Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

017 - Ir a la línea de ayuda en Ciberseguridad    Ir a Agenda     Ir a Sala de prensa     Ir a suscripción de boletines

Ir al buscador

Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las ultimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las ultimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las ultimas vulnerabilidades incorporadas al repositorio.

CVE-2026-24846
Fecha de publicación:
29/01/2026
Idioma:
Inglés
*** Pendiente de traducción *** malcontent discovers supply-chain compromises through. context, differential analysis, and YARA. Starting in version 1.8.0 and prior to version 1.20.3, malcontent could be made to create symlinks outside the intended extraction directory when scanning a specially crafted tar or deb archive. The `handleSymlink` function received arguments in the wrong order, causing the symlink target to be used as the symlink location. Additionally, symlink targets were not validated to ensure they resolved within the extraction directory. Version 1.20.3 introduces fixes that swap handleSymlink arguments, validate symlink location, and validate symlink targets that resolve within an extraction directory.
Gravedad CVSS v3.1: MEDIA
Última modificación:
04/02/2026

CVE-2026-1625
Fecha de publicación:
29/01/2026
Idioma:
Inglés
*** Pendiente de traducción *** A vulnerability was detected in D-Link DWR-M961 1.1.47. The impacted element is the function sub_4250E0 of the file /boafrm/formSmsManage of the component SMS Message. Performing a manipulation of the argument action_value results in command injection. The attack may be initiated remotely. The exploit is now public and may be used.
Gravedad CVSS v4.0: MEDIA
Última modificación:
20/02/2026

CVE-2026-24845
Fecha de publicación:
29/01/2026
Idioma:
Inglés
*** Pendiente de traducción *** malcontent discovers supply-chain compromises through. context, differential analysis, and YARA. Starting in version 0.10.0 and prior to version 1.20.3, malcontent could be made to expose Docker registry credentials if it scanned a specially crafted OCI image reference. malcontent uses google/go-containerregistry for OCI image pulls, which by default uses the Docker credential keychain. A malicious registry could return a `WWW-Authenticate` header redirecting token authentication to an attacker-controlled endpoint, causing credentials to be sent to that endpoint. Version 1.20.3 fixes the issue by defaulting to anonymous auth for OCI pulls.
Gravedad CVSS v3.1: MEDIA
Última modificación:
20/02/2026

CVE-2026-24902
Fecha de publicación:
29/01/2026
Idioma:
Inglés
*** Pendiente de traducción *** TrustTunnel is an open-source VPN protocol with a server-side request forgery and and private network restriction bypass in versions prior to 0.9.114. In `tcp_forwarder.rs`, SSRF protection for `allow_private_network_connections = false` was only applied in the `TcpDestination::HostName(peer)` path. The `TcpDestination::Address(peer) => peer` path proceeded to `TcpStream::connect()` without equivalent checks (for example `is_global_ip`, `is_loopback`), allowing loopback/private targets to be reached by supplying a numeric IP. The vulnerability is fixed in version 0.9.114.
Gravedad CVSS v3.1: ALTA
Última modificación:
20/02/2026

CVE-2026-1281
Fecha de publicación:
29/01/2026
Idioma:
Inglés
*** Pendiente de traducción *** A code injection in Ivanti Endpoint Manager Mobile allowing attackers to achieve unauthenticated remote code execution.
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
30/01/2026

CVE-2026-1624
Fecha de publicación:
29/01/2026
Idioma:
Inglés
*** Pendiente de traducción *** A security vulnerability has been detected in D-Link DWR-M961 1.1.47. The affected element is an unknown function of the file /boafrm/formLtefotaUpgradeFibocom. Such manipulation of the argument fota_url leads to command injection. The attack can be launched remotely. The exploit has been disclosed publicly and may be used.
Gravedad CVSS v4.0: MEDIA
Última modificación:
20/02/2026

CVE-2026-1340
Fecha de publicación:
29/01/2026
Idioma:
Inglés
*** Pendiente de traducción *** A code injection in Ivanti Endpoint Manager Mobile allowing attackers to achieve unauthenticated remote code execution.
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
20/02/2026

