Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las ultimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las ultimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las ultimas vulnerabilidades incorporadas al repositorio.

Vulnerabilidad en GStreamer (CVE-2026-2922)

Fecha de publicación:
16/03/2026
Idioma:
Español
Vulnerabilidad de ejecución remota de código por escritura fuera de límites en el Demultiplexador RealMedia de GStreamer. Esta vulnerabilidad permite a atacantes remotos ejecutar código arbitrario en instalaciones afectadas de GStreamer. Se requiere interacción con esta biblioteca para explotar esta vulnerabilidad, pero los vectores de ataque pueden variar dependiendo de la implementación.<br /> <br /> La falla específica existe en el procesamiento de paquetes de video. El problema se debe a la falta de validación adecuada de los datos proporcionados por el usuario, lo que puede resultar en una escritura más allá del final de un búfer asignado. Un atacante puede aprovechar esta vulnerabilidad para ejecutar código en el contexto del proceso actual. Fue ZDI-CAN-28845.
Gravedad CVSS v3.1: ALTA
Última modificación:
17/03/2026

Vulnerabilidad en GStreamer (CVE-2026-2920)

Fecha de publicación:
16/03/2026
Idioma:
Español
Vulnerabilidad de ejecución remota de código por desbordamiento de búfer basado en montículo en el demuxer ASF de GStreamer. Esta vulnerabilidad permite a atacantes remotos ejecutar código arbitrario en instalaciones afectadas de GStreamer. Se requiere interacción con esta biblioteca para explotar esta vulnerabilidad, pero los vectores de ataque pueden variar según la implementación.<br /> <br /> La falla específica reside en el procesamiento de los encabezados de flujo dentro de archivos ASF. El problema se debe a la falta de validación adecuada de la longitud de los datos proporcionados por el usuario antes de copiarlos a un búfer de longitud fija basado en montículo. Un atacante puede aprovechar esta vulnerabilidad para ejecutar código en el contexto del proceso actual. Fue ZDI-CAN-28843.
Gravedad CVSS v3.1: ALTA
Última modificación:
17/03/2026

Vulnerabilidad en Mattermost (CVE-2026-2578)

Fecha de publicación:
16/03/2026
Idioma:
Español
Mattermost versiones 11.3.x &amp;lt;= 11.3.0 no logran preservar el estado redactado de las publicaciones de autodestrucción tras lectura durante la eliminación, lo que permite a los miembros del canal acceder al contenido no revelado de los mensajes de autodestrucción tras lectura a través del evento de eliminación de publicación de WebSocket. ID de Aviso de Mattermost: MMSA-2026-00579
Gravedad CVSS v3.1: MEDIA
Última modificación:
18/03/2026

Vulnerabilidad en Mattermost (CVE-2026-2463)

Fecha de publicación:
16/03/2026
Idioma:
Español
Las versiones de Mattermost 11.3.x &amp;lt;= 11.3.0, 11.2.x &amp;lt;= 11.2.2, 10.11.x &amp;lt;= 10.11.10 no filtran los ID de invitación basándose en los permisos de usuario, lo que permite a los usuarios regulares eludir las restricciones de control de acceso y registrar cuentas no autorizadas a través de ID de invitación filtrados durante la creación de equipos. ID de Aviso de Mattermost: MMSA-2025-00565
Gravedad CVSS v3.1: MEDIA
Última modificación:
18/03/2026

Vulnerabilidad en Mattermost (CVE-2026-2462)

Fecha de publicación:
16/03/2026
Idioma:
Español
Las versiones de Mattermost 11.3.x &amp;lt;= 11.3.0, 11.2.x &amp;lt;= 11.2.2, 10.11.x &amp;lt;= 10.11.10 no restringen la instalación de plugins en instancias de prueba de CI con credenciales de administrador predeterminadas, lo que permite a un atacante no autenticado lograr la ejecución remota de código y exfiltrar datos de configuración sensibles, incluidas las credenciales de AWS y SMTP, mediante la carga de un plugin malicioso después de cambiar el directorio de importación. ID de Aviso de Mattermost: MMSA-2025-00528
Gravedad CVSS v3.1: MEDIA
Última modificación:
18/03/2026

Vulnerabilidad en Mattermost (CVE-2026-2476)

Fecha de publicación:
16/03/2026
Idioma:
Español
Las versiones &amp;lt;=2.0.3.0 de los plugins de Mattermost no logran enmascarar correctamente los valores de configuración sensibles, lo que permite a un atacante con acceso a los paquetes de soporte obtener la configuración original del plugin a través de datos de configuración exportados. ID de Aviso de Mattermost: MMSA-2026-00606
Gravedad CVSS v3.1: ALTA
Última modificación:
16/03/2026

