Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

017 - Ir a la línea de ayuda en Ciberseguridad    Ir a Agenda     Ir a Sala de prensa     Ir a suscripción de boletines

Ir al buscador

Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las ultimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las ultimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las ultimas vulnerabilidades incorporadas al repositorio.

CVE-2026-25891
Fecha de publicación:
24/02/2026
Idioma:
Inglés
*** Pendiente de traducción *** Fiber is an Express inspired web framework written in Go. A Path Traversal (CWE-22) vulnerability in Fiber allows a remote attacker to bypass the static middleware sanitizer and read arbitrary files on the server file system on Windows. This affects Fiber v3 through version 3.0.0. This has been patched in Fiber v3 version 3.1.0.
Gravedad CVSS v4.0: ALTA
Última modificación:
24/02/2026

CVE-2026-25899
Fecha de publicación:
24/02/2026
Idioma:
Inglés
*** Pendiente de traducción *** Fiber is an Express inspired web framework written in Go. In versions on the v3 branch prior to 3.1.0, the use of the `fiber_flash` cookie can force an unbounded allocation on any server. A crafted 10-character cookie value triggers an attempt to allocate up to 85GB of memory via unvalidated msgpack deserialization. No authentication is required. Every GoFiber v3 endpoint is affected regardless of whether the application uses flash messages. Version 3.1.0 fixes the issue.
Gravedad CVSS v3.1: ALTA
Última modificación:
24/02/2026

CVE-2026-24443
Fecha de publicación:
24/02/2026
Idioma:
Inglés
*** Pendiente de traducción *** EventSentry versions prior to 6.0.1.20 contain an unverified password change vulnerability in the account management functionality of the Web Reports interface. The password change mechanism does not require validation of the current password before allowing a new password to be set. An attacker who gains temporary access to an authenticated user session can change the account password without knowledge of the original credentials. This enables persistent account takeover and, if administrative accounts are affected, may result in privilege escalation.
Gravedad CVSS v4.0: ALTA
Última modificación:
24/02/2026

CVE-2026-25882
Fecha de publicación:
24/02/2026
Idioma:
Inglés
*** Pendiente de traducción *** Fiber is an Express inspired web framework written in Go. A denial of service vulnerability exists in Fiber v2 and v3 that allows remote attackers to crash the application by sending requests to routes with more than 30 parameters. The vulnerability results from missing validation during route registration combined with an unbounded array write during request matching. Version 2.52.12 patches the issue in the v2 branch and 3.1.0 patches the issue in the v3 branch.
Gravedad CVSS v4.0: MEDIA
Última modificación:
24/02/2026

CVE-2026-22553
Fecha de publicación:
24/02/2026
Idioma:
Inglés
*** Pendiente de traducción *** All versions of InSAT MasterSCADA BUK-TS are susceptible to OS command injection through a field in its MMadmServ web interface. Malicious users that use the vulnerable endpoint are potentially able to cause remote code execution.
Gravedad CVSS v4.0: CRÍTICA
Última modificación:
24/02/2026

CVE-2026-21410
Fecha de publicación:
24/02/2026
Idioma:
Inglés
*** Pendiente de traducción *** InSAT MasterSCADA BUK-TS is susceptible to SQL Injection through its main web interface. Malicious users that use the vulnerable endpoint are potentially able to cause remote code execution.
Gravedad CVSS v4.0: CRÍTICA
Última modificación:
24/02/2026

CVE-2025-46320
Fecha de publicación:
24/02/2026
Idioma:
Inglés
*** Pendiente de traducción *** A cross-site scripting (XSS) vulnerability in a FileMaker WebDirect custom homepage could lead to unauthorized access and remote code execution. This vulnerability has been fully addressed in FileMaker Server 22.0.4 and FileMaker Server 21.1.7.
Gravedad CVSS v3.1: MEDIA
Última modificación:
24/02/2026

CVE-2026-3131
Fecha de publicación:
24/02/2026
Idioma:
Inglés
*** Pendiente de traducción *** Improper<br /> access control in multiple DVLS REST API endpoints in Devolutions <br /> Server 2025.3.14.0 and earlier allows an authenticated user with view-only permission to access sensitive connection data.
Gravedad: Pendiente de análisis
Última modificación:
24/02/2026

CVE-2026-27477
Fecha de publicación:
24/02/2026
Idioma:
Inglés
*** Pendiente de traducción *** Mastodon is a free, open-source social network server based on ActivityPub. FASP registration requires manual approval by an administrator. In versions 4.4.0 through 4.4.13 and 4.5.0 through 4.5.6, an unauthenticated attacker can register a FASP with an attacker-chosen `base_url` that includes or resolves to a local / internal address, leading to the Mastodon server making requests to that address. This only affects Mastodon servers that have opted in to testing the experimental FASP feature by setting the environment variable `EXPERIMENTAL_FEATURES` to a value including `fasp`. An attacker can force the Mastodon server to make http(s) requests to internal systems. While they cannot control the full URL that is being requested (only the prefix) and cannot see the result of those requests, vulnerabilities or other undesired behavior could be triggered in those systems. The fix is included in the 4.4.14 and 4.5.7 releases. Admins that are actively testing the experimental "fasp" feature should update their systems. Servers not using the experimental feature flag `fasp` are not affected.
Gravedad CVSS v4.0: MEDIA
Última modificación:
24/02/2026

CVE-2026-3105
Fecha de publicación:
24/02/2026
Idioma:
Inglés
*** Pendiente de traducción *** SummaryThis advisory addresses a SQL injection vulnerability in the API endpoint used for retrieving contact activities. A vulnerability exists in the query construction for the Contact Activity timeline where the parameter responsible for determining the sort direction was not strictly validated against an allowlist, potentially allowing authenticated users to inject arbitrary SQL commands via the API.<br /> <br /> MitigationPlease update to 4.4.19, 5.2.10, 6.0.8, 7.0.1 or later.<br /> <br /> WorkaroundsNone.<br /> <br /> ReferencesIf you have any questions or comments about this advisory:<br /> <br /> Email us at security@mautic.org
Gravedad CVSS v3.1: ALTA
Última modificación:
24/02/2026

CVE-2026-26341
Fecha de publicación:
24/02/2026
Idioma:
Inglés
*** Pendiente de traducción *** Tattile Smart+, Vega, and Basic device families firmware versions 1.181.5 and prior ship with default credentials that are not forced to be changed during installation or commissioning. An attacker who can reach the management interface can authenticate using the default credentials and gain administrative access, enabling unauthorized access to device configuration and data.
Gravedad CVSS v4.0: CRÍTICA
Última modificación:
24/02/2026

CVE-2026-26342
Fecha de publicación:
24/02/2026
Idioma:
Inglés
*** Pendiente de traducción *** Tattile Smart+, Vega, and Basic device families firmware versions 1.181.5 and prior implement an authentication token (X-User-Token) with insufficient expiration. An attacker who obtains a valid token (for example via interception, log exposure, or token reuse on a shared system) can continue to authenticate to the management interface until the token is revoked, enabling unauthorized access to device functions and data.
Gravedad CVSS v4.0: ALTA
Última modificación:
24/02/2026
Suscribirse a Vulnerabilidades