CVE-2026-1623
Fecha de publicación:
29/01/2026
Idioma:
Inglés
*** Pendiente de traducción *** A weakness has been identified in Totolink A7000R 4.1cu.4154. Impacted is the function setUpgradeFW of the file /cgi-bin/cstecgi.cgi. This manipulation of the argument FileName causes command injection. The attack can be initiated remotely. The exploit has been made available to the public and could be used for attacks.
Gravedad CVSS v4.0: MEDIA
Última modificación:
10/02/2026

CVE-2025-15288
Fecha de publicación:
29/01/2026
Idioma:
Inglés
*** Pendiente de traducción *** Tanium addressed an improper access controls vulnerability in Interact.
Gravedad CVSS v3.1: BAJA
Última modificación:
04/02/2026

CVE-2026-25068
Fecha de publicación:
29/01/2026
Idioma:
Inglés
*** Pendiente de traducción *** alsa-lib versions 1.2.2 up to and including 1.2.15.2, prior to commit 5f7fe33, contain a heap-based buffer overflow in the topology mixer control decoder. The tplg_decode_control_mixer1() function reads the num_channels field from untrusted .tplg data and uses it as a loop bound without validating it against the fixed-size channel array (SND_TPLG_MAX_CHAN). A crafted topology file with an excessive num_channels value can cause out-of-bounds heap writes, leading to a crash.
Gravedad CVSS v4.0: MEDIA
Última modificación:
06/02/2026

Vulnerabilidad en vCluster Platform (CVE-2026-22806)
Fecha de publicación:
29/01/2026
Idioma:
Español
vCluster Platform proporciona una plataforma Kubernetes para la gestión de clústeres virtuales, multitenencia y el uso compartido de clústeres. Antes de las versiones 4.6.0, 4.5.4, 4.4.2 y 4.3.10, cuando se crea una clave de acceso con un alcance limitado, el alcance puede ser eludido para acceder a recursos fuera de este. Sin embargo, el usuario aún no puede acceder a recursos más allá de lo que es accesible para el propietario de la clave de acceso. Las versiones 4.6.0, 4.5.4, 4.4.2 y 4.3.10 corrigen la vulnerabilidad. Algunas otras mitigaciones están disponibles. Los usuarios pueden limitar la exposición revisando las claves de acceso que tienen un alcance definido y asegurándose de que cualquier usuario con acceso a ellas tenga los permisos apropiados configurados. La creación de usuarios de automatización con permisos muy limitados y el uso de claves de acceso para estos usuarios de automatización puede utilizarse como una solución alternativa temporal donde la actualización no es posible de inmediato pero se necesitan claves de acceso con alcance definido.
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
04/02/2026

Vulnerabilidad en Umbraco.Forms.Issues de umbraco (CVE-2026-24687)
Fecha de publicación:
29/01/2026
Idioma:
Español
Umbraco Forms es un constructor de formularios que se integra con el sistema de gestión de contenidos Umbraco. Es posible que un usuario autenticado del backoffice enumere y recorra rutas/archivos en el sistema de archivos del sistema y lea su contenido, en instalaciones de Umbraco con Forms en Mac/Linux. Dado que Umbraco Cloud se ejecuta en un entorno Windows, los usuarios de Cloud no se ven afectados. Este problema afecta a las versiones 16 y 17 de Umbraco Forms y está parcheado en las versiones 16.4.1 y 17.1.1. Si la actualización no es posible de inmediato, los usuarios pueden mitigar esta vulnerabilidad configurando un WAF o un proxy inverso para bloquear las solicitudes que contengan secuencias de salto de ruta ('../', '..\') en el parámetro 'fileName' del endpoint de exportación, restringiendo el acceso a la red del backoffice de Umbraco a rangos de IP de confianza, y/o bloqueando completamente el endpoint '/umbraco/forms/API/v1/export' si la función de exportación no es necesaria. Sin embargo, la actualización a la versión parcheada es muy recomendable.
Gravedad CVSS v4.0: MEDIA
Última modificación:
04/02/2026
Suscribirse a Vulnerabilidades