Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

017 - Ir a la línea de ayuda en Ciberseguridad    Ir a Agenda     Ir a Sala de prensa     Ir a suscripción de boletines

Ir al buscador

Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las últimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las últimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las últimas vulnerabilidades incorporadas al repositorio.

CVE-2026-32602
Fecha de publicación:
06/04/2026
Idioma:
Inglés
*** Pendiente de traducción *** Homarr is an open-source dashboard. Prior to 1.57.0, the user registration endpoint (/api/trpc/user.register) is vulnerable to a race condition that allows an attacker to create multiple user accounts from a single-use invite token. The registration flow performs three sequential database operations without a transaction: CHECK, CREATE, and DELETE. Because these operations are not atomic, concurrent requests can all pass the validation step (1) before any of them reaches the deletion step (3). This allows multiple accounts to be registered using a single invite token that was intended to be single-use. This vulnerability is fixed in 1.57.0.
Gravedad CVSS v3.1: MEDIA
Última modificación:
10/04/2026

CVE-2026-33404
Fecha de publicación:
06/04/2026
Idioma:
Inglés
*** Pendiente de traducción *** Pi-hole Admin Interface is a web interface for managing Pi-hole, a network-level ad and internet tracker blocking application. From 6.0 to before 6.5, client hostnames and IP addresses from the FTL database are rendered into the DOM without escaping in network.js (Network page) and charts.js/index.js (Dashboard chart tooltips). While upstream validation in dnsmasq and FTL blocks HTML characters via normal DHCP/DNS paths, the web UI performs no output escaping — an inconsistency with other fields in the same file that are properly escaped. This vulnerability is fixed in 6.5.
Gravedad CVSS v3.1: BAJA
Última modificación:
14/04/2026

CVE-2026-33406
Fecha de publicación:
06/04/2026
Idioma:
Inglés
*** Pendiente de traducción *** Pi-hole Admin Interface is a web interface for managing Pi-hole, a network-level ad and internet tracker blocking application. From 6.0 to before 6.5, configuration values from the /api/config endpoint are placed directly into HTML value="" attributes without escaping in settings-advanced.js, enabling HTML attribute injection. A double quote in any config value breaks out of the attribute context. JavaScript execution is blocked by the server's CSP (script-src 'self'), but injected attributes can alter element styling for UI redressing. The primary attack vector is importing a malicious teleporter backup, which bypasses per-field server-side validation. This vulnerability is fixed in 6.5.
Gravedad CVSS v3.1: MEDIA
Última modificación:
14/04/2026

CVE-2026-31067
Fecha de publicación:
06/04/2026
Idioma:
Inglés
*** Pendiente de traducción *** A remote command execution (RCE) vulnerability in the /goform/formReleaseConnect component of UTT Aggressive 520W v3v1.7.7-180627 allows attackers to execute arbitrary commands via a crafted string.
Gravedad CVSS v3.1: MEDIA
Última modificación:
07/04/2026

CVE-2026-31065
Fecha de publicación:
06/04/2026
Idioma:
Inglés
*** Pendiente de traducción *** UTT Aggressive 520W v3v1.7.7-180627 was discovered to contain a buffer overflow in the addCommand parameter of the formConfigCliForEngineerOnly function. This vulnerability allows attackers to cause a Denial of Service (DoS) via a crafted input.
Gravedad CVSS v3.1: MEDIA
Última modificación:
07/04/2026

CVE-2026-31151
Fecha de publicación:
06/04/2026
Idioma:
Inglés
*** Pendiente de traducción *** An issue in the login mechanism of Kaleris YMS v7.2.2.1 allows attackers to bypass login verification to access the application 's resources.
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
10/04/2026

CVE-2026-31150
Fecha de publicación:
06/04/2026
Idioma:
Inglés
*** Pendiente de traducción *** Incorrect access control in Kaleris YMS v7.2.2.1 allows authenticated attackers with only the shipping/receiving role to view the truck's dashboard resources.
Gravedad CVSS v3.1: MEDIA
Última modificación:
10/04/2026

CVE-2026-31066
Fecha de publicación:
06/04/2026
Idioma:
Inglés
*** Pendiente de traducción *** UTT Aggressive HiPER 810G v3v1.7.7-171114 was discovered to contain a buffer overflow in the selDateType parameter of the formTaskEdit function. This vulnerability allows attackers to cause a Denial of Service (DoS) via a crafted input.
Gravedad CVSS v3.1: MEDIA
Última modificación:
10/04/2026

CVE-2026-31153
Fecha de publicación:
06/04/2026
Idioma:
Inglés
*** Pendiente de traducción *** A stored cross-site scripting (XSS) vulnerability in Bynder v0.1.394 allows attackers to execute arbitrary web scripts or HTML via a crafted payload.
Gravedad CVSS v3.1: MEDIA
Última modificación:
16/04/2026

CVE-2026-31062
Fecha de publicación:
06/04/2026
Idioma:
Inglés
*** Pendiente de traducción *** UTT Aggressive 520W v3v1.7.7-180627 was discovered to contain a buffer overflow in the filename parameter of the formFtpServerDirConfig function. This vulnerability allows attackers to cause a Denial of Service (DoS) via a crafted input.
Gravedad CVSS v3.1: MEDIA
Última modificación:
07/04/2026

CVE-2026-31059
Fecha de publicación:
06/04/2026
Idioma:
Inglés
*** Pendiente de traducción *** A remote command execution (RCE) vulnerability in the /goform/formDia component of UTT Aggressive HiPER 520W v3v1.7.7-180627 allows attackers to execute arbitrary commands via a crafted string.
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
09/04/2026

CVE-2026-31063
Fecha de publicación:
06/04/2026
Idioma:
Inglés
*** Pendiente de traducción *** UTT Aggressive HiPER 1200GW v2.5.3-170306 was discovered to contain a buffer overflow in the pools parameter of the formArpBindConfig function. This vulnerability allows attackers to cause a Denial of Service (DoS) via a crafted input.
Gravedad CVSS v3.1: MEDIA
Última modificación:
10/04/2026
Suscribirse a Vulnerabilidades