Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las ultimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las ultimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las ultimas vulnerabilidades incorporadas al repositorio.

Vulnerabilidad en BIG-IP de F5 (CVE-2026-20732)

Fecha de publicación:
04/02/2026
Idioma:
Español
Existe una vulnerabilidad en una página no revelada de la utilidad de configuración de BIG-IP que podría permitir a un atacante suplantar mensajes de error. Nota: Las versiones de software que han alcanzado el Fin de Soporte Técnico (EoTS) no son evaluadas.
Gravedad CVSS v4.0: BAJA
Última modificación:
13/02/2026

Vulnerabilidad en F5 (CVE-2026-1642)

Fecha de publicación:
04/02/2026
Idioma:
Español
Una vulnerabilidad existe en NGINX OSS y NGINX Plus cuando está configurado para actuar como proxy hacia servidores upstream de Transport Layer Security (TLS). Un atacante con una posición de man-in-the-middle (MitM) en el lado del servidor upstream —junto con condiciones fuera del control del atacante— podría ser capaz de inyectar datos en texto plano en la respuesta de un servidor proxy upstream. Nota: Las versiones de software que han alcanzado el Fin del Soporte Técnico (EoTS) no son evaluadas.
Gravedad CVSS v4.0: ALTA
Última modificación:
13/02/2026

Vulnerabilidad en BIG-IP Edge Client de F5 (CVE-2026-20730)

Fecha de publicación:
04/02/2026
Idioma:
Español
Una vulnerabilidad existe en BIG-IP Edge Client y clientes VPN de navegador en Windows que puede permitir a los atacantes obtener acceso a información sensible. Nota: Las versiones de software que han alcanzado el Fin de Soporte Técnico (EoTS) no son evaluadas
Gravedad CVSS v4.0: BAJA
Última modificación:
13/02/2026

Vulnerabilidad en BIG-IP de F5 (CVE-2026-22548)

Fecha de publicación:
04/02/2026
Idioma:
Español
Cuando una política de seguridad BIG-IP Advanced WAF o ASM está configurada en un servidor virtual, solicitudes no reveladas junto con condiciones fuera del control del atacante pueden causar la terminación del proceso bd. Nota: Las versiones de software que han alcanzado el Fin de Soporte Técnico (EoTS) no se evalúan.
Gravedad CVSS v4.0: ALTA
Última modificación:
13/02/2026

Vulnerabilidad en Tarot, Astro & Healing (CVE-2025-69618)

Fecha de publicación:
04/02/2026
Idioma:
Español
Una vulnerabilidad de sobrescritura de archivo arbitrario en el proceso de importación de archivos de Tarot, Astro & Healing v11.4.0 permite a los atacantes sobrescribir archivos internos críticos, lo que podría conducir a la ejecución de código arbitrario o a la exposición de información sensible.
Gravedad CVSS v3.1: MEDIA
Última modificación:
11/02/2026

Vulnerabilidad en eladmin (CVE-2025-70997)

Fecha de publicación:
04/02/2026
Idioma:
Español
Una vulnerabilidad ha sido descubierta en eladmin v2.7 y anteriores. Esta vulnerabilidad permite un restablecimiento arbitrario de contraseña de usuario bajo cualquier nivel de permiso de usuario.
Gravedad CVSS v3.1: MEDIA
Última modificación:
12/02/2026

Vulnerabilidad en Docker Desktop de Docker Inc. (CVE-2025-14740)

