Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las ultimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las ultimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las ultimas vulnerabilidades incorporadas al repositorio.

CVE-2020-36979

Fecha de publicación:

27/01/2026

Idioma:

Inglés

*** Pendiente de traducción *** Atheros Coex Service Application 8.0.0.255 contains an unquoted service path vulnerability in its Windows service configuration. Attackers can exploit the unquoted path by placing malicious executables in the service path to gain elevated system privileges during service startup.

Gravedad CVSS v4.0: ALTA

Última modificación:

29/01/2026

CVE-2020-36974

Fecha de publicación:

27/01/2026

Idioma:

Inglés

*** Pendiente de traducción *** Realtek Andrea RT Filters 1.0.64.7 contains an unquoted service path vulnerability that allows local users to potentially execute arbitrary code with elevated system privileges. Attackers can exploit the unquoted path in &#39;C:\Program Files\IDT\WDM\AESTSr64.exe&#39; to inject malicious code that would execute during service startup or system reboot.

Gravedad CVSS v4.0: ALTA

Última modificación:

29/01/2026

CVE-2026-23592

Fecha de publicación:

27/01/2026

Idioma:

Inglés

*** Pendiente de traducción *** Insecure file operations in HPE Aruba Networking Fabric Composerâ€™s backup functionality could allow authenticated attackers to achieve remote code execution. Successful exploitation could allow an attacker to execute arbitrary commands on the underlying operating system.

Gravedad CVSS v3.1: ALTA

Última modificación:

29/01/2026

CVE-2026-23593

Fecha de publicación:

27/01/2026

Idioma:

Inglés

*** Pendiente de traducción *** A vulnerability in the web-based management interface of HPE Aruba Networking Fabric Composer could allow an unauthenticated remote attacker to view some system files. Successful exploitation could allow an attacker to read files within the affected directory.

Gravedad CVSS v3.1: ALTA

Última modificación:

29/01/2026

CVE-2026-0919

Fecha de publicación:

27/01/2026

Idioma:

Inglés

*** Pendiente de traducción *** The HTTP parser of Tapo C220 v1 and C520WS v2 cameras improperly handles requests containing an excessively long URL path. An invalid‑URL error path continues into cleanup code that assumes allocated buffers exist, leading to a crash and service restart. An unauthenticated attacker can force repeated service crashes or device reboots, causing denial of service.

Gravedad CVSS v4.0: ALTA

Última modificación:

29/01/2026

CVE-2026-1315

Fecha de publicación:

27/01/2026

Idioma:

Inglés

*** Pendiente de traducción *** By sending crafted files to the firmware update endpoint of Tapo C220 v1 and C520WS v2, the device terminates core system services before verifying authentication or firmware integrity. An unauthenticated attacker can trigger a persistent denial of service, requiring a manual reboot or application initiated restart to restore normal device operation.

Gravedad CVSS v4.0: ALTA

Última modificación:

29/01/2026

Vulnerabilidad en suricata de OISF (CVE-2026-22260)

Fecha de publicación:

27/01/2026

Idioma:

Español

Suricata es un motor IDS, IPS y NSM de red. A partir de la versión 8.0.0 y antes de la versión 8.0.3, Suricata puede fallar con un desbordamiento de pila. La versión 8.0.3 corrige el problema. Como solución alternativa, use los valores predeterminados para &#39;request-body-limit&#39; y &#39;response-body-limit&#39;.

Gravedad CVSS v3.1: ALTA

Última modificación:

29/01/2026

CVE-2026-0918

Fecha de publicación:

27/01/2026

Idioma:

Inglés

*** Pendiente de traducción *** The Tapo C220 v1 and C520WS v2 cameras’ HTTP service does not safely handle POST requests containing an excessively large Content-Length header. The resulting failed memory allocation triggers a NULL pointer dereference, causing the main service process to crash. An unauthenticated attacker can repeatedly crash the service, causing temporary denial of service. The device restarts automatically, and repeated requests can keep it unavailable.

Gravedad CVSS v4.0: ALTA

Última modificación:

10/02/2026

CVE-2025-33234

Fecha de publicación:

27/01/2026

Idioma:

Inglés

*** Pendiente de traducción *** NVIDIA runx contains a vulnerability where an attacker could cause a code injection. A successful exploit of this vulnerability might lead to code execution, denial of service, escalation of privileges, information disclosure, and data tampering.

Gravedad CVSS v3.1: ALTA

Última modificación:

29/01/2026

CVE-2025-14911

Fecha de publicación:

27/01/2026

Idioma:

Inglés

*** Pendiente de traducción *** User-controlled chunkSize metadata from MongoDB lacks appropriate validation allowing malformed GridFS metadata to overflow the bounding container.

Gravedad CVSS v4.0: ALTA

Última modificación:

29/01/2026

CVE-2026-22039

Fecha de publicación:

27/01/2026

Idioma:

Inglés

*** Pendiente de traducción *** Kyverno is a policy engine designed for cloud native platform engineering teams. Versions prior to 1.16.3 and 1.15.3 have a critical authorization boundary bypass in namespaced Kyverno Policy apiCall. The resolved `urlPath` is executed using the Kyverno admission controller ServiceAccount, with no enforcement that the request is limited to the policy’s namespace. As a result, any authenticated user with permission to create a namespaced Policy can cause Kyverno to perform Kubernetes API requests using Kyverno’s admission controller identity, targeting any API path allowed by that ServiceAccount’s RBAC. This breaks namespace isolation by enabling cross-namespace reads (for example, ConfigMaps and, where permitted, Secrets) and allows cluster-scoped or cross-namespace writes (for example, creating ClusterPolicies) by controlling the urlPath through context variable substitution. Versions 1.16.3 and 1.15.3 contain a patch for the vulnerability.

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

02/02/2026

CVE-2026-23881

Fecha de publicación:

27/01/2026

Idioma:

Inglés

*** Pendiente de traducción *** Kyverno is a policy engine designed for cloud native platform engineering teams. Versions prior to 1.16.3 and 1.15.3 have unbounded memory consumption in Kyverno&#39;s policy engine that allows users with policy creation privileges to cause denial of service by crafting policies that exponentially amplify string data through context variables. Versions 1.16.3 and 1.15.3 contain a patch for the vulnerability.

Gravedad CVSS v3.1: ALTA

Última modificación:

02/02/2026

Suscribirse a Vulnerabilidades