Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las ultimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las ultimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las ultimas vulnerabilidades incorporadas al repositorio.

Vulnerabilidad en ykman-gui (CVE-2024-31498)

Fecha de publicación:
04/04/2024
Idioma:
Español
ykman-gui (también conocido como GUI de YubiKey Manager) anterior a 1.2.6 en Windows, cuando no se usa Edge, permite la escalada de privilegios porque las ventanas del navegador se pueden abrir como Administrador.
Gravedad CVSS v3.1: ALTA
Última modificación:
15/04/2026

Vulnerabilidad en IPSec de Ivanti Connect Secure e Ivanti Policy Secure (CVE-2024-21894)

Fecha de publicación:
04/04/2024
Idioma:
Español
Una vulnerabilidad de desbordamiento de montón en el componente IPSec de Ivanti Connect Secure (9.x, 22.x) e Ivanti Policy Secure permite que un usuario malintencionado no autenticado envíe solicitudes especialmente manipuladas para bloquear el servicio, provocando así un ataque DoS. En determinadas condiciones, esto puede conducir a la ejecución de código arbitrario.
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
03/10/2024

Vulnerabilidad en UniFi autohospedados (CVE-2024-27981)

Fecha de publicación:
04/04/2024
Idioma:
Español
Una vulnerabilidad de inyección de comandos encontrada en servidores de red UniFi autohospedados (Linux) con la aplicación de red UniFi (versión 8.0.28 y anteriores) permite a un actor malicioso con credenciales de administrador de la aplicación de red UniFi escalar privilegios a root en el dispositivo host. Productos afectados: Aplicación de red UniFi (Versión 8.0.28 y anteriores). Mitigación: actualice la aplicación UniFi Network a la versión 8.1.113 o posterior.
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
15/04/2026

Vulnerabilidad en dectalk-tts (CVE-2024-31206)

Fecha de publicación:
04/04/2024
Idioma:
Español
dectalk-tts es un paquete de Nodo para interactuar con la API web aeiou Dectalk. En `dectalk-tts@1.0.0`, las solicitudes de red a la API de terceros se envían a través de HTTP, que no está cifrado. Los atacantes pueden interceptar y modificar fácilmente el tráfico no cifrado. Cualquiera que utilice el paquete podría ser víctima de un ataque de intermediario (MITM). La solicitud de red se actualizó a HTTPS en la versión "1.0.1". No existen workarounds, pero algunas precauciones incluyen no enviar información confidencial y verificar cuidadosamente la respuesta de la API antes de guardarla.
Gravedad CVSS v3.1: ALTA
Última modificación:
15/04/2026

Vulnerabilidad en Microsoft Corporation (CVE-2024-29981)

Fecha de publicación:
04/04/2024
Idioma:
Español
Vulnerabilidad de suplantación de identidad en Microsoft Edge (basado en Chromium)
Gravedad CVSS v3.1: MEDIA
Última modificación:
06/01/2025

Vulnerabilidad en SourceCodester Computer Laboratory Management System 1.0 (CVE-2024-3316)

Fecha de publicación:
04/04/2024
Idioma:
Español
Se encontró una vulnerabilidad en SourceCodester Computer Laboratory Management System 1.0. Ha sido declarada crítica. Una función desconocida del archivo /admin/category/view_category.php es afectada por esta vulnerabilidad. La manipulación del argumento id conduce a la inyección de SQL. El ataque se puede lanzar de forma remota. El exploit ha sido divulgado al público y puede utilizarse. El identificador asociado de esta vulnerabilidad es VDB-259387.
Gravedad CVSS v3.1: MEDIA
Última modificación:
17/01/2025

Vulnerabilidad en Microsoft Corporation (CVE-2024-29049)

Fecha de publicación:
04/04/2024
Idioma:
Español
Vulnerabilidad de suplantación de identidad de Webview2 en Microsoft Edge (basado en Chromium)
Gravedad CVSS v3.1: MEDIA
Última modificación:
06/01/2025

Vulnerabilidad en SourceCodester Computer Laboratory Management System 1.0 (CVE-2024-3314)

