar desde una VM invitada de QEMU podría escribir archivos fuera del directorio de espacio de trabajo previsto en el host. La función retrieveWorkspace extrae entradas tar sin validar que las rutas permanezcan dentro del espacio de trabajo, permitiendo el salto de ruta a través de secuencias ../. Este problema ha sido parcheado en la versión 0.40.3.

Gravedad CVSS v3.1: ALTA

Última modificación:

18/02/2026

Vulnerabilidad en Water-Melon Melon (CVE-2025-71031)

Fecha de publicación:

04/02/2026

Idioma:

Español

Water-Melon Melon commit 9df9292 y versiones anteriores es vulnerable a Denegación de Servicio. El componente HTTP no tiene una longitud máxima. Como resultado, una cabecera de solicitud excesiva podría causar una denegación de servicio al consumir memoria RAM.

Gravedad CVSS v3.1: ALTA

Última modificación:

05/02/2026

Vulnerabilidad en NanoMQ MQTT Broker (CVE-2025-68699)

Fecha de publicación:

04/02/2026

Idioma:

Español

NanoMQ MQTT Broker (NanoMQ) es una Plataforma de Mensajería de Borde integral. En la versión 0.24.6, NanoMQ presenta una inconsistencia en el análisis / reenvío de protocolos al manejar suscripciones compartidas ($share/). Un tema SUBSCRIBE malformado como $share/ab (falta la segunda /) no se valida estrictamente durante la etapa de suscripción, por lo que el Topic Filter inválido se almacena en la tabla de suscripciones. Posteriormente, cuando cualquier PUBLISH coincide con esta suscripción, la ruta de envío del broker (nmq_pipe_send_start_v4/v5) realiza un segundo análisis de $share/ usando strchr() e incrementa el puntero devuelto sin comprobaciones de NULL. Si el segundo strchr() devuelve NULL, sub_topic++ convierte el puntero en una dirección inválida (p. ej., 0x1). Este puntero inválido se pasa entonces a topic_filtern(), lo que activa strlen() y provoca un fallo con SIGSEGV. El fallo es estable y se puede activar remotamente. Este problema ha sido parcheado en la versión 0.24.7.

Gravedad CVSS v3.1: MEDIA

Última modificación:

20/02/2026

Vulnerabilidad en apko de Chainguard-dev (CVE-2026-25140)

Fecha de publicación:

04/02/2026

Idioma:

Español

apko permite a los usuarios construir y publicar imágenes de contenedor OCI construidas a partir de paquetes apk. Desde la versión 0.14.8 hasta antes de la 1.1.1, un atacante que controle o comprometa un repositorio APK utilizado por apko podría causar el agotamiento de recursos en el host de compilación. La función ExpandApk en pkg/apk/expandapk/expandapk.go expande flujos .apk sin aplicar límites de descompresión, permitiendo que un repositorio malicioso sirva un .apk pequeño y altamente comprimido que se infla en un gran flujo tar, consumiendo espacio en disco y tiempo de CPU excesivos, causando fallos de compilación o denegación de servicio. Este problema ha sido parcheado en la versión 1.1.1.

Gravedad CVSS v3.1: ALTA

Última modificación:

20/02/2026

Vulnerabilidad en 3ds Max de Autodesk (CVE-2026-0536)

Fecha de publicación:

04/02/2026

Idioma:

Español

Un archivo GIF creado maliciosamente, al ser analizado por Autodesk 3ds Max, puede causar una vulnerabilidad de desbordamiento de búfer basado en pila. Un actor malicioso puede aprovechar esta vulnerabilidad para ejecutar código arbitrario en el contexto del proceso actual.

Gravedad CVSS v3.1: ALTA

Última modificación:

05/02/2026

Vulnerabilidad en apko de Chainguard-dev (CVE-2026-25121)

Fecha de publicación:

04/02/2026

Idioma:

Español

apko permite a los usuarios construir y publicar imágenes de contenedor OCI construidas a partir de paquetes apk. Desde la versión 0.14.8 hasta antes de la 1.1.1, se descubrió una vulnerabilidad de salto de ruta en la abstracción del sistema de archivos dirFS de apko. Un atacante que pueda suministrar un paquete APK malicioso (por ejemplo, a través de un repositorio comprometido o con typosquatting) podría crear directorios o enlaces simbólicos fuera de la raíz de instalación prevista. Los métodos MkdirAll, Mkdir y Symlink en pkg/apk/fs/rwosfs.go usan filepath.Join() sin validar que la ruta resultante permanezca dentro del directorio base. Este problema ha sido parcheado en la versión 1.1.1.

Gravedad CVSS v3.1: ALTA

Última modificación:

20/02/2026

Vulnerabilidad en apko de Chainguard-dev (CVE-2026-25122)

Fecha de publicación:

04/02/2026

Idioma:

Español

apko permite a los usuarios construir y publicar imágenes de contenedor OCI construidas a partir de paquetes apk. Desde la versión 0.14.8 hasta antes de la 1.1.0, expandapk.Split drena el primer flujo gzip de un archivo APK a través de io.Copy(io.Discard, gzi) sin límites explícitos. Con un flujo de entrada controlado por un atacante, esto puede forzar un gran trabajo de descompresión gzip y llevar al agotamiento de recursos (impacto en la disponibilidad). La función Split lee la primera cabecera tar, luego drena el resto del flujo gzip leyendo directamente del lector gzip sin ningún límite máximo de bytes descomprimidos o tope de relación de descompresión. Un llamador que analiza flujos APK controlados por un atacante puede verse forzado a gastar un tiempo excesivo de CPU descomprimiendo datos gzip, lo que lleva a tiempos de espera o ralentización del proceso. Este problema ha sido parcheado en la versión 1.1.0.