Fecha de publicación:
04/02/2026
Idioma:
Español
Docker Desktop para Windows contiene múltiples vulnerabilidades de asignación de permisos incorrecta en el manejo por parte del instalador del directorio C:\ProgramData\DockerDesktop. El instalador crea este directorio sin la verificación adecuada de la propiedad, creando dos escenarios de explotación:<br /> <br /> Escenario 1 (Ataque Persistente):<br /> Si un atacante con privilegios bajos pre-crea C:\ProgramData\DockerDesktop antes de la instalación de Docker Desktop, el atacante retiene la propiedad del directorio incluso después de que el instalador aplique ACL restrictivas. En cualquier momento después de que la instalación se complete, el atacante puede modificar la ACL del directorio (como propietario) y manipular archivos de configuración críticos como install-settings.json para especificar un credentialHelper malicioso, causando ejecución de código arbitrario cuando cualquier usuario ejecuta Docker Desktop.<br /> <br /> Escenario 2 (Ataque TOCTOU):<br /> Durante la instalación, existe una condición de carrera (TOCTOU) de tiempo de verificación-tiempo de uso entre el momento en que el instalador crea C:\ProgramData\DockerDesktop y el momento en que establece ACL seguras. Un atacante con privilegios bajos que monitorea activamente la instalación puede inyectar archivos maliciosos (como install-settings.json) con ACL controladas por el atacante durante esta ventana, logrando el mismo resultado de ejecución de código.
Gravedad CVSS v3.1: MEDIA
Última modificación:
04/02/2026

Vulnerabilidad en SportsPress (CVE-2025-15368)

Fecha de publicación:
04/02/2026
Idioma:
Español
El plugin SportsPress para WordPress es vulnerable a inclusión local de ficheros en todas las versiones hasta la 2.7.26, inclusive, a través del atributo &amp;#39;template_name&amp;#39; de los shortcodes. Esto hace posible que atacantes autenticados, con permisos de nivel de colaborador y superiores, incluyan y ejecuten ficheros arbitrarios en el servidor, permitiendo la ejecución de cualquier código PHP en esos ficheros. Esto puede usarse para eludir los controles de acceso, obtener datos sensibles o lograr la ejecución de código en casos donde se pueda subir e incluir un fichero de tipo PHP.
Gravedad CVSS v3.1: ALTA
Última modificación:
04/02/2026

Vulnerabilidad en Martcode Software Inc (CVE-2025-5329)

Fecha de publicación:
04/02/2026
Idioma:
Español
Neutralización Incorrecta de Elementos Especiales utilizados en un Comando SQL (Inyección SQL) vulnerabilidad en Martcode Software Inc. Delta Course Automation permite inyección SQL. Este problema afecta a Delta Course Automation: hasta el 04022026.<br /> <br /> NOTA: Se contactó al proveedor con antelación sobre esta divulgación, pero no respondió de ninguna manera.
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
04/02/2026

Vulnerabilidad en Apache Software Foundation (CVE-2026-24735)

Fecha de publicación:
04/02/2026
Idioma:
Español
Vulnerabilidad de exposición de Información Personal Privada a un Actor No Autorizado en Apache Answer.<br /> <br /> Este problema afecta a Apache Answer: hasta la versión 1.7.1.<br /> <br /> Un endpoint de API no autenticado expone incorrectamente el historial completo de revisiones para contenido eliminado. Esto permite a usuarios no autorizados recuperar información restringida o sensible.<br /> Se recomienda a los usuarios actualizar a la versión 2.0.0, que corrige el problema.
Gravedad CVSS v3.1: ALTA
Última modificación:
06/02/2026

Vulnerabilidad en Cryptobox de Ercom (CVE-2026-0873)

Fecha de publicación:
04/02/2026
Idioma:
Español
En una plataforma Cryptobox donde se utiliza la segregación de administradores basada en entidades, algunas vulnerabilidades en la consola de administración Ercom Cryptobox permiten a un administrador de entidad autenticado con conocimiento elevar su cuenta a administrador global.
Gravedad CVSS v4.0: MEDIA
Última modificación:
04/02/2026

Vulnerabilidad en TCIS-3+ de Zenitel (CVE-2025-59818)

Fecha de publicación:
04/02/2026
Idioma:
Español
Esta vulnerabilidad permite a atacantes autenticados ejecutar comandos arbitrarios en el sistema subyacente usando el nombre de archivo de un archivo subido.
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
11/02/2026