Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las ultimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las ultimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las ultimas vulnerabilidades incorporadas al repositorio.

Vulnerabilidad en Tsinghua Unigroup Electronic Archives System (CVE-2026-2683)

Fecha de publicación:

18/02/2026

Idioma:

Español

Se encontró una vulnerabilidad en Tsinghua Unigroup Electronic Archives System 3.2.210802(62532). El elemento afectado es una función desconocida del archivo /Using/Subject/downLoad.html. Se se realizauna manipulación del argumento path se logra realizar un salto de ruta. El ataque puede iniciarse en remoto. El exploit se ha hecho público y podría utilizarse. Se contactó pronto con el proveedor sobre esta divulgación, pero no ha respondido.

Gravedad CVSS v4.0: MEDIA

Última modificación:

19/02/2026

Vulnerabilidad en invoicePlane (CVE-2026-25596)

Fecha de publicación:

18/02/2026

Idioma:

Español

InvoicePlane es una aplicación de código abierto autoalojada para gestionar facturas, clientes y pagos. Una vulnerabilidad de cross-site scripting (XSS) almacenado existe en InvoicePlane 1.7.0 a través de los campos Product Unit Name. Un administrador autenticado puede inyectar JavaScript malicioso que se ejecuta cuando cualquier administrador ve una factura que contiene un producto con la unidad maliciosa. La versión 1.7.1 soluciona el problema.

Gravedad CVSS v3.1: MEDIA

Última modificación:

20/02/2026

Vulnerabilidad en invoicePlane (CVE-2026-26270)

Fecha de publicación:

18/02/2026

Idioma:

Español

InvoicePlane es una aplicación de código abierto autoalojada para gestionar facturas, clientes y pagos. Existe una vulnerabilidad de cross-site scripting (XSS) almacenado en InvoicePlane (última versión) que permite a un usuario autenticado con permisos para gestionar Grupos de Facturas inyectar JavaScript malicioso en el campo &#39;Formato de Identificador&#39;. Este script se ejecuta cuando cualquier usuario ve la lista de facturas o el panel principal. La versión 1.7.1 corrige el problema.

Gravedad CVSS v3.1: MEDIA

Última modificación:

20/02/2026

Vulnerabilidad en invoicePlane (CVE-2026-26281)

Fecha de publicación:

18/02/2026

Idioma:

Español

InvoicePlane es una aplicación de código abierto autoalojada para gestionar facturas, clientes y pagos. Una vulnerabilidad de cross-site scripting (XSS) almacenado en la vista de factura Sumex permite a un usuario autenticado con privilegios de gestión de clientes y facturas ejecutar JavaScript arbitrario en el navegador de cualquier usuario que vea la factura. Esto puede llevar al secuestro de sesión, robo de datos u otras acciones maliciosas en nombre del usuario víctima. La versión 1.7.1 corrige el problema.

Gravedad CVSS v3.1: MEDIA

Última modificación:

20/02/2026

Vulnerabilidad en GoogTech sms-ssm (CVE-2026-2676)

Fecha de publicación:

18/02/2026

Idioma:

Español

Se ha identificado una debilidad en GoogTech sms-ssm hasta e8534c766fd13f5f94c01dab475d75f286918a8d. La función preHandle del archivo LoginInterceptor.java del componente Interfaz API está afectada por este problema. Si se ejecuta de forma manipulada puede llevar a una autorización impropia. El ataque puede realizarse en remoto. El exploit ha sido puesto a disposición del público y podría ser utilizado para ataques. Este producto utiliza un sistema de entrega continua, y como tal, la información de la versión para las versiones afectadas o actualizadas no se divulga.

Gravedad CVSS v4.0: MEDIA

Última modificación:

19/02/2026

Vulnerabilidad en invoicePlane (CVE-2026-24745)

Fecha de publicación:

18/02/2026

Idioma:

Español

InvoicePlane es una aplicación de código abierto autoalojada para gestionar facturas, clientes y pagos. Una vulnerabilidad de cross-site scripting (XSS) almacenado ocurre en las funciones de carga del logotipo de inicio de sesión de InvoicePlane versión 1.7.0. En la carga del logotipo de inicio de sesión, la aplicación permite cargar archivos svg. Aunque se requieren privilegios de administrador para explotarla, esto todavía se considera una vulnerabilidad crítica ya que puede causar acciones como modificación no autorizada de datos de la aplicación, creación de puertas traseras persistentes a través de scripts maliciosos almacenados y compromiso total de la integridad de la aplicación. La versión 1.7.1 corrige el problema.

