Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las ultimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las ultimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las ultimas vulnerabilidades incorporadas al repositorio.

Vulnerabilidad en vaultwarden (CVE-2026-26012)

Fecha de publicación:
11/02/2026
Idioma:
Español
vaultwarden es un servidor compatible con Bitwarden no oficial escrito en Rust, anteriormente conocido como bitwarden_rs. Antes de 1.35.3, un miembro regular de la organización puede recuperar todos los cifrados dentro de una organización, independientemente de los permisos de colección. El endpoint /ciphers/organization-details es accesible para cualquier miembro de la organización e internamente utiliza Cipher::find_by_org para recuperar todos los cifrados. Estos cifrados son devueltos con CipherSyncType::Organization sin aplicar el control de acceso a nivel de colección. Esta vulnerabilidad está corregida en 1.35.3.
Gravedad CVSS v3.1: MEDIA
Última modificación:
13/02/2026

Vulnerabilidad en CIPPlanner CIPAce (CVE-2024-50619)

Fecha de publicación:
11/02/2026
Idioma:
Español
Vulnerabilidades en los componentes Mi Cuenta y Gestión de Usuarios en CIPPlanner CIPAce anterior a la versión 9.17 permiten a los atacantes escalar sus niveles de acceso. Un usuario autenticado de bajo privilegio puede obtener acceso a las cuentas de otras personas manipulando el ID de usuario del cliente para cambiar la información de su cuenta. Un usuario autenticado de bajo privilegio puede elevar sus privilegios de sistema modificando la información de un rol de usuario que está deshabilitado en el cliente.
Gravedad CVSS v3.1: ALTA
Última modificación:
13/02/2026

Vulnerabilidad en CIPPlanner CIPAce (CVE-2024-50617)

Fecha de publicación:
11/02/2026
Idioma:
Español
Vulnerabilidades en los componentes manejadores de Descarga de Archivos y Obtener Archivo en CIPPlanner CIPAce anterior a la versión 9.17 permiten a los atacantes descargar archivos no autorizados. Un usuario autenticado puede cambiar fácilmente el parámetro 'file id' o pasar la ruta de archivo física en la cadena de consulta de la URL para recuperar los archivos. (La recuperación no está prevista sin el acceso a datos correcto configurado para los documentos.)
Gravedad CVSS v3.1: ALTA
Última modificación:
13/02/2026

Vulnerabilidad en OpenMetadata (CVE-2026-26010)

Fecha de publicación:
11/02/2026
Idioma:
Español
OpenMetadata es una plataforma de metadatos unificada. Anterior a la 1.11.8, las llamadas emitidas por la UI contra /api/v1/ingestionPipelines filtraban JWTs utilizados por ingestion-bot para ciertos servicios (Glue / Redshift / Postgres). Cualquier usuario de solo lectura puede obtener acceso a una cuenta altamente privilegiada, típicamente la que tiene el Rol de Bot de Ingestión. Esto permite cambios destructivos en las instancias de OpenMetadata y una posible fuga de datos (por ejemplo, datos de muestra o metadatos de servicio que no estarían disponibles según los roles/políticas). Esta vulnerabilidad está corregida en la versión 1.11.8.
Gravedad CVSS v3.1: ALTA
Última modificación:
13/02/2026

Vulnerabilidad en Pion DTLS (CVE-2026-26014)

Fecha de publicación:
11/02/2026
Idioma:
Español
Pion DTLS es una implementación en Go de Datagram Transport Layer Security. Las versiones v1.0.0 a v3.0.10 y 3.1.0 de Pion DTLS usan generación de nonce aleatorio con cifrados AES GCM, lo que facilita a los atacantes remotos obtener la clave de autenticación y falsificar datos aprovechando la reutilización de un nonce en una sesión y un 'ataque prohibido'. Actualice a v3.0.11, v3.1.1, o posterior.
Gravedad CVSS v3.1: MEDIA
Última modificación:
25/02/2026

Vulnerabilidad en BusyBox (CVE-2026-26157)

