Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las últimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las últimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las últimas vulnerabilidades incorporadas al repositorio.

Vulnerabilidad en changedetection.io de dgtlmoon (CVE-2026-29039)

Fecha de publicación:
06/03/2026
Idioma:
Español
changedetection.io es una herramienta gratuita de código abierto para la detección de cambios en páginas web. Antes de la versión 0.54.4, la aplicación changedetection.io permite a los usuarios especificar expresiones XPath como filtros de contenido a través del campo include_filters. Estas expresiones XPath se procesan utilizando la librería elementpath que implementa la especificación XPath 3.0/3.1. XPath 3.0 incluye la función unparsed-text() que puede leer archivos arbitrarios del sistema de archivos. La aplicación no valida ni sanea las expresiones XPath para bloquear funciones peligrosas, permitiendo a un atacante leer cualquier archivo accesible al proceso de la aplicación. Este problema ha sido parcheado en la versión 0.54.4.
Gravedad CVSS v4.0: ALTA
Última modificación:
10/03/2026

Vulnerabilidad en changedetection.io de dgtlmoon (CVE-2026-29038)

Fecha de publicación:
06/03/2026
Idioma:
Español
changedetection.io es una herramienta gratuita de código abierto para la detección de cambios en páginas web. Antes de la versión 0.54.4, existe una vulnerabilidad de cross-site scripting (XSS) reflejado identificada en el endpoint /rss/tag/ de changedetection.io. El parámetro de ruta tag_uuid se refleja directamente en el cuerpo de la respuesta HTTP sin escape HTML. Dado que Flask devuelve text/html por defecto para respuestas de cadena de texto plano, el navegador analiza y ejecuta JavaScript inyectado. Este problema ha sido parcheado en la versión 0.54.4.
Gravedad CVSS v3.1: MEDIA
Última modificación:
10/03/2026

Vulnerabilidad en pypdf de py-pdf (CVE-2026-28804)

Fecha de publicación:
06/03/2026
Idioma:
Español
pypdf es una librería PDF de Python puro, gratuita y de código abierto. Antes de la versión 6.7.5, un atacante que utiliza esta vulnerabilidad puede crear un PDF que provoca tiempos de ejecución prolongados. Esto requiere acceder a un flujo que utiliza el filtro /ASCIIHexDecode. Este problema ha sido parcheado en la versión 6.7.5.
Gravedad CVSS v4.0: MEDIA
Última modificación:
10/03/2026

Vulnerabilidad en Authlib (CVE-2026-28802)

Fecha de publicación:
06/03/2026
Idioma:
Español
Authlib es una librería de Python que construye servidores OAuth y OpenID Connect. Desde la versión 1.6.5 hasta antes de la versión 1.6.7, pruebas anteriores que implicaban pasar un JWT malicioso que contenía alg: none y una firma vacía estaban pasando el paso de verificación de firma sin ningún cambio en el código de la aplicación cuando se esperaba un fallo. Este problema ha sido parcheado en la versión 1.6.7.
Gravedad CVSS v4.0: ALTA
Última modificación:
09/03/2026

Vulnerabilidad en HumHub (CVE-2026-29048)

Fecha de publicación:
06/03/2026
Idioma:
Español
HumHub es una Red Social Empresarial de Código Abierto. En la versión 1.18.0, se identificó una vulnerabilidad de cross-site scripting en el componente Button de la versión 1.18.0. Debido a una codificación de salida inconsistente en varios puntos dentro del software, se podrían inyectar y ejecutar scripts maliciosos en el contexto del navegador del usuario. Este problema ha sido parcheado en la versión 1.18.1.
Gravedad CVSS v4.0: MEDIA
Última modificación:
09/03/2026

Vulnerabilidad en NatroMacro de NatroTeam (CVE-2026-28801)

