Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las ultimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las ultimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las ultimas vulnerabilidades incorporadas al repositorio.

Vulnerabilidad en Red Hat (CVE-2026-4775)

Fecha de publicación:

24/03/2026

Idioma:

Español

Se encontró un fallo en la biblioteca libtiff. Un atacante remoto podría explotar una vulnerabilidad de desbordamiento de entero con signo en la función putcontig8bitYCbCr44tile al proporcionar un archivo TIFF especialmente diseñado. Este fallo puede llevar a una escritura fuera de límites en el heap debido a cálculos incorrectos del puntero de memoria, potencialmente causando una denegación de servicio (caída de la aplicación) o ejecución de código arbitrario.

Gravedad CVSS v3.1: ALTA

Última modificación:

17/04/2026

Vulnerabilidad en GNU FreeIPM (CVE-2026-33554)

Fecha de publicación:

24/03/2026

Idioma:

Español

ipmi-oem en FreeIPMI anterior a 1.16.17 tiene desbordamientos de búfer explotables en mensajes de respuesta. La especificación de la Interfaz de Gestión de Plataforma Inteligente (IPMI) define un conjunto de interfaces para la gestión de plataformas. Es implementada por un gran número de fabricantes de hardware para soportar la gestión del sistema. Se utiliza más comúnmente para la lectura de sensores (por ejemplo, temperaturas de CPU a través del comando ipmi-sensors dentro de FreeIPMI) y el control remoto de energía (el comando ipmipower). El comando cliente ipmi-oem implementa un conjunto de comandos IPMI OEM para proveedores de hardware específicos. Si un usuario tiene hardware compatible, puede desear usar el comando ipmi-oem para enviar una solicitud a un servidor para recuperar información específica. Se encontró que tres subcomandos tenían desbordamientos de búfer explotables en mensajes de respuesta. Son: &#39;ipmi-oem dell get-last-post-code - obtener el último código POST y la cadena que describe el error en algunos servidores Dell,&#39; &#39;ipmi-oem supermicro extra-firmware-info - obtener información extra de firmware en servidores Supermicro,&#39; y &#39;ipmi-oem wistron read-proprietary-string - leer una cadena propietaria en servidores Wistron.&#39;

Gravedad CVSS v3.1: ALTA

Última modificación:

24/03/2026

Vulnerabilidad en vikunja de go-vikunja (CVE-2026-33313)

Fecha de publicación:

24/03/2026

Idioma:

Español

Vikunja es una plataforma de gestión de tareas de código abierto autoalojada. Antes de la versión 2.2.0, un usuario autenticado puede leer cualquier comentario de tarea por ID, independientemente de si tiene acceso a la tarea a la que pertenece el comentario, sustituyendo el ID de la tarea en la URL de la API por una tarea a la que sí tiene acceso. La versión 2.2.0 corrige el problema.

Gravedad CVSS v4.0: MEDIA

Última modificación:

24/03/2026

Vulnerabilidad en vikunja de go-vikunja (CVE-2026-33315)

Fecha de publicación:

24/03/2026

Idioma:

Español

Vikunja es una plataforma de gestión de tareas de código abierto autoalojada. Antes de la versión 2.2.0, el endpoint Caldav permite el inicio de sesión usando Autenticación Básica, lo que a su vez permite a los usuarios eludir el TOTP en cuentas con 2FA habilitado. El usuario puede entonces acceder a información estándar del proyecto que normalmente estaría protegida detrás de 2FA (si está habilitado), como el nombre del proyecto, la descripción, etc. La versión 2.2.0 corrige el problema.

Gravedad CVSS v4.0: MEDIA

Última modificación:

24/03/2026

Vulnerabilidad en vikunja de go-vikunja (CVE-2026-33316)

Fecha de publicación:

24/03/2026

Idioma:

Español

Vikunja es una plataforma de gestión de tareas de código abierto autoalojada. Antes de la versión 2.2.0, una falla en la lógica de restablecimiento de contraseña de Vikunja permite a los usuarios deshabilitados recuperar el acceso a sus cuentas. La función &#39;ResetPassword()&#39; establece el estado del usuario en &#39;StatusActive&#39; después de un restablecimiento de contraseña exitoso sin verificar si la cuenta había sido deshabilitada previamente. Al solicitar un token de restablecimiento a través de &#39;/api/v1/user/password/token&#39; y completar el restablecimiento a través de &#39;/api/v1/user/password/reset&#39;, un usuario deshabilitado puede reactivar su cuenta y eludir la deshabilitación de cuenta impuesta por el administrador. La versión 2.2.0 corrige el problema.

Gravedad CVSS v3.1: ALTA

Última modificación:

24/03/2026

Vulnerabilidad en Free5GC (CVE-2026-30653)

Fecha de publicación:

24/03/2026

Idioma:

Español

Un problema en Free5GC v.4.2.0 y versiones anteriores permite a un atacante remoto causar una denegación de servicio a través de la función HandleAuthenticationFailure del componente AMF.

