Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las ultimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las ultimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las ultimas vulnerabilidades incorporadas al repositorio.

Vulnerabilidad en AVideo de WWBN (CVE-2026-33354)

Fecha de publicación:

23/03/2026

Idioma:

Español

WWBN AVideo es una plataforma de video de código abierto. En versiones hasta la 26.0 inclusive, `POST /objects/aVideoEncoder.json.php` acepta un parámetro `chunkFile` controlado por el solicitante, destinado a fragmentos de carga por etapas. En lugar de restringir esa ruta a ubicaciones de fragmentos generadas por el servidor de confianza, el endpoint acepta rutas arbitrarias del sistema de archivos local que pasan `isValidURLOrPath()`. Esa función auxiliar permite archivos bajo directorios amplios del servidor, incluyendo `/var/www/`, la raíz de la aplicación, caché, tmp, y `videos`, solo rechazando archivos `.php`. Para un cargador autenticado que edita su propio video, esto se convierte en una lectura arbitraria de archivos locales. El endpoint copia el archivo local elegido por el atacante en la ruta de almacenamiento de video público del atacante, después de lo cual puede ser descargado por HTTP. El commit 59bbd601a3f65a5b18c1d9e4eb11471c0a59214f contiene un parche para el problema.

Gravedad CVSS v3.1: ALTA

Última modificación:

24/03/2026

Vulnerabilidad en Red Hat (CVE-2026-4645)

Fecha de publicación:

23/03/2026

Idioma:

Español

Se encontró un defecto en el componente `github.com/antchfx/xpath`. Un atacante remoto podría explotar esta vulnerabilidad enviando expresiones XPath booleanas manipuladas que se evalúen como verdaderas. Esto puede causar un bucle infinito en la función `logicalQuery.Select`, lo que lleva a una utilización del 100% de la CPU y a una condición de Denegación de Servicio (DoS) para el sistema afectado.

Gravedad CVSS v3.1: ALTA

Última modificación:

30/03/2026

Vulnerabilidad en Red Hat (CVE-2026-4647)

Fecha de publicación:

23/03/2026

Idioma:

Español

Se encontró una falla en la biblioteca BFD de GNU Binutils, un componente ampliamente utilizado para manejar archivos binarios como archivos objeto y ejecutables. El problema ocurre al procesar archivos objeto XCOFF especialmente manipulados, donde un valor de tipo de reubicación no se valida correctamente antes de ser utilizado. Esto puede causar que el programa lea memoria fuera de los límites previstos. Como resultado, las herramientas afectadas pueden bloquearse o exponer contenidos de memoria no deseados, lo que lleva a una denegación de servicio o a riesgos limitados de revelación de información.

Gravedad CVSS v3.1: MEDIA

Última modificación:

24/03/2026

Vulnerabilidad en kodbox de kalcaddle (CVE-2026-4589)

Fecha de publicación:

23/03/2026

Idioma:

Español

Una vulnerabilidad fue identificada en kalcaddle kodbox 1.64. El elemento afectado es la función PathDriverUrl del archivo /workspace/source-code/app/controller/explorer/editor.class.PHP del componente fileGet Endpoint. Dicha manipulación del argumento path conduce a falsificación de petición del lado del servidor. El ataque puede ser lanzado remotamente. El exploit está disponible públicamente y podría ser usado. El proveedor fue contactado tempranamente sobre esta divulgación pero no respondió de ninguna manera. El análisis estadístico dejó claro que VulDB proporciona la mejor calidad para datos de vulnerabilidad.

Gravedad CVSS v4.0: MEDIA

Última modificación:

23/03/2026

Vulnerabilidad en fastify (CVE-2026-3635)

Fecha de publicación:

23/03/2026

Idioma:

Español

Resumen Cuando `trustProxy` se configura con una función de confianza restrictiva (por ejemplo, una IP específica como `trustProxy: &#39;10.0.0.1&#39;`, una subred, un recuento de saltos o una función personalizada), los *getters* `request.protocol` y `request.host` leen los encabezados `X-Forwarded-Proto` y `X-Forwarded-Host` de cualquier conexión, incluidas las conexiones de IPs no confiables. Esto permite a un atacante que se conecta directamente a Fastify (saltándose el proxy) suplantar tanto el protocolo como el *host* vistos por la aplicación. Versiones Afectadas fastify &lt;= 5.8.2 Impacto Las aplicaciones que utilizan `request.protocol` o `request.host` para decisiones de seguridad (aplicación de HTTPS, *flags* de cookie seguras, comprobaciones de origen CSRF, construcción de URL, enrutamiento basado en *host*) se ven afectadas cuando `trustProxy` se configura con una función de confianza restrictiva. Cuando `trustProxy: true` (confiar en todo), tanto el *host* como el protocolo confían en todos los encabezados reenviados — este es el comportamiento esperado. La vulnerabilidad solo se manifiesta con configuraciones de confianza restrictivas.

