Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las últimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las últimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las últimas vulnerabilidades incorporadas al repositorio.

Vulnerabilidad en ImageMagick (CVE-2026-28493)

Fecha de publicación:

10/03/2026

Idioma:

Español

ImageMagick es un software libre y de código abierto utilizado para editar y manipular imágenes digitales. Antes de las versiones 7.1.2-16, existe una vulnerabilidad de desbordamiento de entero en el decodificador SIXEL. La vulnerabilidad permite a un atacante realizar un acceso fuera de límites a través de una imagen especialmente diseñada. Esta vulnerabilidad está corregida en la versión 7.1.2-16.

Gravedad CVSS v3.1: MEDIA

Última modificación:

12/03/2026

Vulnerabilidad en Misskey (CVE-2026-28433)

Fecha de publicación:

10/03/2026

Idioma:

Español

Misskey es una plataforma de redes sociales de código abierto y federada. Todos los servidores Misskey que ejecutan versiones 10.93.0 y posteriores, pero anteriores a la 2026.3.1, contienen una vulnerabilidad que permite importar datos de otros usuarios debido a la falta de validación de propiedad. El impacto de esta vulnerabilidad se estima que es relativamente bajo, ya que los actores maliciosos requerirían el ID correspondiente al archivo objetivo para la importación. Esta vulnerabilidad se corrige en la 2026.3.1.

Gravedad CVSS v4.0: BAJA

Última modificación:

13/03/2026

Vulnerabilidad en Misskey (CVE-2026-28432)

Fecha de publicación:

10/03/2026

Idioma:

Español

Misskey es una plataforma de redes sociales de código abierto y federada. Todos los servidores Misskey anteriores a 2026.3.1 contienen una vulnerabilidad que permite eludir la verificación de firmas HTTP. Aunque esta es una vulnerabilidad relacionada con la federación, afecta a todos los servidores independientemente de si la federación está habilitada o deshabilitada. Esta vulnerabilidad está corregida en 2026.3.1.

Gravedad CVSS v4.0: ALTA

Última modificación:

13/03/2026

Vulnerabilidad en Misskey (CVE-2026-28431)

Fecha de publicación:

10/03/2026

Idioma:

Español

Misskey es una plataforma de redes sociales de código abierto y federada. Todos los servidores Misskey que ejecutan versiones 8.45.0 y posteriores, pero anteriores a la 2026.3.1, contienen una vulnerabilidad que permite a actores maliciosos acceder a datos a los que normalmente no podrían acceder debido a comprobaciones de permisos insuficientes y a una validación de entrada adecuada. Esta vulnerabilidad ocurre independientemente de si la federación está habilitada o no. Esta vulnerabilidad podría conducir a una violación de datos significativa. Esta vulnerabilidad está corregida en la 2026.3.1.

Gravedad CVSS v4.0: CRÍTICA

Última modificación:

13/03/2026

Vulnerabilidad en Ghostty (CVE-2026-26982)

Fecha de publicación:

10/03/2026

Idioma:

Español

Ghostty es un emulador de terminal multiplataforma. Ghostty permite caracteres de control como 0x03 (Ctrl+C) en texto pegado y soltado. Estos pueden usarse para ejecutar comandos arbitrarios en algunos entornos de shell. Este ataque requiere que un atacante convenza al usuario de copiar y pegar o arrastrar y soltar texto malicioso. El ataque requiere interacción del usuario para ser activado, pero los caracteres peligrosos son invisibles en la mayoría de los entornos GUI, por lo que no se detecta trivialmente, especialmente si el contenido de la cadena es complejo. Corregido en Ghostty v1.3.0.

Gravedad CVSS v3.1: MEDIA

Última modificación:

13/03/2026

Vulnerabilidad en Camaleon CMS (CVE-2026-1776)

Fecha de publicación:

10/03/2026

Idioma:

Español

Las versiones 2.4.5.0 a 2.9.0 de Camaleon CMS, anteriores al commit f54a77e, contienen una vulnerabilidad de salto de ruta en la implementación del cargador de AWS S3 que permite a los usuarios autenticados leer archivos arbitrarios del sistema de archivos del servidor web. El problema ocurre en la funcionalidad download_private_file cuando la aplicación está configurada para usar el backend CamaleonCmsAwsUploader. A diferencia de la implementación del cargador local, el cargador de AWS no valida las rutas de archivo con valid_folder_path?, permitiendo que se suministren secuencias de salto de directorio a través del parámetro file. Como resultado, cualquier usuario autenticado, incluidos los usuarios registrados con pocos privilegios, puede acceder a archivos sensibles como /etc /passwd. Este problema representa una omisión de la corrección incompleta para CVE-2024-46987 y afecta a las implementaciones que utilizan el backend de almacenamiento de AWS S3.

