Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las ultimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las ultimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las ultimas vulnerabilidades incorporadas al repositorio.

CVE-2026-0919

Fecha de publicación:

27/01/2026

Idioma:

Inglés

*** Pendiente de traducción *** The HTTP parser of Tapo C220 v1 and C520WS v2 cameras improperly handles requests containing an excessively long URL path. An invalid‑URL error path continues into cleanup code that assumes allocated buffers exist, leading to a crash and service restart. An unauthenticated attacker can force repeated service crashes or device reboots, causing denial of service.

Gravedad CVSS v4.0: ALTA

Última modificación:

29/01/2026

CVE-2026-1315

Fecha de publicación:

27/01/2026

Idioma:

Inglés

*** Pendiente de traducción *** By sending crafted files to the firmware update endpoint of Tapo C220 v1 and C520WS v2, the device terminates core system services before verifying authentication or firmware integrity. An unauthenticated attacker can trigger a persistent denial of service, requiring a manual reboot or application initiated restart to restore normal device operation.

Gravedad CVSS v4.0: ALTA

Última modificación:

29/01/2026

Vulnerabilidad en suricata de OISF (CVE-2026-22260)

Fecha de publicación:

27/01/2026

Idioma:

Español

Suricata es un motor IDS, IPS y NSM de red. A partir de la versión 8.0.0 y antes de la versión 8.0.3, Suricata puede fallar con un desbordamiento de pila. La versión 8.0.3 corrige el problema. Como solución alternativa, use los valores predeterminados para &#39;request-body-limit&#39; y &#39;response-body-limit&#39;.

Gravedad CVSS v3.1: ALTA

Última modificación:

29/01/2026

CVE-2026-0918

Fecha de publicación:

27/01/2026

Idioma:

Inglés

*** Pendiente de traducción *** The Tapo C220 v1 and C520WS v2 cameras’ HTTP service does not safely handle POST requests containing an excessively large Content-Length header. The resulting failed memory allocation triggers a NULL pointer dereference, causing the main service process to crash. An unauthenticated attacker can repeatedly crash the service, causing temporary denial of service. The device restarts automatically, and repeated requests can keep it unavailable.

Gravedad CVSS v4.0: ALTA

Última modificación:

10/02/2026

CVE-2025-33234

Fecha de publicación:

27/01/2026

Idioma:

Inglés

*** Pendiente de traducción *** NVIDIA runx contains a vulnerability where an attacker could cause a code injection. A successful exploit of this vulnerability might lead to code execution, denial of service, escalation of privileges, information disclosure, and data tampering.

Gravedad CVSS v3.1: ALTA

Última modificación:

29/01/2026

CVE-2025-14911

Fecha de publicación:

27/01/2026

Idioma:

Inglés

*** Pendiente de traducción *** User-controlled chunkSize metadata from MongoDB lacks appropriate validation allowing malformed GridFS metadata to overflow the bounding container.

Gravedad CVSS v4.0: ALTA

Última modificación:

29/01/2026

CVE-2026-22039

Fecha de publicación:

27/01/2026

Idioma:

Inglés

*** Pendiente de traducción *** Kyverno is a policy engine designed for cloud native platform engineering teams. Versions prior to 1.16.3 and 1.15.3 have a critical authorization boundary bypass in namespaced Kyverno Policy apiCall. The resolved `urlPath` is executed using the Kyverno admission controller ServiceAccount, with no enforcement that the request is limited to the policy’s namespace. As a result, any authenticated user with permission to create a namespaced Policy can cause Kyverno to perform Kubernetes API requests using Kyverno’s admission controller identity, targeting any API path allowed by that ServiceAccount’s RBAC. This breaks namespace isolation by enabling cross-namespace reads (for example, ConfigMaps and, where permitted, Secrets) and allows cluster-scoped or cross-namespace writes (for example, creating ClusterPolicies) by controlling the urlPath through context variable substitution. Versions 1.16.3 and 1.15.3 contain a patch for the vulnerability.

