Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las últimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las últimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las últimas vulnerabilidades incorporadas al repositorio.

Vulnerabilidad en open-webui (CVE-2026-28788)

Fecha de publicación:

27/03/2026

Idioma:

Español

Open WebUI es una plataforma de inteligencia artificial autoalojada diseñada para operar completamente sin conexión. Antes de la versión 0.8.6, cualquier usuario autenticado puede sobrescribir el contenido de cualquier archivo por ID a través del endpoint &#39;POST /api/v1/retrieval/process/files/batch&#39;. El endpoint no realiza ninguna verificación de propiedad, por lo que un usuario regular con acceso de lectura a una base de conocimiento compartida puede obtener los UUID de los archivos a través de &#39;GET /api/v1/knowledge/{id}/files&#39; y luego sobrescribir esos archivos, escalando de lectura a escritura. El contenido sobrescrito se sirve al LLM a través de RAG, lo que significa que el atacante controla lo que el modelo dice a otros usuarios. La versión 0.8.6 corrige el problema.

Gravedad CVSS v3.1: ALTA

Última modificación:

01/04/2026

Vulnerabilidad en open-webui (CVE-2026-28786)

Fecha de publicación:

27/03/2026

Idioma:

Español

Open WebUI es una plataforma de inteligencia artificial autoalojada diseñada para operar totalmente fuera de línea. Antes de la versión 0.8.6, un campo de nombre de archivo no saneado en el endpoint de transcripción de voz a texto permite a cualquier usuario autenticado no administrador activar un &#39;FileNotFoundError&#39; cuyo mensaje — incluyendo la ruta absoluta &#39;DATA_DIR&#39; del servidor — se devuelve textualmente en el cuerpo de la respuesta HTTP 400, confirmando la revelación de información en todas las implementaciones predeterminadas. La versión 0.8.6 corrige el problema.

Gravedad CVSS v3.1: MEDIA

Última modificación:

30/03/2026

Vulnerabilidad en vllm de vllm-project (CVE-2026-27893)

Fecha de publicación:

27/03/2026

Idioma:

Español

vLLM es un motor de inferencia y servicio para modelos de lenguaje grandes (LLM). A partir de la versión 0.10.1 y antes de la versión 0.18.0, dos archivos de implementación de modelos codifican de forma rígida &#39;trust_remote_code=True&#39; al cargar subcomponentes, eludiendo la exclusión voluntaria de seguridad explícita del usuario &#39;--trust-remote-code=False&#39;. Esto permite la ejecución remota de código a través de repositorios de modelos maliciosos incluso cuando el usuario ha deshabilitado explícitamente la confianza en el código remoto. La versión 0.18.0 corrige el problema.

Gravedad CVSS v3.1: ALTA

Última modificación:

30/03/2026

Vulnerabilidad en AC5 de Tenda (CVE-2026-4903)

Fecha de publicación:

26/03/2026

Idioma:

Español

Se ha encontrado una falla en Tenda AC5 15.03.06.47. Esta vulnerabilidad afecta a la función formQuickIndex del archivo /goform/QuickIndex del componente Gestor de Solicitudes POST. Esta manipulación del argumento PPPOEPassword causa un desbordamiento de búfer basado en pila. El ataque puede iniciarse de forma remota. El exploit ha sido publicado y puede ser utilizado.

Gravedad CVSS v4.0: ALTA

Última modificación:

31/03/2026

Vulnerabilidad en AC5 de Tenda (CVE-2026-4902)

Fecha de publicación:

26/03/2026

Idioma:

Español

Se detectó una vulnerabilidad en Tenda AC5 15.03.06.47. Esto afecta a la función fromAddressNat del archivo /goform/addressNat del componente gestor de solicitudes POST. La manipulación del argumento page resulta en un desbordamiento de búfer basado en pila. El ataque puede ser lanzado remotamente. El exploit ya es público y puede ser usado.

Gravedad CVSS v4.0: ALTA

Última modificación:

31/03/2026

Vulnerabilidad en TigerVNC (CVE-2026-34352)

Fecha de publicación:

26/03/2026

Idioma:

Español

En TigerVNC anterior a 1.16.2, Image.cxx en x0vncserver permite a otros usuarios observar o manipular el contenido de la pantalla, o causar un fallo de la aplicación, debido a permisos incorrectos.

Gravedad CVSS v3.1: ALTA

Última modificación:

02/04/2026

Vulnerabilidad en incus de lxc (CVE-2026-33542)

Fecha de publicación:

26/03/2026

Idioma:

Español

Incus es un gestor de contenedores de sistema y máquinas virtuales. Antes de la versión 6.23.0, una falta de validación de la huella digital de la imagen al descargar desde servidores de imágenes simplestreams abre la puerta al envenenamiento de la caché de imágenes y, bajo circunstancias muy estrechas, expone a otros inquilinos a ejecutar imágenes controladas por el atacante en lugar de la esperada. La versión 6.23.0 parchea el problema.