Gravedad CVSS v4.0: MEDIA

Última modificación:

17/04/2026

Vulnerabilidad en Budibase (CVE-2026-31816)

Fecha de publicación:

09/03/2026

Idioma:

Español

Budibase es una plataforma de bajo código para crear herramientas internas, flujos de trabajo y paneles de administración. En la versión 3.31.4 y anteriores, el middleware authorized() del servidor de Budibase que protege cada endpoint de API del lado del servidor puede ser completamente eludido al añadir un patrón de ruta de webhook a la cadena de consulta de cualquier solicitud. La función isWebhookEndpoint() utiliza una expresión regular no anclada que se prueba contra ctx.request.url, que en Koa incluye la URL completa con parámetros de consulta. Cuando la expresión regular coincide, el middleware authorized() llama inmediatamente a return next(), omitiendo toda autenticación, autorización, comprobaciones de rol y protección CSRF. Esto significa que un atacante remoto y completamente no autenticado puede acceder a cualquier endpoint de API del lado del servidor simplemente añadiendo ?/webhooks/trigger (o cualquier variante de patrón de webhook) a la URL.

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

13/03/2026

Vulnerabilidad en ingress-nginx (CVE-2026-3288)

Fecha de publicación:

09/03/2026

Idioma:

Español

Se descubrió un problema de seguridad en ingress-nginx donde la anotación Ingress &#39;nginx.ingress.kubernetes.io/rewrite-target&#39; puede usarse para inyectar configuración en nginx. Esto puede llevar a la ejecución de código arbitrario en el contexto del controlador ingress-nginx y a la divulgación de Secrets accesibles para el controlador. (Tenga en cuenta que, en la instalación predeterminada, el controlador puede acceder a todos los Secrets de todo el clúster).

Gravedad CVSS v3.1: ALTA

Última modificación:

06/05/2026

Vulnerabilidad en Budibase (CVE-2026-30240)

Fecha de publicación:

09/03/2026

Idioma:

Español

Budibase es una plataforma de bajo código para crear herramientas internas, flujos de trabajo y paneles de administración. En 3.31.5 y versiones anteriores, una vulnerabilidad de salto de ruta en el endpoint de procesamiento de ZIP de PWA (Progressive Web App) (POST /api/pwa/process-zip) permite a un usuario autenticado con privilegios de constructor leer archivos arbitrarios del sistema de archivos del servidor, incluido /proc/1/environ que contiene todas las variables de entorno — secretos JWT, credenciales de base de datos, claves de cifrado y tokens de API. El servidor lee archivos especificados por el atacante a través de path.join() no saneado con entrada controlada por el usuario desde icons.json dentro del ZIP subido, luego sube el contenido del archivo al almacén de objetos (MinIO/S3) donde pueden ser recuperados a través de URLs firmadas. Esto resulta en un compromiso completo de la plataforma ya que todos los secretos criptográficos y las credenciales de servicio son exfiltrados en una sola solicitud.

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

13/03/2026

Vulnerabilidad en Budibase (CVE-2026-25737)

Fecha de publicación:

09/03/2026

Idioma:

Español

Budibase es una plataforma de bajo código para crear herramientas internas, flujos de trabajo y paneles de administración. En la versión 3.24.0 y anteriores, existe una vulnerabilidad de carga arbitraria de archivos a pesar de que las restricciones de extensión de archivo están configuradas. La restricción se aplica solo a nivel de interfaz de usuario. Un atacante puede eludir estas restricciones y cargar archivos maliciosos.

Gravedad CVSS v3.1: ALTA

Última modificación:

13/03/2026

Vulnerabilidad en Budibase (CVE-2026-25045)

Fecha de publicación:

09/03/2026

Idioma:

Español

Budibase es una plataforma de bajo código para crear herramientas internas, flujos de trabajo y paneles de administración. Este problema es una combinación de escalada de privilegios vertical e IDOR (Referencia Directa Insegura a Objeto) debido a la falta de comprobaciones RBAC del lado del servidor en los endpoints /api/global/users. Un usuario de nivel Creador, que no debería tener permisos para gestionar usuarios o roles organizacionales, puede, en cambio, ascender un Visor de Aplicaciones a Administrador de Inquilinos, degradar un Administrador de Inquilinos a Visor de Aplicaciones, o modificar los detalles de la cuenta del Propietario y todos los pedidos (p. ej., cambiar el nombre). Esto se debe a que la API acepta estas acciones sin validar el rol solicitante, un Creador puede reproducir solicitudes solo para Propietarios utilizando sus propios tokens de sesión. Esto conduce a un compromiso total del inquilino.

Gravedad CVSS v4.0: ALTA

Última modificación:

13/03/2026

Vulnerabilidad en vLLM (CVE-2026-25960)

Fecha de publicación:

09/03/2026

Idioma:

Español

vLLM es un motor de inferencia y servicio para modelos de lenguaje grandes (LLMs). La corrección de protección contra SSRF para CVE-2026-24779 añadida en 0.15.1 puede ser eludida en el método load_from_url_async debido a un comportamiento inconsistente de análisis de URL entre la capa de validación y el cliente HTTP real. La corrección de SSRF utiliza urllib3.util.parse_url() para validar y extraer el nombre de host de las URL proporcionadas por el usuario. Sin embargo, load_from_url_async utiliza aiohttp para realizar las solicitudes HTTP reales, y aiohttp utiliza internamente la biblioteca yarl para el análisis de URL. Esta vulnerabilidad en 0.17.0.

Gravedad CVSS v3.1: ALTA

Última modificación:

18/03/2026

Suscribirse a Vulnerabilidades