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

02/02/2026

CVE-2026-23881

Fecha de publicación:

27/01/2026

Idioma:

Inglés

*** Pendiente de traducción *** Kyverno is a policy engine designed for cloud native platform engineering teams. Versions prior to 1.16.3 and 1.15.3 have unbounded memory consumption in Kyverno&#39;s policy engine that allows users with policy creation privileges to cause denial of service by crafting policies that exponentially amplify string data through context variables. Versions 1.16.3 and 1.15.3 contain a patch for the vulnerability.

Gravedad CVSS v3.1: ALTA

Última modificación:

02/02/2026

Vulnerabilidad en suricata de OISF (CVE-2026-22258)

Fecha de publicación:

27/01/2026

Idioma:

Español

Suricata es un motor de IDS, IPS y NSM de red. Antes de las versiones 8.0.3 y 7.0.14, el tráfico DCERPC manipulado puede hacer que Suricata expanda un búfer sin límites, lo que lleva al agotamiento de la memoria y a la terminación del proceso. Aunque se informó para DCERPC sobre UDP, se cree que DCERPC sobre TCP y SMB también son vulnerables. DCERPC/TCP en la configuración predeterminada no debería ser vulnerable, ya que la profundidad de flujo predeterminada está limitada a 1 MiB. Las versiones 8.0.3 y 7.0.14 contienen un parche. Algunas soluciones alternativas están disponibles. Para DCERPC/UDP, deshabilite el analizador. Para DCERPC/TCP, la configuración &#39;stream.reassembly.depth&#39; limitará la cantidad de datos que se pueden almacenar en búfer. Para DCERPC/SMB, también se puede usar &#39;stream.reassembly.depth&#39;, pero está configurado como ilimitado por defecto. Imponer un límite aquí puede llevar a la pérdida de visibilidad en SMB.

Gravedad CVSS v3.1: ALTA

Última modificación:

30/01/2026

Vulnerabilidad en suricata de OISF (CVE-2026-22259)

Fecha de publicación:

27/01/2026

Idioma:

Español

Suricata es un motor IDS, IPS y NSM de red. Antes de las versiones 8.0.3 y 7.0.14, el tráfico especialmente diseñado puede hacer que Suricata consuma grandes cantidades de memoria mientras analiza el tráfico DNP3. Esto puede provocar que el proceso se ralentice y se quede sin memoria, lo que podría llevar a que sea terminado por el OOM killer. Las versiones 8.0.3 o 7.0.14 contienen un parche. Como solución alternativa, deshabilite el analizador DNP3 en el suricata yaml (deshabilitado por defecto).

Gravedad CVSS v3.1: ALTA

Última modificación:

30/01/2026

CVE-2026-1477

Fecha de publicación:

27/01/2026

Idioma:

Inglés

*** Pendiente de traducción *** An out-of-band SQL injection vulnerability (OOB SQLi) has been detected in the Performance Evaluation (EDD) application developed by Gabinete Técnico de Programación. Exploiting this vulnerability in the parameter &#39;Id_usuario&#39; and &#39;Id_evaluacion’ in ‘/evaluacion_competencias_evalua_old.aspx’, could allow an attacker to extract sensitive information from the database through external channels, without the affected application returning the data directly, compromising the confidentiality of the stored information.

Gravedad CVSS v4.0: CRÍTICA

Última modificación:

10/02/2026

CVE-2026-1481

Fecha de publicación:

27/01/2026

Idioma:

Inglés

*** Pendiente de traducción *** An out-of-band SQL injection vulnerability (OOB SQLi) has been detected in the Performance Evaluation (EDD) application developed by Gabinete Técnico de Programación. Exploiting this vulnerability in the parameter &#39;Id_usuario&#39; in &#39;/evaluacion_objetivos_anyo_sig_ver_auto.aspx&#39;, could allow an attacker to extract sensitive information from the database through external channels, without the affected application returning the data directly, compromising the confidentiality of the stored information.

Gravedad CVSS v4.0: CRÍTICA

Última modificación:

10/02/2026

Suscribirse a Vulnerabilidades