Vulnerabilidad en DIRIS A-40 de Socomec (CVE-2026-2491)

Fecha de publicación:
16/03/2026
Idioma:
Español
Vulnerabilidad de omisión de autenticación de la API HTTP de Socomec DIRIS A-40. Esta vulnerabilidad permite a atacantes adyacentes a la red omitir la autenticación en instalaciones afectadas de dispositivos de monitoreo de energía Socomec DIRIS A-40. La autenticación no es necesaria para explotar esta vulnerabilidad.<br /> <br /> La falla específica existe dentro de la implementación de la API web, que escucha en el puerto TCP 80 por defecto. El problema resulta de la falta de autenticación antes de permitir el acceso a la funcionalidad. Un atacante puede aprovechar esta vulnerabilidad para omitir la autenticación en el sistema. Fue ZDI-CAN-23993.
Gravedad CVSS v3.1: MEDIA
Última modificación:
16/03/2026

Vulnerabilidad en IceWarp (CVE-2026-2493)

Fecha de publicación:
16/03/2026
Idioma:
Español
Vulnerabilidad de revelación de información por salto de directorio en la colaboración de IceWarp. Esta vulnerabilidad permite a atacantes remotos revelar información sensible en instalaciones afectadas de IceWarp. La autenticación no es necesaria para explotar esta vulnerabilidad. La falla específica existe en el manejo del parámetro ticket proporcionado al endpoint de colaboración. El problema resulta de la falta de validación adecuada de una ruta proporcionada por el usuario antes de usarla en operaciones de archivo. Un atacante puede aprovechar esta vulnerabilidad para revelar información en el contexto de root. Fue ZDI-CAN-25440.
Gravedad CVSS v3.1: ALTA
Última modificación:
16/03/2026

CVE-2026-2326

Fecha de publicación:
16/03/2026
Idioma:
Inglés
*** Pendiente de traducción *** Rejected reason: ** REJECT ** DO NOT USE THIS CANDIDATE NUMBER. Reason: This candidate was issued in error. Notes: All references and descriptions in this candidate have been removed to prevent accidental usage.
Gravedad: Pendiente de análisis
Última modificación:
16/03/2026

Vulnerabilidad en Mattermost (CVE-2026-2458)

Fecha de publicación:
16/03/2026
Idioma:
Español
Versiones de Mattermost 11.3.x &amp;lt;= 11.3.0, 11.2.x &amp;lt;= 11.2.2, 10.11.x &amp;lt;= 10.11.10 no validan correctamente la membresía del equipo al buscar canales, lo que permite a un miembro del equipo eliminado enumerar todos los canales públicos dentro de un equipo privado a través del endpoint de la API de búsqueda de canales. ID de Aviso de Mattermost: MMSA-2025-00568
Gravedad CVSS v3.1: MEDIA
Última modificación:
18/03/2026

Vulnerabilidad en Mattermost (CVE-2026-2457)

Fecha de publicación:
16/03/2026
Idioma:
Español
Mattermost versiones 11.3.x &amp;lt;= 11.3.0, 11.2.x &amp;lt;= 11.2.2, 10.11.x &amp;lt;= 10.11.10 no sanean los metadatos de publicación suministrados por el cliente, lo que permite a un atacante autenticado suplantar incrustaciones de permalink haciéndose pasar por otros usuarios a través de solicitudes PUT manipuladas al punto final de la API de actualización de publicaciones. ID de aviso de Mattermost: MMSA-2025-00569
Gravedad CVSS v3.1: MEDIA
Última modificación:
18/03/2026

Vulnerabilidad en Mattermost (CVE-2026-2456)

Fecha de publicación:
16/03/2026
Idioma:
Español
Versiones de Mattermost 11.3.x &amp;lt;= 11.3.0, 11.2.x &amp;lt;= 11.2.2, 10.11.x &amp;lt;= 10.11.10 Mattermost no limita el tamaño de las respuestas de los puntos finales de acción de integración, lo que permite a un atacante autenticado causar el agotamiento de la memoria del servidor y denegación de servicio a través de un servidor de integración malicioso que devuelve una respuesta arbitrariamente grande cuando un usuario hace clic en un botón de mensaje interactivo. ID de Aviso de Mattermost: MMSA-2026-00571
Gravedad CVSS v3.1: MEDIA
Última modificación:
18/03/2026