Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las últimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las últimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las últimas vulnerabilidades incorporadas al repositorio.

Vulnerabilidad en sliver de BishopFox (CVE-2026-29781)

Fecha de publicación:

07/03/2026

Idioma:

Español

Sliver es un framework de comando y control que utiliza una pila de red Wireguard personalizada. En versiones desde la 1.7.3 y anteriores, existe una vulnerabilidad en la lógica de desmarshalling de Protobuf del servidor C2 de Sliver debido a una falta sistémica de validación de punteros nulos. Al extraer credenciales de implante válidas y omitir campos anidados en un mensaje firmado, un actor autenticado puede desencadenar un pánico en tiempo de ejecución no manejado. Debido a que las capas de transporte mTLS, WireGuard y DNS carecen del middleware de recuperación de pánico presente en el transporte HTTP, esto resulta en una terminación global del proceso. Si bien requiere acceso post-autenticación (un implante capturado), este fallo actúa efectivamente como un &#39;kill-switch&#39; de infraestructura, interrumpiendo instantáneamente todas las sesiones activas en toda la flota y requiriendo un reinicio manual del servidor para restaurar las operaciones. En el momento de la publicación, no hay parches disponibles públicamente.

Gravedad CVSS v4.0: BAJA

Última modificación:

29/04/2026

Vulnerabilidad en cpp-httplib de yhirose (CVE-2026-29076)

Fecha de publicación:

07/03/2026

Idioma:

Español

cpp-httplib es una biblioteca HTTP/HTTPS C++11 de un solo archivo, solo de encabezado y multiplataforma. Antes de la versión 0.37.0, cpp-httplib utiliza std::regex (libstdc++) para analizar valores filename* codificados según RFC 5987 en encabezados Content-Disposition multipart. El motor de expresiones regulares en libstdc++ implementa retroceso mediante recursión profunda, consumiendo un marco de pila por cada carácter de entrada. Un atacante puede enviar una única solicitud HTTP POST con un parámetro filename* manipulado que causa un crecimiento descontrolado de la pila, resultando en un desbordamiento de pila (SIGSEGV) que bloquea el proceso del servidor. Este problema ha sido parcheado en la versión 0.37.0.

Gravedad CVSS v3.1: MEDIA

Última modificación:

09/03/2026

Vulnerabilidad en netmaker de gravitl (CVE-2026-29194)

Fecha de publicación:

07/03/2026

Idioma:

Español

Netmaker crea redes con WireGuard. Antes de la versión 1.5.0, el middleware Authorize en Netmaker valida incorrectamente los tokens JWT de host. Cuando una ruta permite la autenticación de host (hostAllowed=true), un token de host válido omite todas las comprobaciones de autorización posteriores sin verificar que el host está autorizado para acceder al recurso específico solicitado. Cualquier entidad que posea conocimiento de identificadores de objeto (IDs de nodo, IDs de host) puede elaborar una solicitud con un token de host válido arbitrario para acceder, modificar o eliminar recursos pertenecientes a otros hosts. Los endpoints afectados incluyen la recuperación de información de nodo, la eliminación de host, la transmisión de señal MQTT, las actualizaciones de host de respaldo y las operaciones de conmutación por error. Este problema ha sido parcheado en la versión 1.5.0.

Gravedad CVSS v4.0: ALTA

Última modificación:

11/03/2026

Vulnerabilidad en karapace de Aiven-Open (CVE-2026-29190)

Fecha de publicación:

07/03/2026

Idioma:

Español

Karapace es una implementación de código abierto de Kafka REST y Schema Registry. Antes de la versión 6.0.0, existe una vulnerabilidad de salto de ruta en el lector de copias de seguridad (backup/backends/v3/backend.py). Si se proporciona un archivo de copia de seguridad malicioso a Karapace, un atacante puede explotar una validación de ruta insuficiente para realizar una lectura arbitraria de archivos en el sistema donde se ejecuta Karapace. El problema afecta a las implementaciones que utilizan la funcionalidad de copia de seguridad/restauración y procesan copias de seguridad de fuentes no confiables. El impacto depende de los permisos del sistema de archivos del proceso de Karapace. Este problema ha sido parcheado en la versión 6.0.0.

Gravedad CVSS v3.1: MEDIA

Última modificación:

11/03/2026

Vulnerabilidad en DSA-with-tsx de toxicbishop (CVE-2026-28678)

Fecha de publicación:

07/03/2026

Idioma:

Español

DSA Study Hub es una aplicación web educativa interactiva. Antes del commit d527fba, el sistema de autenticación de usuarios en server/routes/auth.js se encontró que era vulnerable a Credenciales Insuficientemente Protegidas. Los tokens de autenticación (JWTs) se almacenaban en cookies HTTP sin protección criptográfica de la carga útil. Este problema ha sido parcheado mediante el commit d527fba.