Gravedad CVSS v3.1: MEDIA

Última modificación:

23/03/2026

Vulnerabilidad en AVideo de WWBN (CVE-2026-33297)

Fecha de publicación:

23/03/2026

Idioma:

Español

WWBN AVideo es una plataforma de video de código abierto. Antes de la versión 26.0, el endpoint &#39;setPassword.json.php&#39; en el plugin CustomizeUser permite a los administradores establecer una contraseña de canal para cualquier usuario. Debido a un error de lógica en cómo se procesa el valor de la contraseña enviada, cualquier contraseña que contenga caracteres no numéricos se convierte silenciosamente al entero cero antes de ser almacenada. Esto significa que, independientemente de la contraseña prevista, la contraseña de canal almacenada se convierte en 0, que cualquier visitante puede adivinar trivialmente para eludir el control de acceso a nivel de canal. La versión 26.0 contiene un parche para el problema.

Gravedad CVSS v4.0: MEDIA

Última modificación:

23/03/2026

Vulnerabilidad en AVideo de WWBN (CVE-2026-33351)

Fecha de publicación:

23/03/2026

Idioma:

Español

WWBN AVideo es una plataforma de video de código abierto. Antes de la versión 26.0, existe una vulnerabilidad de falsificación de petición del lado del servidor (SSRF) en &#39;plugin/Live/standAloneFiles/saveDVR.json.php&#39;. Cuando el plugin AVideo Live se despliega en modo autónomo (la configuración prevista para este archivo), el parámetro &#39;$_REQUEST[&#39;webSiteRootURL&#39;]&#39; se utiliza directamente para construir una URL que se obtiene del lado del servidor mediante &#39;file_get_contents()&#39;. No se realiza autenticación, validación de origen o inclusión en lista blanca de URL. La versión 26.0 contiene un parche para el problema.

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

23/03/2026

Vulnerabilidad en AVideo de WWBN (CVE-2026-33352)

Fecha de publicación:

23/03/2026

Idioma:

Español

WWBN AVideo es una plataforma de video de código abierto. Antes de la versión 26.0, existe una vulnerabilidad de inyección SQL no autenticada en objects/category.php, en el método getAllCategories(). El parámetro de solicitud doNotShowCats se sanea solo eliminando caracteres de comilla simple (str_replace(&#39;&#39;&#39;, &#39;&#39;, ...)), pero esto se elude trivialmente utilizando una técnica de escape con barra invertida para desplazar los límites de la cadena SQL. El parámetro no está cubierto por ninguno de los filtros de entrada globales de la aplicación en objects/security.php. La versión 26.0 contiene un parche para el problema.

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

23/03/2026

Vulnerabilidad en Sinturno (CVE-2025-41008)

Fecha de publicación:

23/03/2026

Idioma:

Español

Vulnerabilidad de inyección SQL en Sinturno. Esta vulnerabilidad permite a un atacante recuperar, crear, actualizar y eliminar bases de datos a través del parámetro &#39;client&#39; en el endpoint &#39;/_adm/scripts/modalReport_data.php&#39;.

Gravedad CVSS v4.0: CRÍTICA

Última modificación:

23/03/2026

Vulnerabilidad en Blob Studio de Pixarra (CVE-2019-25625)

Fecha de publicación:

23/03/2026

Idioma:

Español

Blob Studio 2.17 contiene una vulnerabilidad de denegación de servicio que permite a atacantes locales bloquear la aplicación al proporcionar una entrada malformada a través del mecanismo de entrada de claves. Los atacantes pueden crear un archivo de texto con un búfer grande de caracteres repetidos y hacer que la aplicación lo lea, lo que provoca que la aplicación se bloquee o deje de responder.

Gravedad CVSS v4.0: MEDIA

Última modificación:

24/03/2026

Vulnerabilidad en Liquid Studio de Pixarra (CVE-2019-25624)

Fecha de publicación:

23/03/2026

Idioma:

Español

Liquid Studio 2.17 contiene una vulnerabilidad de denegación de servicio que permite a atacantes locales hacer que la aplicación falle al proporcionar una entrada malformada a través de la interfaz del teclado. Los atacantes pueden activar la vulnerabilidad al introducir caracteres arbitrarios durante la ejecución de la aplicación, haciendo que la aplicación deje de responder o termine de forma anómala.

Gravedad CVSS v4.0: MEDIA

Última modificación:

24/03/2026

Vulnerabilidad en Luminance Studio de Pixarra (CVE-2019-25623)

Fecha de publicación:

23/03/2026

Idioma:

Español

Luminance Studio 2.17 contiene una vulnerabilidad de denegación de servicio que permite a atacantes locales bloquear la aplicación al proporcionar una entrada malformada a través de la interfaz del teclado. Los atacantes pueden crear un archivo de texto con secuencias de caracteres arbitrarias y hacer que la aplicación procese la entrada, provocando que la aplicación deje de responder o termine de forma anómala.

Gravedad CVSS v4.0: MEDIA

Última modificación:

24/03/2026

Suscribirse a Vulnerabilidades