Gravedad CVSS v3.1: MEDIA

Última modificación:

20/02/2026

Vulnerabilidad en RIOT de RIOT-OS (CVE-2026-25139)

Fecha de publicación:

04/02/2026

Idioma:

Español

RIOT es un sistema operativo de microcontrolador de código abierto, diseñado para cumplir con los requisitos de los dispositivos de internet de las cosas (IoT) y otros dispositivos embebidos. En la versión 2025.10 y anteriores, múltiples lecturas fuera de límites permiten a cualquier usuario no autenticado, con la capacidad de enviar o manipular paquetes de entrada, leer ubicaciones de memoria adyacentes o bloquear un dispositivo vulnerable que ejecute la pila 6LoWPAN. El paquete recibido se convierte a una estructura sixlowpan_sfr_rfrag_t y se desreferencia sin validar que el paquete sea lo suficientemente grande como para contener el objeto de la estructura. En el momento de la publicación, no existe ningún parche conocido.

Gravedad CVSS v4.0: ALTA

Última modificación:

20/02/2026

Vulnerabilidad en ESF-IDF de Espressif (CVE-2026-25507)

Fecha de publicación:

04/02/2026

Idioma:

Español

ESF-IDF es el Framework de Desarrollo de Internet de las Cosas (IoT) de Espressif. En las versiones 5.5.2, 5.4.3, 5.3.4, 5.2.6 y 5.1.6, se informó una vulnerabilidad de uso después de liberación en la capa de transporte de aprovisionamiento BLE (protocomm_ble). El problema puede ser activado por un cliente BLE remoto mientras el dispositivo está en modo de aprovisionamiento. La vulnerabilidad ocurrió cuando el aprovisionamiento se detuvo con keep_ble_on = true. En esta configuración, el estado interno de protocomm_ble y los metadatos GATT fueron liberados mientras la pila BLE y los servicios GATT permanecieron activos. Las devoluciones de llamada de lectura o escritura BLE posteriores desreferenciaron memoria liberada, permitiendo a un cliente conectado o recién conectado activar un acceso a memoria inválido. Este problema ha sido parcheado en las versiones 5.5.3, 5.4.4, 5.3.5, 5.2.7 y 5.1.7.

Gravedad CVSS v3.1: MEDIA

Última modificación:

20/02/2026

Vulnerabilidad en ESF-IDF de Espressif (CVE-2026-25508)

Fecha de publicación:

04/02/2026

Idioma:

Español

ESF-IDF es el Framework de Desarrollo de Internet de las Cosas (IoT) de Espressif. En las versiones 5.5.2, 5.4.3, 5.3.4, 5.2.6 y 5.1.6, se informó una vulnerabilidad de lectura fuera de límites en el manejo de BLE ATT Prepare Write del transporte de aprovisionamiento BLE (protocomm_ble). El problema puede ser activado por un cliente BLE remoto mientras el dispositivo está en modo de aprovisionamiento. El transporte acumuló fragmentos de escritura preparada en un búfer de tamaño fijo pero rastreó incorrectamente la longitud acumulativa. Al enviar solicitudes repetidas de escritura preparada con desplazamientos superpuestos, un cliente remoto podría hacer que la longitud informada excediera el tamaño del búfer asignado. Esta longitud inflada fue luego pasada a los manejadores de aprovisionamiento durante el procesamiento de ejecución de escritura, resultando en una lectura fuera de límites y potencial corrupción de memoria. Este problema ha sido parcheado en las versiones 5.5.3, 5.4.4, 5.3.5, 5.2.7 y 5.1.7.

Gravedad CVSS v3.1: MEDIA

Última modificación:

20/02/2026

Vulnerabilidad en ESF-IDF de Espressif (CVE-2026-25532)

Fecha de publicación:

04/02/2026

Idioma:

Español

ESF-IDF es el Framework de Desarrollo de Internet de las Cosas (IoT) de Espressif. En las versiones 5.5.2, 5.4.3, 5.3.4, 5.2.6 y 5.1.6, existe una vulnerabilidad en la implementación de Enrollee de WPS (Wi-Fi Protected Setup) donde paquetes EAP-WSC malformados con cargas útiles truncadas pueden causar un desbordamiento negativo de enteros (integer underflow) durante el cálculo de la longitud del fragmento. Al procesar mensajes EAP-Expanded (WSC), el código calcula frag_len restando los tamaños de las cabeceras de la longitud total del paquete. Si un atacante envía un paquete donde el campo EAP Length cubre solo la cabecera y las banderas (flags) pero omite la carga útil esperada (como el campo Message Length de 2 bytes cuando WPS_MSG_FLAG_LEN está configurado), frag_len se vuelve negativo. Este valor negativo se convierte implícitamente a size_t cuando se pasa a wpabuf_put_data(), lo que resulta en un valor sin signo muy grande. Este problema ha sido parcheado en las versiones 5.5.3, 5.4.4, 5.3.5, 5.2.7 y 5.1.7.

Gravedad CVSS v3.1: MEDIA

Última modificación:

20/02/2026

Vulnerabilidad en GLPI (CVE-2026-22044)

Fecha de publicación:

04/02/2026

Idioma:

Español

GLPI es un paquete de software gratuito de gestión de activos y TI. Desde la versión 0.85 hasta antes de la 10.0.23, un usuario autenticado puede realizar una inyección SQL. Este problema ha sido parcheado en la versión 10.0.23.

Gravedad CVSS v3.1: MEDIA

Última modificación:

06/02/2026

Suscribirse a Vulnerabilidades