Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las ultimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las ultimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las ultimas vulnerabilidades incorporadas al repositorio.

Vulnerabilidad en AVideo de WWBN (CVE-2026-33352)

Fecha de publicación:
23/03/2026
Idioma:
Español
WWBN AVideo es una plataforma de video de código abierto. Antes de la versión 26.0, existe una vulnerabilidad de inyección SQL no autenticada en objects/category.php, en el método getAllCategories(). El parámetro de solicitud doNotShowCats se sanea solo eliminando caracteres de comilla simple (str_replace(''', '', ...)), pero esto se elude trivialmente utilizando una técnica de escape con barra invertida para desplazar los límites de la cadena SQL. El parámetro no está cubierto por ninguno de los filtros de entrada globales de la aplicación en objects/security.php. La versión 26.0 contiene un parche para el problema.
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
23/03/2026

Vulnerabilidad en Sinturno (CVE-2025-41008)

Fecha de publicación:
23/03/2026
Idioma:
Español
Vulnerabilidad de inyección SQL en Sinturno. Esta vulnerabilidad permite a un atacante recuperar, crear, actualizar y eliminar bases de datos a través del parámetro 'client' en el endpoint '/_adm/scripts/modalReport_data.php'.
Gravedad CVSS v4.0: CRÍTICA
Última modificación:
23/03/2026

Vulnerabilidad en Blob Studio de Pixarra (CVE-2019-25625)

Fecha de publicación:
23/03/2026
Idioma:
Español
Blob Studio 2.17 contiene una vulnerabilidad de denegación de servicio que permite a atacantes locales bloquear la aplicación al proporcionar una entrada malformada a través del mecanismo de entrada de claves. Los atacantes pueden crear un archivo de texto con un búfer grande de caracteres repetidos y hacer que la aplicación lo lea, lo que provoca que la aplicación se bloquee o deje de responder.
Gravedad CVSS v4.0: MEDIA
Última modificación:
24/03/2026

Vulnerabilidad en Liquid Studio de Pixarra (CVE-2019-25624)

Fecha de publicación:
23/03/2026
Idioma:
Español
Liquid Studio 2.17 contiene una vulnerabilidad de denegación de servicio que permite a atacantes locales hacer que la aplicación falle al proporcionar una entrada malformada a través de la interfaz del teclado. Los atacantes pueden activar la vulnerabilidad al introducir caracteres arbitrarios durante la ejecución de la aplicación, haciendo que la aplicación deje de responder o termine de forma anómala.
Gravedad CVSS v4.0: MEDIA
Última modificación:
24/03/2026

Vulnerabilidad en Luminance Studio de Pixarra (CVE-2019-25623)

Fecha de publicación:
23/03/2026
Idioma:
Español
Luminance Studio 2.17 contiene una vulnerabilidad de denegación de servicio que permite a atacantes locales bloquear la aplicación al proporcionar una entrada malformada a través de la interfaz del teclado. Los atacantes pueden crear un archivo de texto con secuencias de caracteres arbitrarias y hacer que la aplicación procese la entrada, provocando que la aplicación deje de responder o termine de forma anómala.
Gravedad CVSS v4.0: MEDIA
Última modificación:
24/03/2026

Vulnerabilidad en Paint Studio de Pixarra (CVE-2019-25622)

Fecha de publicación:
23/03/2026
Idioma:
Español
Paint Studio 2.17 contiene una vulnerabilidad de denegación de servicio que permite a atacantes locales bloquear la aplicación al proporcionar una entrada malformada a través del mecanismo de entrada de claves. Los atacantes pueden crear un archivo de texto con un búfer grande de caracteres y activar que la aplicación lo lea, lo que provoca que la aplicación falle y quede no disponible.
Gravedad CVSS v4.0: MEDIA
Última modificación:
24/03/2026

Vulnerabilidad en Pixel Studio de Pixarra (CVE-2019-25621)

Fecha de publicación:
23/03/2026
Idioma:
Español
Pixel Studio 2.17 contiene una vulnerabilidad de denegación de servicio que permite a atacantes locales colapsar la aplicación al proporcionar una entrada malformada a través de la interfaz del teclado. Los atacantes pueden activar la vulnerabilidad al introducir caracteres arbitrarios, lo que provoca que la aplicación deje de responder o se cierre de forma anómala.
Gravedad CVSS v4.0: MEDIA
Última modificación:
24/03/2026

