Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las ultimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las ultimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las ultimas vulnerabilidades incorporadas al repositorio.

CVE-2026-28193

Fecha de publicación:

25/02/2026

Idioma:

Inglés

*** Pendiente de traducción *** In JetBrains YouTrack before 2025.3.121962 apps were able to send requests to the app permissions endpoint

Gravedad CVSS v3.1: ALTA

Última modificación:

25/02/2026

CVE-2026-28194

Fecha de publicación:

25/02/2026

Idioma:

Inglés

*** Pendiente de traducción *** In JetBrains TeamCity before 2025.11.3 open redirect was possible in the React project creation flow

Gravedad CVSS v3.1: MEDIA

Última modificación:

25/02/2026

CVE-2026-21725

Fecha de publicación:

25/02/2026

Idioma:

Inglés

*** Pendiente de traducción *** A time-of-create-to-time-of-use (TOCTOU) vulnerability lets recently deleted-then-recreated data sources be re-deleted without permission to do so. This requires several very stringent conditions to be met: - The attacker must have admin access to the specific datasource prior to its first deletion. - Upon deletion, all steps within the attack must happen within the next 30 seconds and on the same pod of Grafana. - The attacker must delete the datasource, then someone must recreate it. - The new datasource must not have the attacker as an admin. - The new datasource must have the same UID as the prior datasource. These are randomised by default. - The datasource can now be re-deleted by the attacker. - Once 30 seconds are up, the attack is spent and cannot be repeated. - No datasource with any other UID can be attacked.

Gravedad CVSS v3.1: BAJA

Última modificación:

25/02/2026

CVE-2026-2624

Fecha de publicación:

25/02/2026

Idioma:

Inglés

*** Pendiente de traducción *** Missing Authentication for Critical Function vulnerability in ePati Cyber Security Technologies Inc. Antikor Next Generation Firewall (NGFW) allows Authentication Bypass.This issue affects Antikor Next Generation Firewall (NGFW): from v.2.0.1298 before v.2.0.1301.

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

25/02/2026

CVE-2026-0704

Fecha de publicación:

25/02/2026

Idioma:

Inglés

*** Pendiente de traducción *** In affected version of Octopus Deploy it was possible to remove files and/or contents of files on the host using an API endpoint. The field lacked validation which could potentially result in ways to circumvent expected workflows.

Gravedad CVSS v4.0: MEDIA

Última modificación:

25/02/2026

CVE-2026-25701

Fecha de publicación:

25/02/2026

Idioma:

Inglés

*** Pendiente de traducción *** An Insecure Temporary File vulnerability in openSUSE sdbootutil allows local users to pre-create a directory to achieve various effects like: * gain access to possible private information found in /var/lib/pcrlock.d * manipulate the data backed up in /tmp/pcrlock.d.bak, therefore violating the integrity of the data should it be restored. * overwrite protected system files with data from /var/lib/pcrlock.d by placing symlinks to existing files in the directory tree in /tmp/pcrlock.d.bak. This issue affects sdbootutil: from ? before 5880246d3a02642dc68f5c8cb474bf63cdb56bca.

Gravedad CVSS v4.0: ALTA

Última modificación:

25/02/2026

CVE-2026-3118

Fecha de publicación:

25/02/2026

Idioma:

Inglés

*** Pendiente de traducción *** A security flaw was identified in the Orchestrator Plugin of Red Hat Developer Hub (Backstage). The issue occurs due to insufficient input validation in GraphQL query handling. An authenticated user can inject specially crafted input into API requests, which disrupts backend query processing. This results in the entire Backstage application crashing and restarting, leading to a platform-wide Denial of Service (DoS). As a result, legitimate users temporarily lose access to the platform.

Gravedad CVSS v3.1: MEDIA

Última modificación:

25/02/2026

CVE-2026-26104

Fecha de publicación:

25/02/2026

Idioma:

Inglés

*** Pendiente de traducción *** A flaw was found in the udisks storage management daemon that allows unprivileged users to back up LUKS encryption headers without authorization. The issue occurs because a privileged D-Bus method responsible for exporting encryption metadata does not perform a policy check. As a result, sensitive cryptographic metadata can be read and written to attacker-controlled locations. This weakens the confidentiality guarantees of encrypted storage volumes.

Gravedad CVSS v3.1: MEDIA

Última modificación:

25/02/2026

CVE-2025-67601

Fecha de publicación:

25/02/2026

Idioma:

Inglés

*** Pendiente de traducción *** A vulnerability has been identified within Rancher Manager, where using self-signed CA certificates and passing the -skip-verify flag to the Rancher CLI login command without also passing the –cacert flag results in the CLI attempting to fetch CA certificates stored in Rancher’s setting cacerts.

Gravedad CVSS v3.1: ALTA

Última modificación:

25/02/2026

CVE-2025-67860

Fecha de publicación:

25/02/2026

Idioma:

Inglés

*** Pendiente de traducción *** A vulnerability has been identified in the NeuVector scanner where the scanner process accepts registry and controller credentials as command-line arguments, potentially exposing sensitive credentials to local users.

Gravedad CVSS v3.1: BAJA

Última modificación:

25/02/2026

CVE-2026-26103

Fecha de publicación:

25/02/2026

Idioma:

Inglés

*** Pendiente de traducción *** A flaw was found in the udisks storage management daemon that exposes a privileged D-Bus API for restoring LUKS encryption headers without proper authorization checks. The issue allows a local unprivileged user to instruct the root-owned udisks daemon to overwrite encryption metadata on block devices. This can permanently invalidate encryption keys and render encrypted volumes inaccessible. Successful exploitation results in a denial-of-service condition through irreversible data loss.

Gravedad CVSS v3.1: ALTA

Última modificación:

25/02/2026

CVE-2025-62878

Fecha de publicación:

25/02/2026

Idioma:

Inglés

*** Pendiente de traducción *** A malicious user can manipulate the parameters.pathPattern to create PersistentVolumes in arbitrary locations on the host node, potentially overwriting sensitive files or gaining access to unintended directories.

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

25/02/2026

Suscribirse a Vulnerabilidades