Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las ultimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las ultimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las ultimas vulnerabilidades incorporadas al repositorio.

Vulnerabilidad en SECCN Dingcheng G10 (CVE-2026-2686)

Fecha de publicación:

19/02/2026

Idioma:

Español

Se ha detectado una vulnerabilidad de seguridad en SECCN Dingcheng G10 3.1.0.181203. Esto afecta a la función qq del archivo /cgi-bin/session_login.cgi. La manipulación del argumento User conduce a una inyección de comandos del sistema operativo. El ataque puede llevarse a cabo de forma remota. El exploit ha sido divulgado públicamente y puede ser utilizado.

Gravedad CVSS v4.0: ALTA

Última modificación:

19/02/2026

Vulnerabilidad en Fileflows (CVE-2025-15585)

Fecha de publicación:

19/02/2026

Idioma:

Español

Las versiones de Fileflows anteriores a la 25.05.2 están afectadas por una vulnerabilidad de inyección SQL autenticada en la función de búsqueda de archivos de la biblioteca. La explotación exitosa requiere que el sistema utilice MySQL como base de datos subyacente y podría resultar en escalada de privilegios o exfiltración de datos.

Gravedad CVSS v4.0: MEDIA

Última modificación:

19/02/2026

Vulnerabilidad en Electronic Archives System (CVE-2026-2684)

Fecha de publicación:

19/02/2026

Idioma:

Español

Se determinó una vulnerabilidad en el Sistema de Archivos Electrónicos Tsinghua Unigroup hasta la versión 3.2.210802(62532). El elemento afectado es una función desconocida del archivo /Archive/ErecordManage/uploadFile.html. La ejecución de una manipulación del argumento File puede llevar a una carga sin restricciones. El ataque puede lanzarse de forma remota. El exploit ha sido divulgado públicamente y puede ser utilizado. El proveedor fue contactado tempranamente sobre esta divulgación, pero no respondió de ninguna manera.

Gravedad CVSS v4.0: MEDIA

Última modificación:

19/02/2026

Vulnerabilidad en Notepad++ (CVE-2026-25926)

Fecha de publicación:

19/02/2026

Idioma:

Español

Notepad++ es un editor de código fuente gratuito y de código abierto. Hay una vulnerabilidad de ruta de búsqueda insegura (CWE-426) en versiones anteriores a la 8.9.2 al iniciar el Explorador de Windows sin una ruta de ejecución absoluta. Esto puede permitir la ejecución de un explorer.exe malicioso si un atacante puede controlar el directorio de trabajo del proceso. Bajo ciertas condiciones, esto podría llevar a la ejecución de código arbitrario en el contexto de la aplicación en ejecución. La versión 8.9.2 corrige el problema.

Gravedad CVSS v3.1: ALTA

Última modificación:

19/02/2026

Vulnerabilidad en Weblate (CVE-2026-24126)

Fecha de publicación:

19/02/2026

Idioma:

Español

Weblate es una herramienta de localización basada en web. Antes de la 5.16.0, la consola de administración SSH no validaba la entrada proporcionada al añadir la clave de host SSH, lo que podría conducir a una inyección de argumentos en `ssh-add`. La versión 5.16.0 corrige el problema. Como solución alternativa, se recomienda limitar adecuadamente el acceso a la consola de administración.

Gravedad CVSS v3.1: MEDIA

Última modificación:

19/02/2026

Vulnerabilidad en Sistema de Archivos Electrónicos Tsinghua Unigroup (CVE-2026-2682)

Fecha de publicación:

18/02/2026

Idioma:

Español

Se ha encontrado una vulnerabilidad en el Sistema de Archivos Electrónicos Tsinghua Unigroup hasta la versión 3.2.210802(62532). Está afectada una función desconocida del archivo /mine/PublicReport/prinReport.html?token=java. La manipulación del argumento comid provoca una inyección SQL. El ataque puede lanzarse en remoto. El exploit ha sido divulgado al público y puede ser utilizado. Se contactó pronto con el proveedor sobre esta divulgación, pero no respondió.