Gravedad CVSS v3.1: MEDIA

Última modificación:

20/02/2026

Vulnerabilidad en invoicePlane (CVE-2026-25548)

Fecha de publicación:

18/02/2026

Idioma:

Español

InvoicePlane es una aplicación de código abierto autoalojada para gestionar facturas, clientes y pagos. Una vulnerabilidad crítica de ejecución remota de código (RCE) existe en InvoicePlane 1.7.0 a través de un ataque encadenado de inclusión local de ficheros (LFI) y envenenamiento de logs. Un administrador autenticado puede ejecutar comandos de sistema arbitrarios en el servidor manipulando la configuración &#39;public_invoice_template&#39; para incluir ficheros de log envenenados que contienen código PHP. La versión 1.7.1 corrige el problema.

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

20/02/2026

Vulnerabilidad en invoicePlane (CVE-2026-25594)

Fecha de publicación:

18/02/2026

Idioma:

Español

InvoicePlane es una aplicación de código abierto autoalojada para gestionar facturas, clientes y pagos. Una vulnerabilidad de Cross-Site Scripting Almacenado (XSS) existe en InvoicePlane 1.7.0 a través del campo Family Name. El valor &#39;family_name&#39; se renderiza sin codificación HTML dentro del desplegable de familia en el formulario de producto. Cuando un administrador crea una familia con un nombre malicioso, la carga útil se ejecuta en el navegador de cualquier administrador que visita el formulario de producto. La versión 1.7.1 corrige el problema.

Gravedad CVSS v3.1: MEDIA

Última modificación:

20/02/2026

Vulnerabilidad en invoicePlane (CVE-2026-25595)

Fecha de publicación:

18/02/2026

Idioma:

Español

InvoicePlane es una aplicación de código abierto autoalojada para gestionar facturas, clientes y pagos. Una vulnerabilidad de cross-site scripting (XSS) almacenado existe en InvoicePlane 1.7.0 a través del campo Invoice Number. Un administrador autenticado puede inyectar JavaScript malicioso que se ejecuta cuando cualquier administrador ve la factura afectada o visita el panel de control. La versión 1.7.1 corrige el problema.

Gravedad CVSS v3.1: MEDIA

Última modificación:

20/02/2026

Vulnerabilidad en Delinea Inc. Cloud Suite y Privileged Access Service (CVE-2025-12811)

Fecha de publicación:

18/02/2026

Idioma:

Español

Interpretación Inconsistente e Indebida de Solicitudes HTTP (&#39;Contrabando de Solicitudes HTTP&#39;) en Delinea Inc. Cloud Suite y Privileged Access Service. Si usted no está utilizando los agentes más recientes de Server Suite, esta corrección requiere que actualice a Server Suite 2023.1 (agente 6.0.1) o posterior. * Si no puede actualizar a la versión 2023.1 (versión de agente 6.0.1) o posterior, puede elegir una de las siguientes versiones: * Server Suite versión 2023.0.5 (versión de agente 6.0.0-158) * Server Suite versión 2022.1.10 (versión de agente 5.9.1-337)

Gravedad CVSS v4.0: MEDIA

Última modificación:

19/02/2026

Vulnerabilidad en Delinea Inc. Cloud Suite (CVE-2025-12812)

Fecha de publicación:

18/02/2026

Idioma:

Español

Neutralización Incorrecta de Elementos Especiales utilizados en un Comando SQL (&#39;Inyección SQL&#39;) en Delinea Inc. Cloud Suite y Privileged Access Service. Solución: Este problema está resuelto en Cloud Suite: 25.1

Gravedad CVSS v4.0: MEDIA

Última modificación:

19/02/2026

Vulnerabilidad en Orthanc (CVE-2025-15581)

Fecha de publicación:

18/02/2026

Idioma:

Español

Las versiones de Orthanc anteriores a la 1.12.10 se ven afectadas por un fallo de lógica de autorización en la implementación de Autenticación Básica HTTP de la aplicación. Si se explota con éxito podría provocarse una Escalada de Privilegios, permitiendo potencialmente acceso completo como administrador.

Gravedad CVSS v4.0: MEDIA

Última modificación:

19/02/2026

Suscribirse a Vulnerabilidades