Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las ultimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las ultimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las ultimas vulnerabilidades incorporadas al repositorio.

CVE-2026-27608

Fecha de publicación:

25/02/2026

Idioma:

Inglés

*** Pendiente de traducción *** Parse Dashboard is a standalone dashboard for managing Parse Server apps. In versions 7.3.0-alpha.42 through 9.0.0-alpha.7, the AI Agent API endpoint (`POST /apps/:appId/agent`) does not enforce authorization. Authenticated users scoped to specific apps can access any other app&#39;s agent endpoint by changing the app ID in the URL. Read-only users are given the full master key instead of the read-only master key and can supply write permissions in the request body to perform write and delete operations. Only dashboards with `agent` configuration enabled are affected. The fix in version 9.0.0-alpha.8 adds per-app authorization checks and restricts read-only users to the `readOnlyMasterKey` with write permissions stripped server-side. As a workaround, remove the `agent` configuration block from your dashboard configuration. Dashboards without an `agent` config are not affected.

Gravedad CVSS v4.0: CRÍTICA

Última modificación:

25/02/2026

CVE-2026-2914

Fecha de publicación:

25/02/2026

Idioma:

Inglés

*** Pendiente de traducción *** CyberArk Endpoint Privilege Manager Agent versions 25.10.0 and lower allow potential unauthorized privilege elevation leveraging CyberArk elevation dialogs

Gravedad CVSS v4.0: ALTA

Última modificación:

25/02/2026

CVE-2026-24847

Fecha de publicación:

25/02/2026

Idioma:

Inglés

*** Pendiente de traducción *** OpenEMR is a free and open source electronic health records and medical practice management application. Prior to version 8.0.0, the Eye Exam form module allows any authenticated user to be redirected to an arbitrary external URL. This can be exploited for phishing attacks against healthcare providers using OpenEMR. Version 8.0.0 fixes the issue.

Gravedad CVSS v3.1: MEDIA

Última modificación:

25/02/2026

CVE-2026-24849

Fecha de publicación:

25/02/2026

Idioma:

Inglés

*** Pendiente de traducción *** OpenEMR is a free and open source electronic health records and medical practice management application. Prior to version 7.0.4, the `disposeDocument()` method in `EtherFaxActions.php` allows authenticated users to read arbitrary files from the server filesystem. Any authenticated user (regardless of privilege level) can exploit this vulnerability to read sensitive files. Version 7.0.4 patches the issue.

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

25/02/2026

CVE-2026-24896

Fecha de publicación:

25/02/2026

Idioma:

Inglés

*** Pendiente de traducción *** OpenEMR is a free and open source electronic health records and medical practice management application. Prior to version 8.0.0, a Broken Access Control vulnerability exists in OpenEMR’s edih_main.php endpoint, which allows any authenticated user—including low-privilege roles like Receptionist—to access EDI log files by manipulating the log_select parameter in a GET request. The back-end fails to enforce role-based access control (RBAC), allowing sensitive system logs to be accessed outside the GUI-enforced permission boundaries. Version 8.0.0 fixes the issue.

Gravedad CVSS v3.1: MEDIA

Última modificación:

25/02/2026

CVE-2026-25124

Fecha de publicación:

25/02/2026

Idioma:

Inglés

*** Pendiente de traducción *** OpenEMR is a free and open source electronic health records and medical practice management application. Prior to version 8.0.0, the OpenEMR application is vulnerable to an access control flaw that allows low-privileged users, such as receptionists, to export the entire message list containing sensitive patient and user data. The vulnerability lies in the message_list.php report export functionality, where there is no permission check before executing sensitive database queries. The only control in place is CSRF token verification, which does not prevent unauthorized data access if the token is acquired through other means. Version 8.0.0 fixes the vulnerability.

Gravedad CVSS v3.1: MEDIA

Última modificación:

25/02/2026

CVE-2026-25127

Fecha de publicación:

25/02/2026

Idioma:

Inglés

*** Pendiente de traducción *** OpenEMR is a free and open source electronic health records and medical practice management application. Prior to version 8.0.0, the server does not properly validate user permission. Unauthorized users can view the information of authorized users. Version 8.0.0 fixes the issue.

Gravedad CVSS v4.0: ALTA

Última modificación:

25/02/2026

CVE-2026-25131

Fecha de publicación:

25/02/2026

Idioma:

Inglés

*** Pendiente de traducción *** OpenEMR is a free and open source electronic health records and medical practice management application. Prior to version 8.0.0, a Broken Access Control vulnerability exists in the OpenEMR order types management system, allowing low-privilege users (such as Receptionist) to add and modify procedure types without proper authorization. This vulnerability is present in the /openemr/interface/orders/types_edit.php endpoint. Version 8.0.0 contains a patch.

Gravedad CVSS v3.1: ALTA

Última modificación:

25/02/2026

CVE-2025-67752

Fecha de publicación:

25/02/2026

Idioma:

Inglés

*** Pendiente de traducción *** OpenEMR is a free and open source electronic health records and medical practice management application. Prior to version 7.0.4, OpenEMR&#39;s HTTP client wrapper (`oeHttp`/`oeHttpRequest`) disables SSL/TLS certificate verification by default (`verify: false`), making all external HTTPS connections vulnerable to man-in-the-middle (MITM) attacks. This affects communication with government healthcare APIs and user-configurable external services, potentially exposing Protected Health Information (PHI). Version 7.0.4 fixes the issue.

Gravedad CVSS v3.1: ALTA

Última modificación:

25/02/2026

CVE-2025-68277

Fecha de publicación:

25/02/2026

Idioma:

Inglés

*** Pendiente de traducción *** OpenEMR is a free and open source electronic health records and medical practice management application. Prior to version 7.0.4, when a link is sent via Secure Messaging, clicking the link opens the website within the OpenEMR/Portal site. This behavior could be exploited for phishing. Version 7.0.4 patches the issue.

Gravedad CVSS v4.0: ALTA

Última modificación:

25/02/2026

CVE-2025-69231

Fecha de publicación:

25/02/2026

Idioma:

Inglés

*** Pendiente de traducción *** OpenEMR is a free and open source electronic health records and medical practice management application. Prior to version 8.0.0, a stored cross-site scripting vulnerability in the GAD-7 anxiety assessment form allows authenticated users with clinician privileges to inject malicious JavaScript that executes when other users view the form. This enables session hijacking, account takeover, and privilege escalation from clinician to administrator. Version 8.0.0 fixes the issue.

Gravedad CVSS v3.1: ALTA

Última modificación:

25/02/2026

CVE-2026-21443

Fecha de publicación:

25/02/2026

Idioma:

Inglés

*** Pendiente de traducción *** OpenEMR is a free and open source electronic health records and medical practice management application. Prior to version 8.0.0, the `xl()` translation function returns unescaped strings. While wrapper functions exist for escaping in different contexts (`xlt()` for HTML, `xla()` for attributes, `xlj()` for JavaScript), there are places in the codebase where `xl()` output is used directly without escaping. If an attacker could insert malicious content into the translation database, these unescaped outputs could lead to XSS. Version 8.0.0 fixes the issue.

Gravedad CVSS v4.0: BAJA

Última modificación:

25/02/2026

Suscribirse a Vulnerabilidades