Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las ultimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las ultimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las ultimas vulnerabilidades incorporadas al repositorio.

CVE-2026-4955

Fecha de publicación:

27/03/2026

Idioma:

Inglés

*** Pendiente de traducción *** A vulnerability was found in Shenzhen Ruiming Technology Streamax Crocus 1.3.44. This impacts an unknown function of the file /OperateStatistic.do. The manipulation of the argument VehicleID results in sql injection. The attack can be launched remotely. The exploit has been made public and could be used. The vendor was contacted early about this disclosure but did not respond in any way.

Gravedad CVSS v4.0: MEDIA

Última modificación:

30/03/2026

CVE-2026-4956

Fecha de publicación:

27/03/2026

Idioma:

Inglés

*** Pendiente de traducción *** A vulnerability was detected in Shenzhen Ruiming Technology Streamax Crocus 1.3.44. The affected element is an unknown function of the file /DevicePrint.do?Action=ReadTask of the component Parameter Handler. The manipulation of the argument State results in sql injection. The attack can be launched remotely. The exploit is now public and may be used. The vendor was contacted early about this disclosure but did not respond in any way.

Gravedad CVSS v4.0: MEDIA

Última modificación:

30/03/2026

CVE-2026-4957

Fecha de publicación:

27/03/2026

Idioma:

Inglés

*** Pendiente de traducción *** A flaw has been found in OpenBMB XAgent 1.0.0. The impacted element is the function FunctionHandler.handle_tool_call of the file XAgent/function_handler.py of the component API Key Handler. This manipulation of the argument api_key causes sensitive information in log files. The attack may be initiated remotely. The exploit has been published and may be used. The vendor was contacted early about this disclosure but did not respond in any way.

Gravedad CVSS v4.0: MEDIA

Última modificación:

30/03/2026

CVE-2026-4980

Fecha de publicación:

27/03/2026

Idioma:

Inglés

*** Pendiente de traducción *** A local file disclosure vulnerability in the XInclude processing component of Inkscape 1.1 before 1.3 allows a remote attacker to read local files via a crafted SVG file containing malicious xi:include tags.

Gravedad CVSS v3.1: MEDIA

Última modificación:

30/03/2026

CVE-2026-4984

Fecha de publicación:

27/03/2026

Idioma:

Inglés

*** Pendiente de traducción *** The Twilio integration webhook handler accepts any POST request without validating Twilio&#39;s &#39;X-Twilio-Signature&#39;.<br /> <br /> When processing media messages, it fetches user-controlled URLs (&#39;MediaUrlN&#39; parameters) using HTTP requests that include the integration&#39;s Twilio credentials in the &#39;Authorization&#39; header.<br /> <br /> An attacker can forge a webhook payload pointing to their own server and receive the victim&#39;s &#39;accountSID&#39; and &#39;authToken&#39; in plaintext (base64-encoded Basic Auth), leading to full compromise of the Twilio account.

Gravedad CVSS v3.1: ALTA

Última modificación:

30/03/2026

CVE-2026-4953

Fecha de publicación:

27/03/2026

Idioma:

Inglés

*** Pendiente de traducción *** A weakness has been identified in mingSoft MCMS up to 5.5.0. This issue affects the function catchImage of the file net/mingsoft/cms/action/BaseAction.java of the component Editor Endpoint. Executing a manipulation of the argument catchimage can lead to server-side request forgery. It is possible to launch the attack remotely. The exploit has been made available to the public and could be used for attacks.

Gravedad CVSS v4.0: MEDIA

Última modificación:

30/03/2026

CVE-2026-4954

Fecha de publicación:

27/03/2026

Idioma:

Inglés

*** Pendiente de traducción *** A security vulnerability has been detected in mingSoft MCMS up to 5.5.0. Impacted is the function list of the file net/mingsoft/cms/action/web/ContentAction.java of the component Web Content List Endpoint. The manipulation leads to sql injection. The attack can be initiated remotely. The exploit has been disclosed publicly and may be used.

Gravedad CVSS v4.0: MEDIA

Última modificación:

30/03/2026

CVE-2026-33759

Fecha de publicación:

27/03/2026

Idioma:

Inglés

*** Pendiente de traducción *** WWBN AVideo is an open source video platform. In versions up to and including 26.0, the `objects/playlistsVideos.json.php` endpoint returns the full video contents of any playlist by ID without any authentication or authorization check. Private playlists (including `watch_later` and `favorite` types) are correctly hidden from listing endpoints via `playlistsFromUser.json.php`, but their contents are directly accessible through this endpoint by providing the sequential integer `playlists_id` parameter. Commit bb716fbece656c9fe39784f11e4e822b5867f1ca has a patch for the issue.

Gravedad CVSS v3.1: MEDIA

Última modificación:

31/03/2026

CVE-2026-33761

Fecha de publicación:

27/03/2026

Idioma:

Inglés

*** Pendiente de traducción *** WWBN AVideo is an open source video platform. In versions up to and including 26.0, three `list.json.php` endpoints in the Scheduler plugin lack any authentication check, while every other endpoint in the same plugin directories (`add.json.php`, `delete.json.php`, `index.php`) requires `User::isAdmin()`. An unauthenticated attacker can retrieve all scheduled tasks (including internal callback URLs and parameters), admin-composed email messages, and user-to-email targeting mappings by sending simple GET requests. Commit 83390ab1fa8dca2de3f8fa76116a126428405431 contains a patch.

Gravedad CVSS v3.1: MEDIA

Última modificación:

31/03/2026

CVE-2026-33763

Fecha de publicación:

27/03/2026

Idioma:

Inglés

*** Pendiente de traducción *** WWBN AVideo is an open source video platform. In versions up to and including 26.0, the `get_api_video_password_is_correct` API endpoint allows any unauthenticated user to verify whether a given password is correct for any password-protected video. The endpoint returns a boolean `passwordIsCorrect` field with no rate limiting, CAPTCHA, or authentication requirement, enabling efficient offline-speed brute-force attacks against video passwords. Commit 01a0614fedcdaee47832c0d913a0fb86d8c28135 contains a patch.

Gravedad CVSS v3.1: MEDIA

Última modificación:

31/03/2026

CVE-2026-33764

Fecha de publicación:

27/03/2026

Idioma:

Inglés

*** Pendiente de traducción *** WWBN AVideo is an open source video platform. In versions up to and including 26.0, the AI plugin&#39;s `save.json.php` endpoint loads AI response objects using an attacker-controlled `$_REQUEST[&#39;id&#39;]` parameter without validating that the AI response belongs to the specified video. An authenticated user with AI permissions can reference any AI response ID — including those generated for other users&#39; private videos — and apply the stolen AI-generated content (titles, descriptions, keywords, summaries, or full transcriptions) to their own video, effectively exfiltrating the information. Commit aa2c46a806960a0006105df47765913394eec142 contains a patch.

Gravedad CVSS v3.1: MEDIA

Última modificación:

31/03/2026

CVE-2026-33766

Fecha de publicación:

27/03/2026

Idioma:

Inglés

*** Pendiente de traducción *** WWBN AVideo is an open source video platform. In versions up to and including 26.0, `isSSRFSafeURL()` validates URLs against private/reserved IP ranges before fetching, but `url_get_contents()` follows HTTP redirects without re-validating the redirect target. An attacker can bypass SSRF protection by redirecting from a public URL to an internal target. Commit 8b7e9dad359d5fac69e0cbbb370250e0b284bc12 contains a patch.

Gravedad CVSS v4.0: MEDIA

Última modificación:

31/03/2026

Suscribirse a Vulnerabilidades