Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las ultimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las ultimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las ultimas vulnerabilidades incorporadas al repositorio.

Vulnerabilidad en HybridAuth (CVE-2026-4587)

Fecha de publicación:
23/03/2026
Idioma:
Español
Una vulnerabilidad fue encontrada en HybridAuth hasta la versión 3.12.2. Este problema afecta a algún procesamiento desconocido del archivo src/HttpClient/Curl.php del componente Gestor SSL. La manipulación del argumento curlOptions resulta en una validación de certificado incorrecta. El ataque puede ser lanzado de forma remota. Este ataque se caracteriza por una alta complejidad. La explotabilidad se evalúa como difícil. El proyecto fue informado del problema tempranamente a través de un informe de problema, pero aún no ha respondido.
Gravedad CVSS v4.0: MEDIA
Última modificación:
23/03/2026

Vulnerabilidad en kodbox de kalcaddle (CVE-2026-4588)

Fecha de publicación:
23/03/2026
Idioma:
Español
Se determinó una vulnerabilidad en kalcaddle kodbox 1.64. La función shareSafeGroup del archivo /workspace/source-code/app/controller/explorer/shareOut.class.php del componente Gestor de clave API a nivel de sitio está impactada. Esta manipulación del argumento sk causa el uso de una clave criptográfica codificada de forma rígida. El ataque puede iniciarse de forma remota. La complejidad de un ataque es bastante alta. La explotabilidad se considera difícil. El exploit ha sido divulgado públicamente y puede ser utilizado. Se contactó al proveedor con antelación sobre esta divulgación, pero no respondió de ninguna manera.
Gravedad CVSS v4.0: MEDIA
Última modificación:
23/03/2026

Vulnerabilidad en KlinikaXP de BRI (CVE-2026-1958)

Fecha de publicación:
23/03/2026
Idioma:
Español
El uso de credenciales codificadas en Klinika XP y KlinikaXP Insertino permitió a un atacante no autorizado acceder a varios servicios internos. Críticamente, esto incluía el acceso al servidor FTP que alojaba los paquetes de actualización de la aplicación. El atacante con estas credenciales podría cargar un archivo de actualización malicioso, el cual podría haber sido distribuido e instalado en máquinas cliente como una actualización legítima.<br /> <br /> Este problema afecta a KlinikaXP: antes de la 5.39.01.01. y a KlinikaXP Insertino antes de la 3.1.0.1.<br /> <br /> Además de eliminar las credenciales codificadas del código, las credenciales previamente expuestas también fueron rotadas, evitando futuros intentos de ataque.
Gravedad CVSS v4.0: ALTA
Última modificación:
23/03/2026

Vulnerabilidad en Nebula 300+ de Nexxt Solutions (CVE-2026-31847)

Fecha de publicación:
23/03/2026
Idioma:
Español
Funcionalidad oculta en el endpoint /goform/setSysTools en el firmware de Nexxt Solutions Nebula 300+ hasta la versión 12.01.01.37 permite la habilitación remota de un servicio Telnet. Una vez habilitado, el servicio expone una interfaz de gestión de diagnóstico privilegiada a través de la red, aumentando la superficie de ataque y permitiendo un compromiso adicional del dispositivo.
Gravedad CVSS v4.0: ALTA
Última modificación:
26/03/2026

Vulnerabilidad en Nebula 300+ de Nexxt Solutions (CVE-2026-31848)

Fecha de publicación:
23/03/2026
Idioma:
Español
El firmware de Nexxt Solutions Nebula 300+ hasta la versión 12.01.01.37 almacena material de autenticación administrativa en la cookie ecos_pw utilizando un formato codificado en Base64 reversible con un sufijo estático. Un atacante que obtiene o deriva este valor de cookie puede falsificar una sesión administrativa válida y obtener acceso no autorizado al dispositivo.
Gravedad CVSS v4.0: ALTA
Última modificación:
26/03/2026

Vulnerabilidad en Nebula 300+ de Nexxt Solutions (CVE-2026-31849)