Fecha de publicación:
04/04/2024
Idioma:
Español
Una vulnerabilidad fue encontrada en SourceCodester Computer Laboratory Management System 1.0 y clasificada como crítica. Este problema afecta un procesamiento desconocido del archivo /classes/Users.php. La manipulación conduce a la inyección de SQL. El ataque puede iniciarse de forma remota. A esta vulnerabilidad se le asignó el identificador VDB-259385.
Gravedad CVSS v3.1: MEDIA
Última modificación:
22/01/2025

Vulnerabilidad en SourceCodester Computer Laboratory Management System 1.0 (CVE-2024-3315)

Fecha de publicación:
04/04/2024
Idioma:
Español
Se encontró una vulnerabilidad en SourceCodester Computer Laboratory Management System 1.0. Ha sido clasificada como crítica. Una función desconocida del archivo class/user.php es afectada por esta vulnerabilidad. La manipulación del argumento id conduce a la inyección de SQL. Es posible lanzar el ataque de forma remota. El exploit ha sido divulgado al público y puede utilizarse. VDB-259386 es el identificador asignado a esta vulnerabilidad.
Gravedad CVSS v3.1: MEDIA
Última modificación:
17/01/2025

Vulnerabilidad en mailcow: dockerized (CVE-2024-30270)

Fecha de publicación:
04/04/2024
Idioma:
Español
mailcow: dockerized es un software colaborativo/paquete de correo electrónico de código abierto basado en Docker. Se ha identificado una vulnerabilidad de seguridad en mailcow que afecta a versiones anteriores a 2024-04. Esta vulnerabilidad es una combinación de path traversal y ejecución de código arbitrario, específicamente dirigida a la función `rspamd_maps()`. Permite a los usuarios administradores autenticados sobrescribir cualquier archivo en el que pueda escribir el usuario www-data aprovechando la validación de ruta incorrecta. La cadena de exploits puede conducir a la ejecución de comandos arbitrarios en el servidor. La versión 2024-04 contiene un parche para el problema.
Gravedad CVSS v3.1: MEDIA
Última modificación:
06/10/2025

Vulnerabilidad en mailcow: dockerized (CVE-2024-31204)

Fecha de publicación:
04/04/2024
Idioma:
Español
mailcow: dockerized es un software colaborativo/paquete de correo electrónico de código abierto basado en Docker. Se ha identificado una vulnerabilidad de seguridad en mailcow que afecta a versiones anteriores a 2024-04. Esta vulnerabilidad reside en el mecanismo de manejo de excepciones, específicamente cuando no se opera en DEV_MODE. El sistema guarda los detalles de la excepción en una matriz de sesiones sin una desinfección o codificación adecuada. Estos detalles luego se representan en HTML y se ejecutan en un bloque de JavaScript dentro del navegador del usuario, sin un escape adecuado de las entidades HTML. Esta falla permite ataques de Cross-Site Scripting (XSS), donde los atacantes pueden inyectar scripts maliciosos en el panel de administración activando excepciones con entradas controladas. El método de explotación implica el uso de cualquier función que pueda generar una excepción con un argumento controlable por el usuario. Este problema puede provocar secuestro de sesión y acciones administrativas no autorizadas, lo que supone un riesgo de seguridad importante. La versión 2024-04 contiene una solución para el problema.
Gravedad CVSS v3.1: MEDIA
Última modificación:
06/10/2025

Vulnerabilidad en Dreamer CMS (CVE-2024-3311)

Fecha de publicación:
04/04/2024
Idioma:
Español
Se encontró una vulnerabilidad en Dreamer CMS hasta 4.1.3.0. Ha sido declarada crítica. La función ZipUtils.unZipFiles del archivo controlador/admin/ThemesController.java es afectada por esta vulnerabilidad. La manipulación conduce al path traversal. El ataque se puede lanzar de forma remota. El exploit ha sido divulgado al público y puede utilizarse. La actualización a la versión 4.1.3.1 puede solucionar este problema. Se recomienda actualizar el componente afectado. A esta vulnerabilidad se le asignó el identificador VDB-259369.
Gravedad CVSS v3.1: MEDIA
Última modificación:
04/04/2025