Gravedad CVSS v4.0: MEDIA

Última modificación:

30/03/2026

Vulnerabilidad en incus de lxc (CVE-2026-33711)

Fecha de publicación:

26/03/2026

Idioma:

Español

Incus es un gestor de contenedores de sistema y máquinas virtuales. Incus proporciona una API para recuperar capturas de pantalla de la máquina virtual. Esa API se basa en el uso de un archivo temporal para que QEMU escriba la captura de pantalla, la cual luego se recoge y se envía al usuario antes de su eliminación. Dado que las versiones anteriores a la 6.23.0 utilizan rutas predecibles bajo /tmp para esto, un atacante con acceso local al sistema puede abusar de este mecanismo creando sus propios enlaces simbólicos con antelación. En la gran mayoría de los sistemas Linux, esto resultará en un error de &#39;Permiso denegado&#39; al solicitar una captura de pantalla. Esto se debe a que el kernel de Linux tiene una característica de seguridad diseñada para bloquear tales ataques, protected_symlinks. En los sistemas raros con esto deshabilitado a propósito, es entonces posible engañar a Incus para que trunque y altere el modo y los permisos de archivos arbitrarios en el sistema de archivos, lo que lleva a una potencial denegación de servicio o posible escalada de privilegios local. La versión 6.23.0 corrige el problema.

Gravedad CVSS v4.0: MEDIA

Última modificación:

30/03/2026

Vulnerabilidad en incus de lxc (CVE-2026-33743)

Fecha de publicación:

26/03/2026

Idioma:

Español

Incus es un gestor de contenedores de sistema y máquinas virtuales. Antes de la versión 6.23.0, una copia de seguridad de bucket de almacenamiento especialmente diseñada puede ser utilizada por un usuario con acceso a la característica de bucket de almacenamiento de Incus para hacer fallar el demonio de Incus. El uso repetido de este ataque puede ser utilizado para mantener el servidor fuera de línea, causando una denegación de servicio de la API del plano de control. Esto no tiene impacto en ninguna carga de trabajo en ejecución; los contenedores y máquinas virtuales existentes seguirán funcionando. La versión 6.23.0 corrige el problema.

Gravedad CVSS v3.1: MEDIA

Última modificación:

30/03/2026

Vulnerabilidad en incus de lxc (CVE-2026-33897)

Fecha de publicación:

26/03/2026

Idioma:

Español

Incus es un gestor de contenedores de sistema y máquinas virtuales. Antes de la versión 6.23.0, los archivos de plantilla de instancia pueden usarse para causar lecturas o escrituras arbitrarias como root en el servidor anfitrión. Incus permite plantillas pongo2 dentro de las instancias que pueden usarse en varios momentos del ciclo de vida de la instancia para crear plantillas de archivos dentro de la instancia. Esta implementación particular de pongo2 dentro de Incus permitía la lectura/escritura de archivos, pero con la expectativa de que la característica chroot de pongo2 aislaría todo ese acceso al sistema de archivos de la instancia. Esto se permitía de tal manera que una plantilla podría teóricamente leer un archivo y luego generar una nueva versión de dicho archivo. Desafortunadamente, el mecanismo de aislamiento chroot es completamente omitido por pongo2, lo que lleva a un fácil acceso a todo el sistema de archivos del sistema con privilegios de root. La versión 6.23.0 parchea el problema.

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

30/03/2026

Vulnerabilidad en Online Food Ordering System de code-projects (CVE-2026-4900)

Fecha de publicación:

26/03/2026

Idioma:

Español

Se ha identificado una debilidad en el Sistema de Pedidos de Comida en Línea 1.0 de code-projects. Esto afecta una parte desconocida del archivo /dbfood/localhost.sql. Esta manipulación provoca que los archivos o directorios sean accesibles. El ataque puede iniciarse de forma remota. El exploit se ha puesto a disposición del público y podría usarse para ataques. Es aconsejable modificar la configuración.

Gravedad CVSS v4.0: MEDIA

Última modificación:

24/04/2026

Vulnerabilidad en sharp de code16 (CVE-2026-33687)

Fecha de publicación:

26/03/2026

Idioma:

Español

Sharp es un framework de gestión de contenido construido para Laravel como un paquete. Las versiones anteriores a la 9.20.0 contienen una vulnerabilidad en el endpoint de carga de archivos que permite a los usuarios autenticados eludir todas las restricciones de tipo de archivo. El endpoint de carga dentro del `ApiFormUploadController` acepta un parámetro `validation_rule` controlado por el cliente. Este parámetro se pasa directamente al validador de Laravel sin una aplicación suficiente por parte del servidor. Al interceptar la solicitud y enviar `validation_rule[]=file`, un atacante puede eludir completamente todas las restricciones de tipo MIME y de extensión de archivo. Este problema se ha abordado en la versión 9.20.0 eliminando las reglas de validación controladas por el cliente y definiendo estrictamente las reglas de carga en el lado del servidor. Como solución alternativa, asegúrese de que el disco de almacenamiento utilizado para las cargas de Sharp sea estrictamente privado. Bajo las configuraciones predeterminadas, un atacante no puede ejecutar directamente archivos PHP cargados a menos que se utilice explícitamente una configuración de disco público.

Gravedad CVSS v3.1: ALTA

Última modificación:

02/04/2026

Suscribirse a Vulnerabilidades