Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las últimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las últimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las últimas vulnerabilidades incorporadas al repositorio.

CVE-2026-45005

Fecha de publicación:

11/05/2026

Idioma:

Inglés

*** Pendiente de traducción *** OpenClaw before 2026.4.23 caches resolved webhook route secrets backed by SecretRef values, allowing stale secrets to remain valid after rotation and reload. Attackers with previously valid webhook route secrets can continue authenticating requests and invoking configured webhook task flows until gateway or plugin restart.

Gravedad CVSS v4.0: MEDIA

Última modificación:

13/05/2026

CVE-2026-45006

Fecha de publicación:

11/05/2026

Idioma:

Inglés

*** Pendiente de traducción *** OpenClaw before 2026.4.23 contains an improper access control vulnerability in the gateway tool&#39;s config.apply and config.patch operations that allows compromised models to write unsafe configuration changes by bypassing an incomplete denylist protection. Attackers can persist malicious config modifications affecting command execution, network behavior, credentials, and operator policies that survive restart.

Gravedad CVSS v4.0: ALTA

Última modificación:

13/05/2026

CVE-2026-44993

Fecha de publicación:

11/05/2026

Idioma:

Inglés

*** Pendiente de traducción *** OpenClaw before 2026.4.20 contains a message classification vulnerability in Feishu card-action callbacks that misclassifies direct messages as group conversations. Attackers can bypass dmPolicy enforcement by triggering card-action flows in direct message conversations that should have been blocked by restrictive policies.

Gravedad CVSS v4.0: BAJA

Última modificación:

13/05/2026

CVE-2026-44994

Fecha de publicación:

11/05/2026

Idioma:

Inglés

*** Pendiente de traducción *** OpenClaw before 2026.4.22 contains an authentication bypass vulnerability in the Control UI bootstrap config endpoint that allows unauthenticated attackers to read sensitive configuration fields. Attackers can access the bootstrap config route without a valid Gateway token to expose sensitive bootstrap and config information intended only for authenticated Control UI sessions.

Gravedad CVSS v4.0: MEDIA

Última modificación:

13/05/2026

CVE-2026-44995

Fecha de publicación:

11/05/2026

Idioma:

Inglés

*** Pendiente de traducción *** OpenClaw before 2026.4.20 contains an improper environment variable validation vulnerability in MCP stdio server configuration that allows attackers to execute arbitrary code. Malicious workspace configurations can pass dangerous startup variables like NODE_OPTIONS, LD_PRELOAD, or BASH_ENV to spawned MCP server processes, enabling code injection when operators start sessions using those servers.

Gravedad CVSS v4.0: MEDIA

Última modificación:

13/05/2026

CVE-2026-44996

Fecha de publicación:

11/05/2026

Idioma:

Inglés

*** Pendiente de traducción *** OpenClaw before 2026.4.15 contains an arbitrary local file read vulnerability in the webchat audio embedding helper that fails to apply local media root containment checks. Attackers can influence agent or tool-produced ReplyPayload.mediaUrl parameters to resolve absolute local paths or file URLs, read audio-like files, and embed them base64-encoded into webchat responses.

Gravedad CVSS v4.0: MEDIA

Última modificación:

13/05/2026

CVE-2026-44997

Fecha de publicación:

11/05/2026

Idioma:

Inglés

*** Pendiente de traducción *** OpenClaw before 2026.4.22 contains a security envelope constraint bypass vulnerability allowing restricted subagents to spawn ACP child sessions that fail to inherit depth, child-count limits, control scope, or target-agent restrictions. Attackers can exploit this by spawning child sessions that bypass subagent-only constraints, potentially escalating privileges or accessing restricted resources.

Gravedad CVSS v4.0: BAJA

Última modificación:

13/05/2026

CVE-2026-44998

Fecha de publicación:

11/05/2026

Idioma:

Inglés

*** Pendiente de traducción *** OpenClaw before 2026.4.20 contains a tool policy bypass vulnerability allowing bundled MCP and LSP tools to circumvent configured tool restrictions. Attackers with local agent access can append restricted tools to the effective tool set after policy filtering, bypassing profile policies, allow/deny lists, owner-only restrictions, sandbox policies, and subagent policies.

Gravedad CVSS v4.0: BAJA

Última modificación:

13/05/2026

CVE-2026-44999

Fecha de publicación:

11/05/2026

Idioma:

Inglés

*** Pendiente de traducción *** OpenClaw before 2026.4.20 fails to properly preserve untrusted labels for isolated cron awareness events, allowing webhook-triggered cron agent output to be recorded as trusted system events. Attackers can exploit this trust-labeling issue to strengthen prompt-injection attacks by rendering untrusted events as trusted System events.

Gravedad CVSS v4.0: MEDIA

Última modificación:

13/05/2026

CVE-2026-44991

Fecha de publicación:

11/05/2026

Idioma:

Inglés

*** Pendiente de traducción *** OpenClaw before 2026.4.21 contains an authorization bypass vulnerability in command-auth.ts that allows non-owner senders to execute owner-enforced slash commands when wildcard inbound senders are configured without explicit owner allowFrom settings. Attackers can exploit this by sending commands like /send, /config, or /debug on affected channels to bypass owner-only command authorization checks.

Gravedad CVSS v4.0: BAJA

Última modificación:

13/05/2026

CVE-2026-44992

Fecha de publicación:

11/05/2026

Idioma:

Inglés

*** Pendiente de traducción *** OpenClaw versions 2026.4.5 before 2026.4.20 contain an environment variable injection vulnerability allowing workspace dotenv to override MINIMAX_API_HOST. Attackers can redirect credentialed MiniMax API requests to attacker-controlled origins, exposing the MiniMax API key in Authorization headers.

Gravedad CVSS v4.0: MEDIA

Última modificación:

13/05/2026

CVE-2026-44413

Fecha de publicación:

11/05/2026

Idioma:

Inglés

*** Pendiente de traducción *** In JetBrains TeamCity before 2026.1<br /> 2025.11.5 authenticated users could expose server API to unauthorised access

Gravedad CVSS v3.1: ALTA

Última modificación:

12/05/2026

Suscribirse a Vulnerabilidades