Gravedad CVSS v3.1: ALTA

Última modificación:

24/03/2026

Vulnerabilidad en esiclivre (CVE-2026-30655)

Fecha de publicación:

24/03/2026

Idioma:

Español

Inyección SQL en Solicitante::resetaSenha() en esiclivre/esiclivre v0.2.2 y anteriores permite a atacantes remotos no autenticados obtener acceso no autorizado a información sensible a través del parámetro cpfcnpj en /reset/index.PHP

Gravedad CVSS v3.1: MEDIA

Última modificación:

25/03/2026

Vulnerabilidad en iCMS (CVE-2026-30661)

Fecha de publicación:

24/03/2026

Idioma:

Español

iCMS v8.0.0 contiene una vulnerabilidad de cross-site scripting (XSS) en el componente de Gestión de Usuarios, específicamente dentro del archivo index.html. Esto permite a atacantes remotos ejecutar scripts web o HTML arbitrarios a través de los parámetros regip o loginip.

Gravedad CVSS v3.1: MEDIA

Última modificación:

25/03/2026

Vulnerabilidad en ConcreteCMS (CVE-2026-30662)

Fecha de publicación:

24/03/2026

Idioma:

Español

ConcreteCMS v9.4.7 contiene una vulnerabilidad de denegación de servicio (DoS) en el componente del Administrador de Archivos. El método &#39;download&#39; en &#39;concrete/controllers/backend/file.php&#39; gestiona incorrectamente la memoria al crear archivos zip. Utiliza &#39;ZipArchive::addFromString&#39; combinado con &#39;file_get_contents&#39;, lo que carga el contenido completo de cada archivo seleccionado en la memoria PHP. Un atacante autenticado puede explotar esto solicitando una descarga masiva de archivos grandes, lo que desencadena una condición de Out-Of-Memory (OOM) que provoca la terminación del proceso PHP-FPM (SIGSEGV) y que el servidor web devuelva un error 500.

Gravedad CVSS v3.1: MEDIA

Última modificación:

24/03/2026

Vulnerabilidad en NGINX de F5 (CVE-2026-32647)

Fecha de publicación:

24/03/2026

Idioma:

Español

NGINX Open Source y NGINX Plus tienen una vulnerabilidad en el módulo ngx_http_mp4_module, que podría permitir a un atacante desencadenar una lectura o escritura excesiva de búfer en la memoria del proceso worker de NGINX, lo que resultaría en su terminación o posiblemente en la ejecución de código, utilizando un archivo MP4 especialmente diseñado. Este problema afecta a NGINX Open Source y NGINX Plus si está compilado con el módulo ngx_http_mp4_module y la directiva mp4 se utiliza en el archivo de configuración. Además, el ataque es posible solo si un atacante puede desencadenar el procesamiento de un archivo MP4 especialmente diseñado con el módulo ngx_http_mp4_module. Nota: Las versiones de software que han alcanzado el Fin de Soporte Técnico (EoTS) no son evaluadas.

Gravedad CVSS v4.0: ALTA

Última modificación:

26/03/2026

Vulnerabilidad en NGINX Open Source de F5 (CVE-2026-27784)

Fecha de publicación:

24/03/2026

Idioma:

Español

La implementación de 32 bits de NGINX Open Source tiene una vulnerabilidad en el módulo ngx_http_mp4_module, lo que podría permitir a un atacante leer en exceso o sobrescribir la memoria del proceso worker de NGINX, lo que resultaría en su terminación, utilizando un archivo MP4 especialmente diseñado. El problema solo afecta a NGINX Open Source de 32 bits si está compilado con el módulo ngx_http_mp4_module y la directiva mp4 se utiliza en el archivo de configuración. Además, el ataque es posible solo si un atacante puede desencadenar el procesamiento de un archivo MP4 especialmente diseñado con el módulo ngx_http_mp4_module. Nota: Las versiones de software que han alcanzado el Fin de Soporte Técnico (EoTS) no se evalúan.

Gravedad CVSS v4.0: ALTA

Última modificación:

30/03/2026

Vulnerabilidad en NGINX Plus y NGINX Open Source de F5 (CVE-2026-28755)

Fecha de publicación:

24/03/2026

Idioma:

Español

NGINX Plus y NGINX Open Source tienen una vulnerabilidad en el módulo ngx_stream_ssl_module debido al manejo inadecuado de certificados revocados cuando se configura con las directivas ssl_verify_client on y ssl_ocsp on, permitiendo que el handshake TLS tenga éxito incluso después de que una verificación OCSP identifique el certificado como revocado. Nota: Las versiones de software que han alcanzado el Fin de Soporte Técnico (EoTS) no son evaluadas.

Gravedad CVSS v4.0: MEDIA

Última modificación:

26/03/2026

Suscribirse a Vulnerabilidades