Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las ultimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las ultimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las ultimas vulnerabilidades incorporadas al repositorio.

CVE-2026-3841

Fecha de publicación:

12/03/2026

Idioma:

Español

Una vulnerabilidad de inyección de comandos ha sido identificada en la interfaz de línea de comandos (CLI) de Telnet de TP-Link TL-MR6400 v5.3. Este problema es causado por una sanitización insuficiente de los datos procesados durante operaciones específicas de la CLI. Un atacante autenticado con privilegios elevados podría ejecutar comandos de sistema arbitrarios. La explotación exitosa podría llevar a un compromiso total del dispositivo, incluyendo la posible pérdida de confidencialidad, integridad y disponibilidad.

Gravedad CVSS v4.0: ALTA

Última modificación:

12/03/2026

CVE-2026-32129

Fecha de publicación:

12/03/2026

Idioma:

Español

soroban-poseidon proporciona funciones hash criptográficas Poseidon y Poseidon2 para contratos inteligentes de Soroban. Poseidon V1 (PoseidonSponge) acepta entradas de longitud variable sin relleno inyectivo. Cuando un llamador proporciona menos entradas que la tasa de la esponja (inputs.len() &lt; T - 1), las posiciones de tasa no utilizadas se rellenan implícitamente con ceros. Esto permite colisiones hash triviales: para cualquier vector de entrada [m1, ..., mk] hasheado con una esponja de tasa &gt; k, hash([m1, ..., mk]) es igual a hash([m1, ..., mk, 0]) porque ambos producen estados de pre-permutación idénticos. Esto afecta cualquier uso de PoseidonSponge o poseidon_hash donde el número de entradas es menor que T - 1 (p. ej., hashear 1 entrada con T=3). Poseidon2 (Poseidon2Sponge) no se ve afectado.

Gravedad CVSS v4.0: ALTA

Última modificación:

12/03/2026

CVE-2026-32141

Fecha de publicación:

12/03/2026

Idioma:

Español

flatted es un analizador de JSON circular. Antes de la versión 3.4.0, la función parse() de flatted utiliza una fase recursiva revive() para resolver referencias circulares en JSON deserializado. Cuando se le proporciona una carga útil manipulada con índices $ profundamente anidados o autorreferenciales, la profundidad de recursión es ilimitada, causando un desbordamiento de pila que bloquea el proceso de Node.js. Esta vulnerabilidad se ha corregido en la versión 3.4.0.

Gravedad CVSS v3.1: ALTA

Última modificación:

12/03/2026

CVE-2026-32139

Fecha de publicación:

12/03/2026

Idioma:

Español

Dataease es una herramienta de análisis de visualización de datos de código abierto. En DataEase 2.10.19 y versiones anteriores, la interfaz de carga de recursos estáticos permite cargas de SVG. Sin embargo, la validación del backend solo verifica si el XML es analizable y si el nodo raíz es svg. No sanea contenido activo como los manejadores de eventos onload/onerror o atributos con capacidad de script. Como resultado, un atacante puede cargar un SVG malicioso y luego activar la ejecución de scripts en un navegador al visitar la URL del recurso estático expuesto, formando una cadena completa de explotación de XSS almacenado. Esta vulnerabilidad está corregida en 2.10.20.

Gravedad CVSS v4.0: MEDIA

Última modificación:

13/03/2026

CVE-2026-32137

Fecha de publicación:

12/03/2026

Idioma:

Español

Dataease es una herramienta de análisis de visualización de datos de código abierto. Antes de la 2.10.20, el parámetro table para /de2api/datasource/previewData se concatena directamente en la sentencia SQL sin ningún tipo de filtrado o parametrización. Dado que tableName es una cadena controlable por el usuario, los atacantes pueden inyectar sentencias SQL maliciosas construyendo nombres de tabla maliciosos. Esta vulnerabilidad se corrigió en la 2.10.20.

Gravedad CVSS v4.0: CRÍTICA

Última modificación:

13/03/2026

CVE-2026-32140

Fecha de publicación:

12/03/2026

Idioma:

Español

Dataease es una herramienta de análisis de visualización de datos de código abierto. Anterior a la versión 2.10.20, al controlar el parámetro IniFile, un atacante puede forzar al controlador JDBC a cargar un archivo de configuración controlado por el atacante. Este archivo de configuración puede inyectar propiedades JDBC peligrosas, lo que lleva a la ejecución remota de código. El flujo de ejecución del controlador JDBC de Redshift alcanza un método llamado getJdbcIniFile. El método getJdbcIniFile implementa un mecanismo agresivo de descubrimiento automático de archivos de configuración. Si no se restringe explícitamente, busca un archivo llamado rsjdbc.ini. En un contexto de URL JDBC, los usuarios pueden especificar explícitamente el archivo de configuración a través de parámetros de URL, lo que permite que archivos arbitrarios en el servidor se carguen como archivos de configuración JDBC. Dentro de las propiedades del controlador JDBC de Redshift, el parámetro IniFile es explícitamente compatible y se utiliza para cargar un archivo de configuración externo. Esta vulnerabilidad se corrige en la versión 2.10.20.