Fecha de publicación:
11/02/2026
Idioma:
Español
Se encontró una vulnerabilidad en BusyBox. La sanitización incompleta de rutas en sus utilidades de extracción de archivos permite a un atacante crear archivos maliciosos que, al ser extraídos y bajo condiciones específicas, pueden escribir en archivos fuera del directorio previsto. Esto puede llevar a una sobrescritura arbitraria de archivos, lo que podría permitir la ejecución de código mediante la modificación de archivos de sistema sensibles.
Gravedad CVSS v3.1: ALTA
Última modificación:
12/02/2026

Vulnerabilidad en BusyBox (CVE-2026-26158)

Fecha de publicación:
11/02/2026
Idioma:
Español
Se encontró una falla en BusyBox. Esta vulnerabilidad permite a un atacante modificar archivos fuera del directorio de extracción previsto al crear un archivo tar malicioso que contiene entradas de hardlink o symlink no validadas. Si el archivo tar se extrae con privilegios elevados, esta falla puede conducir a una escalada de privilegios, permitiendo a un atacante obtener acceso no autorizado a archivos críticos del sistema.
Gravedad CVSS v3.1: ALTA
Última modificación:
12/02/2026

Vulnerabilidad en Vikunja (CVE-2026-25935)

Fecha de publicación:
11/02/2026
Idioma:
Español
Vikunja es una aplicación de tareas para organizar tu vida. Antes de la 1.1.0, TaskGlanceTooltip.vue crea temporalmente un div y establece el innerHtml a la descripción. Dado que no hay escape ni en el lado del servidor ni en el del cliente, un usuario malicioso puede compartir un proyecto, crear una tarea maliciosa y causar un XSS al pasar el ratón por encima. Esta vulnerabilidad está corregida en la 1.1.0.
Gravedad CVSS v4.0: ALTA
Última modificación:
20/02/2026

Vulnerabilidad en Pillow (CVE-2026-25990)

Fecha de publicación:
11/02/2026
Idioma:
Español
Pillow es una librería de procesamiento de imágenes de Python. Desde la versión 10.3.0 hasta antes de la 12.1.1, una escritura fuera de límites puede ser activada al cargar una imagen PSD especialmente manipulada. Esta vulnerabilidad está corregida en la versión 12.1.1.
Gravedad CVSS v4.0: ALTA
Última modificación:
13/02/2026

Vulnerabilidad en PJSIP (CVE-2026-25994)

Fecha de publicación:
11/02/2026
Idioma:
Español
PJSIP es una librería de comunicación multimedia de código abierto y gratuita escrita en C. En 2.16 y versiones anteriores, existe una vulnerabilidad de desbordamiento de búfer en la sesión ICE de PJNATH al procesar credenciales con nombres de usuario excesivamente largos.
Gravedad CVSS v4.0: ALTA
Última modificación:
19/02/2026

Vulnerabilidad en Klaw (CVE-2026-25999)

Fecha de publicación:
11/02/2026
Idioma:
Español
Klaw es una herramienta/portal de autoservicio para la gestión/gobernanza de temas de Apache Kafka. Antes de la versión 2.10.2, existe una vulnerabilidad de control de acceso inadecuado que permite a usuarios no autorizados activar un restablecimiento o eliminación de metadatos para cualquier inquilino. Al enviar una solicitud manipulada al endpoint /resetMemoryCache, un atacante puede borrar configuraciones, entornos y datos de clúster almacenados en caché. Esta vulnerabilidad se corrigió en la versión 2.10.2.
Gravedad CVSS v3.1: ALTA
Última modificación:
26/02/2026

Vulnerabilidad en Kanboard (CVE-2026-25924)

Fecha de publicación:
11/02/2026
Idioma:
Español
Kanboard es un software de gestión de proyectos centrado en la metodología Kanban. Antes de la 1.2.50, una vulnerabilidad de omisión de control de seguridad en Kanboard permite a un administrador autenticado lograr la ejecución remota de código (RCE) completa. Aunque la aplicación oculta correctamente la interfaz de instalación de plugins cuando la configuración PLUGIN_INSTALLER está establecida en falso, el endpoint de backend subyacente no verifica esta configuración de seguridad. Un atacante puede explotar este descuido para forzar al servidor a descargar e instalar un plugin malicioso, lo que lleva a la ejecución de código arbitrario. Esta vulnerabilidad está corregida en la 1.2.50.
Gravedad CVSS v3.1: ALTA
Última modificación:
13/02/2026