Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las últimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las últimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las últimas vulnerabilidades incorporadas al repositorio.

CVE-2026-30571

Fecha de publicación:

27/03/2026

Idioma:

Inglés

*** Pendiente de traducción *** A Reflected Cross-Site Scripting (XSS) vulnerability exists in SourceCodester Sales and Inventory System 1.0 in the view_category.php file via the "limit" parameter. The application fails to sanitize the input, allowing remote attackers to inject arbitrary web script or HTML via a crafted URL.

Gravedad CVSS v3.1: MEDIA

Última modificación:

06/04/2026

CVE-2026-30574

Fecha de publicación:

27/03/2026

Idioma:

Inglés

*** Pendiente de traducción *** A Business Logic vulnerability exists in SourceCodester Pharmacy Product Management System 1.0 in the add-sales.php file. The application fails to verify if the requested sales quantity (txtqty) exceeds the available stock level. An attacker can manipulate the request to purchase a quantity that is significantly higher than the actual available stock.

Gravedad CVSS v3.1: ALTA

Última modificación:

31/03/2026

CVE-2026-28369

Fecha de publicación:

27/03/2026

Idioma:

Inglés

*** Pendiente de traducción *** A flaw was found in Undertow. When Undertow receives an HTTP request where the first header line starts with one or more spaces, it incorrectly processes the request by stripping these leading spaces. This behavior, which violates HTTP standards, can be exploited by a remote attacker to perform request smuggling. Request smuggling allows an attacker to bypass security mechanisms, access restricted information, or manipulate web caches, potentially leading to unauthorized actions or data exposure.

Gravedad CVSS v3.1: ALTA

Última modificación:

31/03/2026

CVE-2026-30575

Fecha de publicación:

27/03/2026

Idioma:

Inglés

*** Pendiente de traducción *** A Business Logic vulnerability exists in SourceCodester Pharmacy Product Management System 1.0 in the add-stock.php file. The application fails to validate the "txtqty" parameter during stock entry, allowing negative values to be processed. This causes the system to decrease the inventory level instead of increasing it, leading to inventory corruption and potential Denial of Service by depleting stock records.

Gravedad CVSS v3.1: ALTA

Última modificación:

31/03/2026

CVE-2026-28367

Fecha de publicación:

27/03/2026

Idioma:

Inglés

*** Pendiente de traducción *** A flaw was found in Undertow. A remote attacker can exploit this vulnerability by sending `\r\r\r` as a header block terminator. This can be used for request smuggling with certain proxy servers, such as older versions of Apache Traffic Server and Google Cloud Classic Application Load Balancer, potentially leading to unauthorized access or manipulation of web requests.

Gravedad CVSS v3.1: ALTA

Última modificación:

10/04/2026

CVE-2026-28368

Fecha de publicación:

27/03/2026

Idioma:

Inglés

*** Pendiente de traducción *** A flaw was found in Undertow. This vulnerability allows a remote attacker to construct specially crafted requests where header names are parsed differently by Undertow compared to upstream proxies. This discrepancy in header interpretation can be exploited to launch request smuggling attacks, potentially bypassing security controls and accessing unauthorized resources.

Gravedad CVSS v3.1: ALTA

Última modificación:

31/03/2026

CVE-2025-15616

Fecha de publicación:

27/03/2026

Idioma:

Inglés

*** Pendiente de traducción *** Wazuh wazuh-agent and wazuh-manager versions 2.1.0 before 4.8.0 contain multiple shell injection and untrusted search path vulnerabilities that allow attackers to execute arbitrary commands through various components including logcollector configuration, maild SMTP server tags, and Kaspersky AR script parameters. Attackers can exploit these vulnerabilities by injecting malicious commands through configuration files, SMTP server settings, and custom flags to achieve remote code execution on affected systems.

Gravedad CVSS v4.0: ALTA

Última modificación:

31/03/2026

CVE-2025-15615

Fecha de publicación:

27/03/2026

Idioma:

Inglés

*** Pendiente de traducción *** Wazuh Manager authd service in wazuh-manager packages through version 4.7.3 contains an improper restriction of client-initiated SSL/TLS renegotiation vulnerability that allows remote attackers to cause a denial of service by sending excessive renegotiation requests. Attackers can exploit the lack of renegotiation limits to consume CPU resources and render the authd service unavailable.

Gravedad CVSS v4.0: MEDIA

Última modificación:

31/03/2026

CVE-2025-15381

Fecha de publicación:

27/03/2026

Idioma:

Inglés

*** Pendiente de traducción *** In the latest version of mlflow/mlflow, when the `basic-auth` app is enabled, tracing and assessment endpoints are not protected by permission validators. This allows any authenticated user, including those with `NO_PERMISSIONS` on the experiment, to read trace information and create assessments for traces they should not have access to. This vulnerability impacts confidentiality by exposing trace metadata and integrity by allowing unauthorized creation of assessments. Deployments using `mlflow server --app-name=basic-auth` are affected.

Gravedad CVSS v3.1: ALTA

Última modificación:

28/04/2026

CVE-2026-4959

Fecha de publicación:

27/03/2026

Idioma:

Inglés

*** Pendiente de traducción *** A vulnerability was found in OpenBMB XAgent 1.0.0. This impacts the function check_user of the file XAgentServer/application/websockets/share.py of the component ShareServer WebSocket Endpoint. Performing a manipulation of the argument interaction_id results in missing authentication. Remote exploitation of the attack is possible. The exploit has been made public and could be used. The vendor was contacted early about this disclosure but did not respond in any way.

Gravedad CVSS v4.0: MEDIA

Última modificación:

29/04/2026

CVE-2026-30534

Fecha de publicación:

27/03/2026

Idioma:

Inglés

*** Pendiente de traducción *** A SQL Injection vulnerability exists in SourceCodester Online Food Ordering System v1.0 in admin/manage_category.php via the "id" parameter.

Gravedad CVSS v3.1: ALTA

Última modificación:

30/03/2026

CVE-2026-32984

Fecha de publicación:

27/03/2026

Idioma:

Inglés

*** Pendiente de traducción *** Wazuh authd contains a heap-buffer overflow vulnerability that allows attackers to cause memory corruption and malformed heap data by sending specially crafted input. Attackers can exploit this vulnerability to trigger a denial of service condition, resulting in low availability impact to the authentication daemon.

Gravedad CVSS v4.0: MEDIA

Última modificación:

31/03/2026

Suscribirse a Vulnerabilidades