Gravedad CVSS v4.0: CRÍTICA

Última modificación:

13/03/2026

CVE-2026-31860

Fecha de publicación:

12/03/2026

Idioma:

Español

Unhead es un gestor de cabecera de documento y plantillas. Antes de la 2.1.11, se puede eludir useHeadSafe() para inyectar atributos HTML arbitrarios, incluyendo manejadores de eventos, en etiquetas renderizadas por SSR. Este es el composable que la documentación de Nuxt recomienda para manejar de forma segura contenido generado por el usuario. La función acceptDataAttrs (safe.ts, línea 16-20) permite cualquier clave de propiedad que comience con &#39;data-&#39; hasta el HTML final. Solo verifica el prefijo, no si la clave contiene espacios u otros caracteres que rompen el análisis de atributos HTML. Esta vulnerabilidad está corregida en la 2.1.11.

Gravedad CVSS v4.0: MEDIA

Última modificación:

12/03/2026

CVE-2026-31873

Fecha de publicación:

12/03/2026

Idioma:

Español

Unhead es un gestor de cabeceras de documento y plantillas. Antes de la versión 2.1.11, la comprobación de link.href en makeTagSafe (safe.ts) utiliza String.includes(), que distingue entre mayúsculas y minúsculas. Los navegadores tratan los esquemas URI sin distinguir entre mayúsculas y minúsculas. DATA:text/css,... es lo mismo que data:text/css,... para el navegador, pero &#39;DATA:...&#39;.includes(&#39;data:&#39;) devuelve falso. Un atacante puede inyectar CSS arbitrario para la manipulación de la interfaz de usuario o la exfiltración de datos a través de selectores de atributos CSS con retrollamadas de background-image. Esta vulnerabilidad se corrige en la versión 2.1.11.

Gravedad: Pendiente de análisis

Última modificación:

12/03/2026

CVE-2026-31890

Fecha de publicación:

12/03/2026

Idioma:

Español

Inspektor Gadget es un conjunto de herramientas y framework para la recopilación de datos y la inspección del sistema en clústeres de Kubernetes y hosts de Linux usando eBPF. Antes de la versión 0.50.1, en una situación donde el búfer circular de un gadget está – incidental o maliciosamente – ya lleno, el gadget descartará eventos silenciosamente. El archivo include/gadget/buffer.h contiene definiciones para la API de búfer que los gadgets pueden usar para, entre otras cosas, transferir datos de programas eBPF al espacio de usuario. Para hosts que ejecutan un kernel de Linux lo suficientemente moderno (&gt;= 5.8), este mecanismo de transferencia se basa en búferes circulares. El tamaño del búfer circular para los gadgets está codificado a 256KB. Cuando un gadget_reserve_buf falla debido a espacio insuficiente, el gadget se limpia silenciosamente sin producir una alerta. El recuento de pérdidas informado por el operador eBPF, cuando se usan búferes circulares – la opción moderna – está codificado a cero. La vulnerabilidad puede ser utilizada por una fuente de eventos maliciosa (por ejemplo, un contenedor comprometido) para causar una denegación de servicio, forzando al sistema a descartar eventos provenientes de otros contenedores (o del mismo contenedor). Esta vulnerabilidad está corregida en la versión 0.50.1.

Gravedad CVSS v4.0: MEDIA

Última modificación:

12/03/2026

CVE-2026-32100

Fecha de publicación:

12/03/2026

Idioma:

Español

Shopware es una plataforma de comercio abierta. La ruta /api/_info/config expone información sobre correcciones de seguridad activas. Esta vulnerabilidad está corregida en 2.0.16, 3.0.12 y 4.0.7.

Gravedad CVSS v3.1: MEDIA

Última modificación:

12/03/2026

CVE-2026-32116

Fecha de publicación:

12/03/2026

Idioma:

Español

Magic Wormhole permite obtener archivos y directorios de tamaño arbitrario de un ordenador a otro. Desde la versión 0.21.0 hasta antes de la 0.23.0, recibir un archivo (wormhole receive) de un actor malicioso podría resultar en la sobrescritura de archivos locales críticos, incluyendo ~/.ssh/authorized_keys y .bashrc. Esto podría utilizarse para comprometer el ordenador del receptor. Solo el remitente del archivo (el actor que ejecuta wormhole send) puede llevar a cabo el ataque. Otras partes (incluyendo los servidores de tránsito/retransmisión) quedan excluidas por el protocolo wormhole. Esta vulnerabilidad está corregida en la versión 0.23.0.

Gravedad CVSS v4.0: ALTA

Última modificación:

12/03/2026

CVE-2026-26795

Fecha de publicación:

12/03/2026

Idioma:

Español

Se descubrió que GL-iNet GL-AR300M16 v4.3.11 contenía una vulnerabilidad de inyección de comandos a través del parámetro module en la función M.get_system_log. Esta vulnerabilidad permite a los atacantes ejecutar comandos arbitrarios mediante una entrada manipulada.

Gravedad: Pendiente de análisis

Última modificación:

12/03/2026

Suscribirse a Vulnerabilidades