Fecha de publicación:
23/03/2026
Idioma:
Español
El firmware de Nexxt Solutions Nebula 300+ hasta la versión 12.01.01.37 no implementa protecciones CSRF en los endpoints administrativos que cambian el estado. Un atacante remoto puede inducir a un administrador autenticado a enviar solicitudes manipuladas que modifican la configuración del dispositivo, incluyendo la configuración relevante para la seguridad, sin la intención del administrador.
Gravedad CVSS v4.0: ALTA
Última modificación:
26/03/2026

Vulnerabilidad en Nebula 300+ de Nexxt Solutions (CVE-2026-31850)

Fecha de publicación:
23/03/2026
Idioma:
Español
El firmware de Nexxt Solutions Nebula 300+ hasta la versión 12.01.01.37 almacena información sensible, incluyendo credenciales administrativas y claves precompartidas de WiFi, en texto plano dentro de los archivos de copia de seguridad de configuración exportados.
Gravedad CVSS v4.0: MEDIA
Última modificación:
26/03/2026

Vulnerabilidad en Nebula 300+ de Nexxt Solutions (CVE-2026-31851)

Fecha de publicación:
23/03/2026
Idioma:
Español
El firmware de Nexxt Solutions Nebula 300+ hasta la versión 12.01.01.37 no implementa limitación de tasa o bloqueo de cuenta en la interfaz de autenticación.
Gravedad CVSS v4.0: ALTA
Última modificación:
26/03/2026

Vulnerabilidad en Cuantis (CVE-2025-41007)

Fecha de publicación:
23/03/2026
Idioma:
Español
Inyección SQL en Cuantis. Esta vulnerabilidad permite a un atacante recuperar, crear, actualizar y eliminar bases de datos a través del parámetro &amp;#39;search&amp;#39; en el endpoint &amp;#39;/search.php&amp;#39;.
Gravedad CVSS v4.0: CRÍTICA
Última modificación:
23/03/2026

Vulnerabilidad en Tiandy (CVE-2026-4585)

Fecha de publicación:
23/03/2026
Idioma:
Español
Se ha encontrado una vulnerabilidad en la Plataforma de Gestión Integrada Tiandy Easy7 hasta la versión 7.17.0. Esta vulnerabilidad afecta a código desconocido del archivo /Easy7/apps/WebService/ImportSystemConfiguration.jsp del componente Gestor de Configuración. La manipulación del argumento File conduce a una inyección de comandos del sistema operativo. El ataque puede iniciarse de forma remota. El exploit ha sido divulgado al público y puede ser utilizado. Se contactó al proveedor con antelación sobre esta divulgación, pero no respondió de ninguna manera.
Gravedad CVSS v4.0: ALTA
Última modificación:
23/03/2026

Vulnerabilidad en Shenzhen HCC Technology (CVE-2026-4584)

Fecha de publicación:
23/03/2026
Idioma:
Español
Se ha encontrado una vulnerabilidad en Shenzhen HCC Technology MPOS M6 PLUS 1V.31-N. Esto afecta a una parte desconocida del componente Gestor de Datos del Titular de la Tarjeta. La ejecución de una manipulación puede conducir a la transmisión en texto claro de información sensible. El ataque requiere acceso a la red local. El ataque requiere un alto nivel de complejidad. Se indica que la explotabilidad es difícil. Se contactó al proveedor con antelación sobre esta divulgación, pero no respondió de ninguna manera.
Gravedad CVSS v4.0: BAJA
Última modificación:
23/03/2026

Vulnerabilidad en Helmholz (CVE-2026-32969)

Fecha de publicación:
23/03/2026
Idioma:
Español
Un atacante remoto no autenticado puede explotar una vulnerabilidad de inyección SQL ciega Pre-Auth en el método de autenticación del endpoint userinfo debido a la neutralización incorrecta de elementos especiales en un comando SQL SELECT. Esto puede resultar en una pérdida total de confidencialidad.
Gravedad CVSS v3.1: ALTA
Última modificación:
23/03/2026