Gravedad CVSS v4.0: MEDIA

Última modificación:

19/02/2026

Vulnerabilidad en Tsinghua Unigroup Electronic Archives System (CVE-2026-2683)

Fecha de publicación:

18/02/2026

Idioma:

Español

Se encontró una vulnerabilidad en Tsinghua Unigroup Electronic Archives System 3.2.210802(62532). El elemento afectado es una función desconocida del archivo /Using/Subject/downLoad.html. Se se realizauna manipulación del argumento path se logra realizar un salto de ruta. El ataque puede iniciarse en remoto. El exploit se ha hecho público y podría utilizarse. Se contactó pronto con el proveedor sobre esta divulgación, pero no ha respondido.

Gravedad CVSS v4.0: MEDIA

Última modificación:

19/02/2026

Vulnerabilidad en GoogTech sms-ssm (CVE-2026-2676)

Fecha de publicación:

18/02/2026

Idioma:

Español

Se ha identificado una debilidad en GoogTech sms-ssm hasta e8534c766fd13f5f94c01dab475d75f286918a8d. La función preHandle del archivo LoginInterceptor.java del componente Interfaz API está afectada por este problema. Si se ejecuta de forma manipulada puede llevar a una autorización impropia. El ataque puede realizarse en remoto. El exploit ha sido puesto a disposición del público y podría ser utilizado para ataques. Este producto utiliza un sistema de entrega continua, y como tal, la información de la versión para las versiones afectadas o actualizadas no se divulga.

Gravedad CVSS v4.0: MEDIA

Última modificación:

19/02/2026

Vulnerabilidad en invoicePlane (CVE-2026-25596)

Fecha de publicación:

18/02/2026

Idioma:

Español

InvoicePlane es una aplicación de código abierto autoalojada para gestionar facturas, clientes y pagos. Una vulnerabilidad de cross-site scripting (XSS) almacenado existe en InvoicePlane 1.7.0 a través de los campos Product Unit Name. Un administrador autenticado puede inyectar JavaScript malicioso que se ejecuta cuando cualquier administrador ve una factura que contiene un producto con la unidad maliciosa. La versión 1.7.1 soluciona el problema.

Gravedad CVSS v3.1: MEDIA

Última modificación:

20/02/2026

Vulnerabilidad en invoicePlane (CVE-2026-26270)

Fecha de publicación:

18/02/2026

Idioma:

Español

InvoicePlane es una aplicación de código abierto autoalojada para gestionar facturas, clientes y pagos. Existe una vulnerabilidad de cross-site scripting (XSS) almacenado en InvoicePlane (última versión) que permite a un usuario autenticado con permisos para gestionar Grupos de Facturas inyectar JavaScript malicioso en el campo &#39;Formato de Identificador&#39;. Este script se ejecuta cuando cualquier usuario ve la lista de facturas o el panel principal. La versión 1.7.1 corrige el problema.

Gravedad CVSS v3.1: MEDIA

Última modificación:

20/02/2026

Vulnerabilidad en invoicePlane (CVE-2026-26281)

Fecha de publicación:

18/02/2026

Idioma:

Español

InvoicePlane es una aplicación de código abierto autoalojada para gestionar facturas, clientes y pagos. Una vulnerabilidad de cross-site scripting (XSS) almacenado en la vista de factura Sumex permite a un usuario autenticado con privilegios de gestión de clientes y facturas ejecutar JavaScript arbitrario en el navegador de cualquier usuario que vea la factura. Esto puede llevar al secuestro de sesión, robo de datos u otras acciones maliciosas en nombre del usuario víctima. La versión 1.7.1 corrige el problema.

Gravedad CVSS v3.1: MEDIA

Última modificación:

20/02/2026

Vulnerabilidad en invoicePlane (CVE-2026-25594)

Fecha de publicación:

18/02/2026

Idioma:

Español

InvoicePlane es una aplicación de código abierto autoalojada para gestionar facturas, clientes y pagos. Una vulnerabilidad de Cross-Site Scripting Almacenado (XSS) existe en InvoicePlane 1.7.0 a través del campo Family Name. El valor &#39;family_name&#39; se renderiza sin codificación HTML dentro del desplegable de familia en el formulario de producto. Cuando un administrador crea una familia con un nombre malicioso, la carga útil se ejecuta en el navegador de cualquier administrador que visita el formulario de producto. La versión 1.7.1 corrige el problema.

Gravedad CVSS v3.1: MEDIA

Última modificación:

20/02/2026

Suscribirse a Vulnerabilidades