Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

017 - Ir a la línea de ayuda en Ciberseguridad    Ir a Agenda     Ir a Sala de prensa     Ir a suscripción de boletines

Ir al buscador

Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las ultimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las ultimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las ultimas vulnerabilidades incorporadas al repositorio.

CVE-2026-23728
Fecha de publicación:
16/01/2026
Idioma:
Inglés
*** Pendiente de traducción *** WeGIA is a web manager for charitable institutions. Prior to 3.6.2, an Open Redirect vulnerability was identified in the /WeGIA/controle/control.php endpoint of the WeGIA application, specifically through the nextPage parameter when combined with metodo=listarTodos and nomeClasse=DestinoControle. The application fails to validate or restrict the nextPage parameter, allowing attackers to redirect users to arbitrary external websites. This can be abused for phishing attacks, credential theft, malware distribution, and social engineering using the trusted WeGIA domain. This vulnerability is fixed in 3.6.2.
Gravedad CVSS v4.0: MEDIA
Última modificación:
16/01/2026

CVE-2026-23634
Fecha de publicación:
16/01/2026
Idioma:
Inglés
*** Pendiente de traducción *** Pepr is a type safe K8s middleware. Prior to 1.0.5 , Pepr defaults to a cluster-admin RBAC configuration and does not explicitly force or enforce least-privilege guidance for module authors. The default behavior exists to make the “getting started” experience smooth: new users can experiment with Pepr and create resources dynamically without needing to pre-configure RBAC. This vulnerability is fixed in 1.0.5.
Gravedad: Pendiente de análisis
Última modificación:
16/01/2026

CVE-2026-23645
Fecha de publicación:
16/01/2026
Idioma:
Inglés
*** Pendiente de traducción *** SiYuan is self-hosted, open source personal knowledge management software. Prior to 3.5.4-dev2, a Stored Cross-Site Scripting (XSS) vulnerability exists in SiYuan Note. The application does not sanitize uploaded SVG files. If a user uploads and views a malicious SVG file (e.g., imported from an untrusted source), arbitrary JavaScript code is executed in the context of their authenticated session. This vulnerability is fixed in 3.5.4-dev2.
Gravedad CVSS v4.0: MEDIA
Última modificación:
16/01/2026

CVE-2025-69581
Fecha de publicación:
16/01/2026
Idioma:
Inglés
*** Pendiente de traducción *** An issue was discovered in Chamillo LMS 1.11.2. The Social Network /personal_data endpoint exposes full sensitive user information even after logout because proper cache-control is missing. Using the browser back button restores all personal data, allowing unauthorized users on the same device to view confidential information. This leads to profiling, impersonation, targeted attacks, and significant privacy risks.
Gravedad CVSS v3.1: ALTA
Última modificación:
16/01/2026

CVE-2012-10064
Fecha de publicación:
16/01/2026
Idioma:
Inglés
*** Pendiente de traducción *** Omni Secure Files plugin versions prior to 0.1.14 contain an arbitrary file upload vulnerability in the bundled plupload example endpoint. The /wp-content/plugins/omni-secure-files/plupload/examples/upload.php handler allows unauthenticated uploads without enforcing safe file type restrictions, enabling an attacker to place attacker-controlled files under the plugin's uploads directory. This can lead to remote code execution if a server-executable file type is uploaded and subsequently accessed.
Gravedad CVSS v4.0: CRÍTICA
Última modificación:
16/01/2026

CVE-2026-23490
Fecha de publicación:
16/01/2026
Idioma:
Inglés
*** Pendiente de traducción *** pyasn1 is a generic ASN.1 library for Python. Prior to 0.6.2, a Denial-of-Service issue has been found that leads to memory exhaustion from malformed RELATIVE-OID with excessive continuation octets. This vulnerability is fixed in 0.6.2.
Gravedad CVSS v3.1: ALTA
Última modificación:
16/01/2026

CVE-2026-23535
Fecha de publicación:
16/01/2026
Idioma:
Inglés
*** Pendiente de traducción *** wlc is a Weblate command-line client using Weblate's REST API. Prior to 1.17.2, the multi-translation download could write to an arbitrary location when instructed by a crafted server. This vulnerability is fixed in 1.17.2.
Gravedad CVSS v3.1: ALTA
Última modificación:
16/01/2026

CVE-2025-62291
Fecha de publicación:
16/01/2026
Idioma:
Inglés
*** Pendiente de traducción *** In the eap-mschapv2 plugin (client-side) in strongSwan before 6.0.3, a malicious EAP-MSCHAPv2 server can send a crafted message of size 6 through 8, and cause an integer underflow that potentially results in a heap-based buffer overflow.
Gravedad CVSS v3.1: ALTA
Última modificación:
16/01/2026

CVE-2025-68924
Fecha de publicación:
16/01/2026
Idioma:
Inglés
*** Pendiente de traducción *** In Umbraco UmbracoForms through 8.13.16, an authenticated attacker can supply a malicious WSDL (aka Webservice) URL as a data source for remote code execution.
Gravedad CVSS v3.1: ALTA
Última modificación:
16/01/2026

CVE-2025-48647
Fecha de publicación:
16/01/2026
Idioma:
Inglés
*** Pendiente de traducción *** In cpm_fwtp_msg_handler of cpm/google/lib/tracepoint/cpm_fwtp_ipc.c, there is a possible memory overwrite due to improper input validation. This could lead to local escalation of privilege with no additional execution privileges needed. User interaction is not needed for exploitation.
Gravedad CVSS v3.1: ALTA
Última modificación:
16/01/2026

CVE-2025-61873
Fecha de publicación:
16/01/2026
Idioma:
Inglés
*** Pendiente de traducción *** Best Practical Request Tracker (RT) before 4.4.9, 5.0.9, and 6.0.2 allows CSV Injection via ticket values when TSV export is used.
Gravedad CVSS v3.1: BAJA
Última modificación:
16/01/2026

CVE-2025-15032
Fecha de publicación:
16/01/2026
Idioma:
Inglés
*** Pendiente de traducción *** Missing about:blank indicator in custom-sized new windows in Dia before 1.9.0 on macOS could allow an attacker to spoof a trusted domain in the window title and mislead users about the current site.
Gravedad CVSS v3.1: ALTA
Última modificación:
16/01/2026
Suscribirse a Vulnerabilidades