Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las ultimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las ultimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las ultimas vulnerabilidades incorporadas al repositorio.

CVE-2026-22799

Fecha de publicación:

12/01/2026

Idioma:

Inglés

*** Pendiente de traducción *** Emlog is an open source website building system. emlog v2.6.1 and earlier exposes a REST API endpoint (/index.php?rest-api=upload) for media file uploads. The endpoint fails to implement proper validation of file types, extensions, and content, allowing authenticated attackers (with a valid API key or admin session cookie) to upload arbitrary files (including malicious PHP scripts) to the server. An attacker can obtain the API key either by gaining administrator access to enable the REST API setting, or via information disclosure vulnerabilities in the application. Once uploaded, the malicious PHP file can be executed to gain remote code execution (RCE) on the target server, leading to full server compromise.

Gravedad CVSS v4.0: CRÍTICA

Última modificación:

21/01/2026

CVE-2026-22794

Fecha de publicación:

12/01/2026

Idioma:

Inglés

*** Pendiente de traducción *** Appsmith is a platform to build admin panels, internal tools, and dashboards. Prior to 1.93, the server uses the Origin value from the request headers as the email link baseUrl without validation. If an attacker controls the Origin, password reset / email verification links in emails can be generated pointing to the attacker’s domain, causing authentication tokens to be exposed and potentially leading to account takeover. This vulnerability is fixed in 1.93.

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

21/01/2026

CVE-2025-29329

Fecha de publicación:

12/01/2026

Idioma:

Inglés

*** Pendiente de traducción *** Buffer Overflow in the ippprint (Internet Printing Protocol) service in Sagemcom F@st 3686 MAGYAR_4.121.0 allows remote attacker to execute arbitrary code by sending a crafted HTTP request.

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

22/01/2026

CVE-2025-67146

Fecha de publicación:

12/01/2026

Idioma:

Inglés

*** Pendiente de traducción *** Multiple SQL Injection vulnerabilities exist in AbhishekMali21 GYM-MANAGEMENT-SYSTEM 1.0 via the &#39;name&#39; parameter in (1) member_search.php, (2) trainer_search.php, and (3) gym_search.php, and via the &#39;id&#39; parameter in (4) payment_search.php. An unauthenticated remote attacker can exploit these issues to inject malicious SQL commands, leading to unauthorized data extraction, authentication bypass, or modification of database contents.

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

27/01/2026

CVE-2025-12420

Fecha de publicación:

12/01/2026

Idioma:

Inglés

*** Pendiente de traducción *** A vulnerability has been identified in the ServiceNow AI Platform that could enable an unauthenticated user to impersonate another user and perform the operations that the impersonated user is entitled to perform.<br /> <br /> ServiceNow has addressed this vulnerability by deploying a relevant security update to hosted instances in October 2025. Security updates have also been provided to ServiceNow self-hosted customers, partners, and hosted customers with unique configurations. Additionally, the vulnerability is addressed in the listed Store App versions. We recommend that customers promptly apply an appropriate security update or upgrade if they have not already done so.

Gravedad CVSS v4.0: CRÍTICA

Última modificación:

27/01/2026

CVE-2025-67147

Fecha de publicación:

12/01/2026

Idioma:

Inglés

*** Pendiente de traducción *** Multiple SQL Injection vulnerabilities exist in amansuryawanshi Gym-Management-System-PHP 1.0 via the &#39;name&#39;, &#39;email&#39;, and &#39;comment&#39; parameters in (1) submit_contact.php, the &#39;username&#39; and &#39;pass_key&#39; parameters in (2) secure_login.php, and the &#39;login_id&#39;, &#39;pwfield&#39;, and &#39;login_key&#39; parameters in (3) change_s_pwd.php. An unauthenticated or authenticated attacker can exploit these issues to bypass authentication, execute arbitrary SQL commands, modify database records, delete data, or escalate privileges to administrator level.

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

13/01/2026

CVE-2026-22772

Fecha de publicación:

12/01/2026

Idioma:

Inglés

*** Pendiente de traducción *** Fulcio is a certificate authority for issuing code signing certificates for an OpenID Connect (OIDC) identity. Prior to 1.8.5, Fulcio&#39;s metaRegex() function uses unanchored regex, allowing attackers to bypass MetaIssuer URL validation and trigger SSRF to arbitrary internal services. Since the SSRF only can trigger GET requests, the request cannot mutate state. The response from the GET request is not returned to the caller so data exfiltration is not possible. A malicious actor could attempt to probe an internal network through Blind SSRF. This vulnerability is fixed in 1.8.5.

Gravedad CVSS v3.1: MEDIA

Última modificación:

13/01/2026

CVE-2021-41074

Fecha de publicación:

12/01/2026

Idioma:

Inglés

*** Pendiente de traducción *** A CSRF issue in index.php in QloApps hotel eCommerce 1.5.1 allows an attacker to change the admin&#39;s email address via a crafted HTML document.

Gravedad CVSS v3.1: MEDIA

Última modificación:

22/01/2026

CVE-2025-66802

Fecha de publicación:

12/01/2026

Idioma:

Inglés

*** Pendiente de traducción *** Sourcecodester Covid-19 Contact Tracing System 1.0 is vulnerable to RCE (Remote Code Execution). The application receives a reverse shell (php) into imagem of the user enabling RCE.

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

22/01/2026

CVE-2025-51567

Fecha de publicación:

12/01/2026

Idioma:

Inglés

*** Pendiente de traducción *** A SQL Injection was found in the /exam/user/profile.php page of kashipara Online Exam System V1.0, which allows remote attackers to execute arbitrary SQL command to get unauthorized database access via the rname, rcollage, rnumber, rgender and rpassword parameters in a POST HTTP request.

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

16/01/2026

CVE-2023-36331

Fecha de publicación:

12/01/2026

Idioma:

Inglés

*** Pendiente de traducción *** Incorrect access control in the /member/orderList API of xmall v1.1 allows attackers to arbitrarily access other users&#39; order details via manipulation of the query parameter userId.

Gravedad CVSS v3.1: ALTA

Última modificación:

22/01/2026

CVE-2026-22785

Fecha de publicación:

12/01/2026

Idioma:

Inglés

*** Pendiente de traducción *** orval generates type-safe JS clients (TypeScript) from any valid OpenAPI v3 or Swagger v2 specification. Prior to 7.18.0, the MCP server generation logic relies on string manipulation that incorporates the summary field from the OpenAPI specification without proper validation or escaping. This allows an attacker to "break out" of the string literal and inject arbitrary code. This vulnerability is fixed in 7.18.0.

Gravedad CVSS v4.0: CRÍTICA

Última modificación:

13/01/2026

Suscribirse a Vulnerabilidades