Vulnerabilidad en Tree Studio de Pixarra (CVE-2019-25620)

Fecha de publicación:
23/03/2026
Idioma:
Español
Tree Studio 2.17 contiene una vulnerabilidad de denegación de servicio que permite a atacantes locales bloquear la aplicación al proporcionar una entrada malformada a través de la interfaz del teclado. Los atacantes pueden activar la vulnerabilidad al introducir caracteres arbitrarios durante la ejecución de la aplicación, haciendo que la aplicación deje de responder o termine de forma anómala.
Gravedad CVSS v4.0: MEDIA
Última modificación:
24/03/2026

Vulnerabilidad en Chat2DB de CodePhiliaX (CVE-2026-4586)

Fecha de publicación:
23/03/2026
Idioma:
Español
Una vulnerabilidad fue encontrada en CodePhiliaX Chat2DB hasta 0.3.7. Esto afecta la función Upload del archivo chat2db-server/chat2db-server-web/chat2db-server-web-api/src/main/java/ai/chat2db/server/web/api/controller/driver/JdbcDriverController.java del componente JDBC Driver Upload. Realizar una manipulación resulta en carga sin restricciones. El ataque puede ser iniciado remotamente. El exploit ha sido hecho público y podría ser usado. El proveedor fue contactado tempranamente sobre esta divulgación pero no respondió de ninguna manera.
Gravedad CVSS v4.0: MEDIA
Última modificación:
23/03/2026

Vulnerabilidad en HybridAuth (CVE-2026-4587)

Fecha de publicación:
23/03/2026
Idioma:
Español
Una vulnerabilidad fue encontrada en HybridAuth hasta la versión 3.12.2. Este problema afecta a algún procesamiento desconocido del archivo src/HttpClient/Curl.php del componente Gestor SSL. La manipulación del argumento curlOptions resulta en una validación de certificado incorrecta. El ataque puede ser lanzado de forma remota. Este ataque se caracteriza por una alta complejidad. La explotabilidad se evalúa como difícil. El proyecto fue informado del problema tempranamente a través de un informe de problema, pero aún no ha respondido.
Gravedad CVSS v4.0: MEDIA
Última modificación:
23/03/2026

Vulnerabilidad en kodbox de kalcaddle (CVE-2026-4588)

Fecha de publicación:
23/03/2026
Idioma:
Español
Se determinó una vulnerabilidad en kalcaddle kodbox 1.64. La función shareSafeGroup del archivo /workspace/source-code/app/controller/explorer/shareOut.class.php del componente Gestor de clave API a nivel de sitio está impactada. Esta manipulación del argumento sk causa el uso de una clave criptográfica codificada de forma rígida. El ataque puede iniciarse de forma remota. La complejidad de un ataque es bastante alta. La explotabilidad se considera difícil. El exploit ha sido divulgado públicamente y puede ser utilizado. Se contactó al proveedor con antelación sobre esta divulgación, pero no respondió de ninguna manera.
Gravedad CVSS v4.0: MEDIA
Última modificación:
23/03/2026

Vulnerabilidad en KlinikaXP de BRI (CVE-2026-1958)

Fecha de publicación:
23/03/2026
Idioma:
Español
El uso de credenciales codificadas en Klinika XP y KlinikaXP Insertino permitió a un atacante no autorizado acceder a varios servicios internos. Críticamente, esto incluía el acceso al servidor FTP que alojaba los paquetes de actualización de la aplicación. El atacante con estas credenciales podría cargar un archivo de actualización malicioso, el cual podría haber sido distribuido e instalado en máquinas cliente como una actualización legítima.<br /> <br /> Este problema afecta a KlinikaXP: antes de la 5.39.01.01. y a KlinikaXP Insertino antes de la 3.1.0.1.<br /> <br /> Además de eliminar las credenciales codificadas del código, las credenciales previamente expuestas también fueron rotadas, evitando futuros intentos de ataque.
Gravedad CVSS v4.0: ALTA
Última modificación:
23/03/2026