Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

017 - Ir a la línea de ayuda en Ciberseguridad    Ir a Agenda     Ir a Sala de prensa     Ir a suscripción de boletines

Ir al buscador

Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las ultimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las ultimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las ultimas vulnerabilidades incorporadas al repositorio.

CVE-2025-15319
Fecha de publicación:
09/02/2026
Idioma:
Inglés
*** Pendiente de traducción *** Tanium addressed a local privilege escalation vulnerability in Patch Endpoint Tools.
Gravedad CVSS v3.1: ALTA
Última modificación:
10/02/2026

CVE-2026-25893
Fecha de publicación:
09/02/2026
Idioma:
Inglés
*** Pendiente de traducción *** FUXA is a web-based Process Visualization (SCADA/HMI/Dashboard) software. Prior to 1.2.10, an authentication bypass vulnerability in FUXA allows an unauthenticated, remote attacker to gain administrative access via the heartbeat refresh API and execute arbitrary code on the server. This issue has been patched in FUXA version 1.2.10.
Gravedad CVSS v4.0: CRÍTICA
Última modificación:
10/02/2026

CVE-2026-25894
Fecha de publicación:
09/02/2026
Idioma:
Inglés
*** Pendiente de traducción *** FUXA is a web-based Process Visualization (SCADA/HMI/Dashboard) software. An insecure default configuration in FUXA allows an unauthenticated, remote attacker to gain administrative access and execute arbitrary code on the server. This affects FUXA through version 1.2.9 when authentication is enabled, but the administrator JWT secret is not configured. This issue has been patched in FUXA version 1.2.10.
Gravedad CVSS v4.0: CRÍTICA
Última modificación:
10/02/2026

CVE-2026-25895
Fecha de publicación:
09/02/2026
Idioma:
Inglés
*** Pendiente de traducción *** FUXA is a web-based Process Visualization (SCADA/HMI/Dashboard) software. A path traversal vulnerability in FUXA allows an unauthenticated, remote attacker to write arbitrary files to arbitrary locations on the server filesystem. This affects FUXA through version 1.2.9. This issue has been patched in FUXA version 1.2.10.
Gravedad CVSS v4.0: CRÍTICA
Última modificación:
10/02/2026

CVE-2026-25931
Fecha de publicación:
09/02/2026
Idioma:
Inglés
*** Pendiente de traducción *** vscode-spell-checker is a basic spell checker that works well with code and documents. Prior to v4.5.4, DocumentSettings._determineIsTrusted treats the configuration value cSpell.trustedWorkspace as the authoritative trust flag. The value defaults to true (package.json) and is read from workspace configuration each time settings are fetched. The code coerces any truthy value to true and forwards it to ConfigLoader.setIsTrusted , which in turn allows JavaScript/TypeScript configuration files ( .cspell.config.js/.mjs/.ts , etc.) to be located and executed. Because no VS Code workspace-trust state is consulted, an untrusted workspace can keep the flag true and place a malicious .cspell.config.js ; opening the workspace causes the extension host to execute attacker-controlled Node.js code with the user’s privileges. This vulnerability is fixed in v4.5.4.
Gravedad CVSS v3.1: ALTA
Última modificación:
10/02/2026

CVE-2026-25934
Fecha de publicación:
09/02/2026
Idioma:
Inglés
*** Pendiente de traducción *** go-git is a highly extensible git implementation library written in pure Go. Prior to 5.16.5, a vulnerability was discovered in go-git whereby data integrity values for .pack and .idx files were not properly verified. This resulted in go-git potentially consuming corrupted files, which would likely result in unexpected errors such as object not found. For context, clients fetch packfiles from upstream Git servers. Those files contain a checksum of their contents, so that clients can perform integrity checks before consuming it. The pack indexes (.idx) are generated locally by go-git, or the git cli, when new .pack files are received and processed. The integrity checks for both files were not being verified correctly. This vulnerability is fixed in 5.16.5.
Gravedad CVSS v3.1: MEDIA
Última modificación:
10/02/2026

CVE-2025-15318
Fecha de publicación:
09/02/2026
Idioma:
Inglés
*** Pendiente de traducción *** Tanium addressed an arbitrary file deletion vulnerability in End-User Notifications Endpoint Tools.
Gravedad CVSS v3.1: MEDIA
Última modificación:
10/02/2026

CVE-2026-25892
Fecha de publicación:
09/02/2026
Idioma:
Inglés
*** Pendiente de traducción *** Adminer is open-source database management software. Adminer v5.4.1 and earlier has a version check mechanism where adminer.org sends signed version info via JavaScript postMessage, which the browser then POSTs to ?script=version. This endpoint lacks origin validation and accepts POST data from any source. An attacker can POST version[] parameter which PHP converts to an array. On next page load, openssl_verify() receives this array instead of string and throws TypeError, returning HTTP 500 to all users. Upgrade to Adminer 5.4.2.
Gravedad CVSS v3.1: ALTA
Última modificación:
10/02/2026

CVE-2026-25918
Fecha de publicación:
09/02/2026
Idioma:
Inglés
*** Pendiente de traducción *** unity-cli is a command line utility for the Unity Game Engine. Prior to 1.8.2 , the sign-package command in @rage-against-the-pixel/unity-cli logs sensitive credentials in plaintext when the --verbose flag is used. Command-line arguments including --email and --password are output via JSON.stringify without sanitization, exposing secrets to shell history, CI/CD logs, and log aggregation systems. This vulnerability is fixed in 1.8.2.
Gravedad CVSS v4.0: MEDIA
Última modificación:
10/02/2026

CVE-2026-25923
Fecha de publicación:
09/02/2026
Idioma:
Inglés
*** Pendiente de traducción *** my little forum is a PHP and MySQL based internet forum that displays the messages in classical threaded view. Prior to 20260208.1, the application fails to filter the phar:// protocol in URL validation, allowing attackers to upload a malicious Phar Polyglot file (disguised as JPEG) via the image upload feature, trigger Phar deserialization through BBCode [img] tag processing, and exploit Smarty 4.1.0 POP chain to achieve arbitrary file deletion. This vulnerability is fixed in 20260208.1.
Gravedad CVSS v4.0: ALTA
Última modificación:
10/02/2026

CVE-2026-25925
Fecha de publicación:
09/02/2026
Idioma:
Inglés
*** Pendiente de traducción *** PowerDocu contains a Windows GUI executable to perform technical documentations. Prior to 2.4.0, PowerDocu contains a critical security vulnerability in how it parses JSON files within Flow or App packages. The application blindly trusts the $type property in JSON files, allowing an attacker to instantiate arbitrary .NET objects and execute code. This vulnerability is fixed in 2.4.0.
Gravedad CVSS v3.1: ALTA
Última modificación:
10/02/2026

CVE-2026-25961
Fecha de publicación:
09/02/2026
Idioma:
Inglés
*** Pendiente de traducción *** SumatraPDF is a multi-format reader for Windows. In 3.5.0 through 3.5.2, SumatraPDF's update mechanism disables TLS hostname verification (INTERNET_FLAG_IGNORE_CERT_CN_INVALID) and executes installers without signature checks. A network attacker with any valid TLS certificate (e.g., Let's Encrypt) can intercept the update check request, inject a malicious installer URL, and achieve arbitrary code execution.
Gravedad CVSS v3.1: ALTA
Última modificación:
10/02/2026
Suscribirse a Vulnerabilidades