Gravedad CVSS v3.1: ALTA

Última modificación:

11/03/2026

Vulnerabilidad en UptimeFlare de lyc8503 (CVE-2026-29779)

Fecha de publicación:

07/03/2026

Idioma:

Español

UptimeFlare es una solución sin servidor de monitoreo de tiempo de actividad y página de estado, impulsada por Cloudflare Workers. Antes del commit 377a596, el archivo de configuración uptime.config.ts exportaba tanto pageConfig (seguro para uso del cliente) como workerConfig (solo para servidor, contiene datos sensibles) desde el mismo módulo. Debido a que pages/incidents.tsx importaba y usaba workerConfig directamente dentro del código del componente del lado del cliente, el objeto workerConfig completo se incluyó en el paquete JavaScript del lado del cliente servido a todos los visitantes. Este problema ha sido parcheado mediante el commit 377a596.

Gravedad CVSS v3.1: ALTA

Última modificación:

11/03/2026

Vulnerabilidad en pyload (CVE-2026-29778)

Fecha de publicación:

07/03/2026

Idioma:

Español

pyLoad es un gestor de descargas gratuito y de código abierto escrito en Python. Desde la versión 0.5.0b3.dev13 hasta la 0.5.0b3.dev96, la función edit_package() implementa una sanitización insuficiente para el parámetro pack_folder. La protección actual se basa en un reemplazo de cadena de una sola pasada de &#39;../&#39;, que puede ser eludido utilizando secuencias de recorrido recursivo manipuladas. Este problema ha sido parcheado en la versión 0.5.0b3.dev97.

Gravedad CVSS v3.1: ALTA

Última modificación:

11/03/2026

Vulnerabilidad en netmaker de gravitl (CVE-2026-29771)

Fecha de publicación:

07/03/2026

Idioma:

Español

Netmaker crea redes con WireGuard. Antes de la versión 1.2.0, el endpoint /API/servidor/shutdown permite la terminación del proceso del servidor Netmaker a través de syscall.SIGINT. Esto permite a cualquier usuario apagar repetidamente el servidor, causando una denegación de servicio cíclica con intervalos de reinicio de aproximadamente 3 segundos. Este problema ha sido parcheado en la versión 1.2.0.

Gravedad CVSS v4.0: ALTA

Última modificación:

18/05/2026

Vulnerabilidad en xlnt de xlnt-community (CVE-2026-3663)

Fecha de publicación:

07/03/2026

Idioma:

Español

Se encontró una vulnerabilidad en xlnt-community xlnt hasta la versión 1.6.1. Este problema afecta a la función xlnt::detail::compound_document_istreambuf::xsgetn del archivo source/detail/cryptography/compound_document.cpp del componente XLSX File Parser. Realizar una manipulación resulta en una lectura fuera de límites. El ataque solo es posible con acceso local. El exploit se ha hecho público y podría ser utilizado. El parche se llama 147. Se recomienda aplicar un parche para solucionar este problema.

Gravedad CVSS v4.0: BAJA

Última modificación:

29/04/2026

Vulnerabilidad en xlnt de xlnt-community (CVE-2026-3664)

Fecha de publicación:

07/03/2026

Idioma:

Español

Se determinó una vulnerabilidad en xlnt-community xlnt hasta 1.6.1. La función xlnt::detail::compound_document::read_directory del archivo source/detail/cryptography/compound_document.cpp del componente Encrypted XLSX File Parser se ve afectada. La ejecución de una manipulación puede llevar a una lectura fuera de límites. El ataque está restringido a la ejecución local. El exploit ha sido divulgado públicamente y puede ser utilizado. Este parche se llama 147. Se aconseja aplicar un parche para resolver este problema.

Gravedad CVSS v4.0: BAJA

Última modificación:

29/04/2026

Vulnerabilidad en zitadel (CVE-2026-29193)

Fecha de publicación:

07/03/2026

Idioma:

Español

ZITADEL es una plataforma de gestión de identidades de código abierto. Desde la versión 4.0.0 hasta la 4.12.0, una vulnerabilidad en la interfaz de usuario (UI) de inicio de sesión V2 de Zitadel permitía a los usuarios eludir el comportamiento de inicio de sesión y las políticas de seguridad, y autorregistrarse para nuevas cuentas o iniciar sesión con contraseña incluso si las opciones correspondientes estaban deshabilitadas en su organización. Este problema ha sido parcheado en la versión 4.12.1.

Gravedad CVSS v3.1: ALTA

Última modificación:

10/03/2026

Vulnerabilidad en zitadel (CVE-2026-29192)

Fecha de publicación:

07/03/2026

Idioma:

Español

ZITADEL es una plataforma de gestión de identidades de código abierto. Desde la versión 4.0.0 hasta la 4.11.1, se descubrió una vulnerabilidad en la interfaz de inicio de sesión V2 de Zitadel que permitía una posible toma de control de cuenta a través de la redirección de URI predeterminada. Este problema ha sido parcheado en la versión 4.12.0.

Gravedad CVSS v3.1: ALTA

Última modificación:

10/03/2026

Suscribirse a Vulnerabilidades