Fecha de publicación:
06/03/2026
Idioma:
Español
Natro Macro es un macro de código abierto para Bee Swarm Simulator escrito en AutoHotkey. Antes de la versión 1.1.0, cualquier código ahk contenido dentro de un archivo de patrón o ruta es ejecutado por el macro. Dado que los usuarios suelen compartir archivos de ruta/patrón, un atacante podría compartir un archivo que contiene código malicioso, el cual es luego ejecutado por el programa. Este código puede operar en silencio junto con el patrón, ejecutándose en segundo plano para hacer lo que el atacante desee. Este problema ha sido parcheado en la versión 1.1.0.
Gravedad CVSS v3.1: MEDIA
Última modificación:
10/03/2026

Vulnerabilidad en NatroMacro de NatroTeam (CVE-2026-28800)

Fecha de publicación:
06/03/2026
Idioma:
Español
Natro Macro es un macro de código abierto para Bee Swarm Simulator escrito en AutoHotkey. Antes de la versión 1.1.0, cualquier persona que tuviera Discord Remote Control configurado en un canal no privado otorgaba acceso a cualquier usuario con permiso para enviar mensajes en dicho canal para hacer cualquier cosa en su ordenador. Esto incluye entradas de teclado y ratón y acceso completo a los archivos. Este problema ha sido parcheado en la versión 1.1.0.
Gravedad CVSS v3.1: MEDIA
Última modificación:
10/03/2026

Vulnerabilidad en pjproject de pjsip (CVE-2026-28799)

Fecha de publicación:
06/03/2026
Idioma:
Español
PJSIP es una librería de comunicación multimedia gratuita y de código abierto escrita en C. Antes de la versión 2.17, existe una vulnerabilidad de uso después de liberación de heap en el framework de suscripción de eventos de PJSIP (evsub.c) que se activa durante la anulación de suscripción de presencia (SUBSCRIBE con Expires=0). Este problema ha sido parcheado en la versión 2.17.
Gravedad CVSS v4.0: ALTA
Última modificación:
10/03/2026

Vulnerabilidad en openchatbi de zhongyu09 (CVE-2026-28795)

Fecha de publicación:
06/03/2026
Idioma:
Español
OpenChatBI es una herramienta de BI inteligente basada en chat, impulsada por grandes modelos de lenguaje, diseñada para ayudar a los usuarios a consultar, analizar y visualizar datos a través de conversaciones en lenguaje natural. Antes de la versión 0.2.2, la herramienta save_report en openchatbi/tool/save_report.py sufre de una crítica vulnerabilidad de salto de ruta debido a una sanitización insuficiente de la entrada del parámetro file_format. Este problema ha sido parcheado en la versión 0.2.2.
Gravedad CVSS v4.0: ALTA
Última modificación:
10/03/2026

Vulnerabilidad en cocoindex de cocoindex-io (CVE-2026-28438)

Fecha de publicación:
06/03/2026
Idioma:
Español
CocoIndex es un framework de transformación de datos para IA. Antes de la versión 0.3.34, el conector de destino de Doris no verificaba el nombre de tabla configurado antes de crear algunas sentencias SQL (ALTER TABLE). Así, en el código de la aplicación, si el nombre de la tabla es proporcionado por una fuente no confiable, expone una vulnerabilidad a la inyección SQL cuando el esquema de destino cambia. Este problema ha sido parcheado en la versión 0.3.34.
Gravedad CVSS v4.0: MEDIA
Última modificación:
10/03/2026

Vulnerabilidad en WP eCommerce de Unknown (CVE-2026-1128)

Fecha de publicación:
06/03/2026
Idioma:
Español
El plugin de WordPress WP eCommerce hasta la versión 3.15.1 no cuenta con una comprobación CSRF al eliminar cupones, lo que podría permitir a los atacantes forzar a un administrador con sesión iniciada a eliminarlos mediante un ataque CSRF.
Gravedad CVSS v3.1: MEDIA
Última modificación:
15/04/2026

Vulnerabilidad en PowerPack for LearnDash de Unknown (CVE-2026-2446)

Fecha de publicación:
06/03/2026
Idioma:
Español
El plugin de WordPress PowerPack para LearnDash anterior a la versión 1.3.0 no tiene comprobaciones de autorización y CRSF en una acción AJAX, lo que permite a usuarios no autenticados actualizar opciones arbitrarias de WordPress (como default_role, etc.) y crear usuarios administradores arbitrarios.
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
15/04/2026