Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las ultimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las ultimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las ultimas vulnerabilidades incorporadas al repositorio.

CVE-2026-21897

Fecha de publicación:

10/01/2026

Idioma:

Inglés

*** Pendiente de traducción *** CryptoLib provides a software-only solution using the CCSDS Space Data Link Security Protocol - Extended Procedures (SDLS-EP) to secure communications between a spacecraft running the core Flight System (cFS) and a ground station. Prior to version 1.4.3, the Crypto_Config_Add_Gvcid_Managed_Parameters function only checks whether gvcid_counter > GVCID_MAN_PARAM_SIZE. As a result, it allows up to the 251st entry, which causes a write past the end of the array, overwriting gvcid_counter located immediately after gvcid_managed_parameters_array[250]. This leads to an out-of-bounds write, and the overwritten gvcid_counter may become an arbitrary value, potentially affecting the parameter lookup/registration logic that relies on it. This issue has been patched in version 1.4.3.

Gravedad CVSS v3.1: ALTA

Última modificación:

10/01/2026

CVE-2026-21898

Fecha de publicación:

10/01/2026

Idioma:

Inglés

Gravedad CVSS v3.1: ALTA

Última modificación:

10/01/2026

CVE-2025-15501

Fecha de publicación:

09/01/2026

Idioma:

Inglés

*** Pendiente de traducción *** A vulnerability was determined in Sangfor Operation and Maintenance Management System up to 3.0.8. Impacted is the function WriterHandle.getCmd of the file /isomp-protocol/protocol/getCmd. This manipulation of the argument sessionPath causes os command injection. Remote exploitation of the attack is possible. The exploit has been publicly disclosed and may be utilized. The vendor was contacted early about this disclosure but did not respond in any way.

Gravedad CVSS v4.0: ALTA

Última modificación:

09/01/2026

CVE-2026-22584

Fecha de publicación:

09/01/2026

Idioma:

Inglés

*** Pendiente de traducción *** Improper Control of Generation of Code (&#39;Code Injection&#39;) vulnerability in Salesforce Uni2TS on MacOS, Windows, Linux allows Leverage Executable Code in Non-Executable Files.This issue affects Uni2TS: through 1.2.0.

Gravedad: Pendiente de análisis

Última modificación:

09/01/2026

CVE-2025-62487

Fecha de publicación:

09/01/2026

Idioma:

Inglés

*** Pendiente de traducción *** ### Details On October 1, 2025, Palantir discovered that images uploaded through the Dossier front-end app were not being marked correctly with the proper security levels. The regression was traced back to a change in May 2025, which was meant to allow file uploads to be shared among different artifacts (e.g. other dossiers and presentations). On deployments configured with CBAC, the front-end would present a security picker dialog to set the security level on the uploads, thereby mitigating the issue. On deployments without a CBAC configuration, no security picker dialog appears, leading to a security level of CUSTOM with no markings or datasets selected. The resulting markings and groups for the file uploads thus will be only those added by the “Default authorization rules” defined in the Auth Chooser configuration. On most environments, it is expected that the “Default authorization rules" only add the Everyone group.

Gravedad CVSS v3.1: BAJA

Última modificación:

09/01/2026

CVE-2025-15500

Fecha de publicación:

09/01/2026

Idioma:

Inglés

*** Pendiente de traducción *** A vulnerability was found in Sangfor Operation and Maintenance Management System up to 3.0.8. This issue affects some unknown processing of the file /isomp-protocol/protocol/getHis of the component HTTP POST Request Handler. The manipulation of the argument sessionPath results in os command injection. The attack may be launched remotely. The exploit has been made public and could be used. The vendor was contacted early about this disclosure but did not respond in any way.

Gravedad CVSS v4.0: ALTA

Última modificación:

09/01/2026

CVE-2025-46286

Fecha de publicación:

09/01/2026

Idioma:

Inglés

*** Pendiente de traducción *** A logic issue was addressed with improved validation. This issue is fixed in iOS 26.2 and iPadOS 26.2. Restoring from a backup may prevent passcode from being required immediately after Face ID enrollment.

Gravedad CVSS v3.1: MEDIA

Última modificación:

09/01/2026

CVE-2025-46297

Fecha de publicación:

09/01/2026

Idioma:

Inglés

*** Pendiente de traducción *** A permissions issue was addressed with additional restrictions. This issue is fixed in macOS Tahoe 26.2. An app may be able to access protected files within an App Sandbox container.

Gravedad: Pendiente de análisis

Última modificación:

09/01/2026

CVE-2025-46298

Fecha de publicación:

09/01/2026

Idioma:

Inglés

*** Pendiente de traducción *** The issue was addressed with improved memory handling. This issue is fixed in tvOS 26.2, Safari 26.2, watchOS 26.2, visionOS 26.2, iOS 26.2 and iPadOS 26.2, macOS Tahoe 26.2. Processing maliciously crafted web content may lead to an unexpected process crash.

Gravedad: Pendiente de análisis

Última modificación:

09/01/2026

CVE-2025-46299

Fecha de publicación:

09/01/2026

Idioma:

Inglés

*** Pendiente de traducción *** A memory initialization issue was addressed with improved memory handling. This issue is fixed in tvOS 26.2, Safari 26.2, watchOS 26.2, visionOS 26.2, iOS 26.2 and iPadOS 26.2, macOS Tahoe 26.2. Processing maliciously crafted web content may disclose internal states of the app.

Gravedad CVSS v3.1: MEDIA

Última modificación:

09/01/2026

CVE-2025-15499

Fecha de publicación:

09/01/2026

Idioma:

Inglés

*** Pendiente de traducción *** A vulnerability has been found in Sangfor Operation and Maintenance Management System up to 3.0.8. This vulnerability affects the function uploadCN of the file VersionController.java. The manipulation of the argument filename leads to os command injection. The attack may be initiated remotely. The exploit has been disclosed to the public and may be used. The vendor was contacted early about this disclosure but did not respond in any way.

Gravedad CVSS v4.0: ALTA

Última modificación:

09/01/2026

CVE-2026-0830

Fecha de publicación:

09/01/2026

Idioma:

Inglés

*** Pendiente de traducción *** Processing specially crafted workspace folder names could allow for arbitrary command injection in the Kiro GitLab Merge-Request helper in Kiro IDE before version 0.6.18 when opening maliciously crafted workspaces. To mitigate, users should update to the latest version.

Gravedad CVSS v4.0: ALTA

Última modificación:

09/01/2026

Suscribirse a Vulnerabilidades