Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las últimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las últimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las últimas vulnerabilidades incorporadas al repositorio.

Vulnerabilidad en OpenClaw (CVE-2026-28473)

Fecha de publicación:
05/03/2026
Idioma:
Español
Versiones de OpenClaw anteriores a la 2026.2.2 contienen una vulnerabilidad de omisión de autorización donde los clientes con alcance operator.write pueden aprobar o denegar solicitudes de aprobación de ejecución enviando el comando de chat /approve. La ruta del comando /approve invoca exec.approval.resolve a través de un cliente de pasarela privilegiado interno, omitiendo la verificación de permisos operator.approvals que protege las llamadas RPC directas.
Gravedad CVSS v4.0: ALTA
Última modificación:
11/03/2026

Vulnerabilidad en OpenClaw (CVE-2026-28476)

Fecha de publicación:
05/03/2026
Idioma:
Español
Las versiones de OpenClaw anteriores a 2026.2.14 contienen una vulnerabilidad de falsificación de petición del lado del servidor en la extensión opcional Tlon Urbit que acepta URL base proporcionadas por el usuario para autenticación sin la validación adecuada. Los atacantes que pueden influir en la URL de Urbit configurada pueden inducir a la pasarela a realizar peticiones HTTP a hosts arbitrarios, incluyendo direcciones internas.
Gravedad CVSS v4.0: MEDIA
Última modificación:
21/04/2026

Vulnerabilidad en OpenClaw (CVE-2026-28474)

Fecha de publicación:
05/03/2026
Idioma:
Español
Las versiones del plugin Nextcloud Talk de OpenClaw anteriores a la 2026.2.6 aceptan la coincidencia de igualdad en el campo mutable del nombre de visualización actor.name para la validación de listas de permitidos, lo que permite a los atacantes eludir las listas de permitidos de MD y salas. Un atacante puede cambiar su nombre de visualización de Nextcloud para que coincida con un ID de usuario en la lista de permitidos y obtener acceso no autorizado a conversaciones restringidas.
Gravedad CVSS v4.0: CRÍTICA
Última modificación:
06/05/2026

Vulnerabilidad en OpenClaw (CVE-2026-28469)

Fecha de publicación:
05/03/2026
Idioma:
Español
Versiones de OpenClaw anteriores a 2026.2.14 contienen una vulnerabilidad de enrutamiento de webhook en el componente de monitor de Google Chat que permite el enrutamiento incorrecto del contexto de políticas entre cuentas cuando múltiples destinos de webhook comparten la misma ruta HTTP. Los atacantes pueden exploit la semántica de verificación de solicitudes de primera coincidencia para procesar eventos de webhook entrantes bajo contextos de cuenta incorrectos, eludiendo las listas de permitidos previstas y las políticas de sesión.
Gravedad CVSS v4.0: ALTA
Última modificación:
09/03/2026

Vulnerabilidad en OpenClaw (CVE-2026-28468)

Fecha de publicación:
05/03/2026
Idioma:
Español
Versiones de OpenClaw 2026.1.29-beta.1 anteriores a 2026.2.14 contienen una vulnerabilidad en el servidor puente del navegador sandbox en el que acepta solicitudes sin requerir autenticación de la pasarela, permitiendo a atacantes locales acceder a puntos finales de control del navegador. Un atacante local puede enumerar pestañas, recuperar URLs de WebSocket, ejecutar JavaScript y exfiltrar cookies y datos de sesión de contextos de navegador autenticados.
Gravedad CVSS v4.0: ALTA
Última modificación:
11/03/2026

Vulnerabilidad en OpenClaw (CVE-2026-28471)

Fecha de publicación:
05/03/2026
Idioma:
Español
La versión de OpenClaw 2026.1.14-1 anterior a 2026.2.2, con el plugin de Matrix instalado y habilitado, contiene una vulnerabilidad en la que la coincidencia de la lista de permitidos de DM podría ser eludida mediante la coincidencia exacta con los nombres de visualización del remitente y las partes locales sin validación del homeserver. Los usuarios remotos de Matrix pueden suplantar identidades permitidas utilizando nombres de visualización controlados por el atacante o partes locales coincidentes de diferentes homeservers para alcanzar la tubería de enrutamiento y agente.
Gravedad CVSS v4.0: MEDIA
Última modificación:
11/03/2026

Vulnerabilidad en OpenClaw (CVE-2026-28470)

Fecha de publicación:
05/03/2026
Idioma:
Español
Las versiones de OpenClaw anteriores a 2026.2.2 contienen una vulnerabilidad de omisión de la lista de permitidos (allowlist) de las aprobaciones de ejecución (que deben estar habilitadas) que permite a los atacantes ejecutar comandos arbitrarios inyectando sintaxis de sustitución de comandos. Los atacantes pueden omitir la protección de la lista de permitidos (allowlist) incrustando $() o comillas invertidas sin escapar dentro de cadenas entre comillas dobles para ejecutar comandos no autorizados.
Gravedad CVSS v4.0: CRÍTICA
Última modificación:
25/03/2026

Vulnerabilidad en OpenClaw (CVE-2026-28463)

Fecha de publicación:
05/03/2026
Idioma:
Español
La validación de la lista de permitidos de aprobaciones de ejecución de OpenClaw comprueba los tokens argv pre-expansión, pero la ejecución utiliza la expansión real del shell, permitiendo que binarios seguros como head, tail o grep lean archivos locales arbitrarios a través de patrones glob o variables de entorno. Los llamadores autorizados o los ataques de inyección de prompt pueden exploit esto para divulgar archivos legibles por el proceso de gateway o de nodo cuando la ejecución del host está habilitada en modo de lista de permitidos.
Gravedad CVSS v4.0: ALTA
Última modificación:
08/04/2026

Vulnerabilidad en OpenClaw (CVE-2026-28467)

Fecha de publicación:
05/03/2026
Idioma:
Español
Las versiones de OpenClaw anteriores a la 2026.2.2 contienen una vulnerabilidad de falsificación de petición del lado del servidor en la hidratación de URL de adjuntos y medios que permite a atacantes remotos obtener URL HTTP(S) arbitrarias. Los atacantes que pueden influir en las URL de medios a través de mecanismos de sendAttachment o de respuesta automática controlados por el modelo pueden desencadenar SSRF a recursos internos y exfiltrar los bytes de respuesta obtenidos como adjuntos salientes.
Gravedad CVSS v4.0: MEDIA
Última modificación:
09/03/2026

Vulnerabilidad en OpenClaw (CVE-2026-28466)

Fecha de publicación:
05/03/2026
Idioma:
Español
OpenClaw versiones anteriores a 2026.2.14 contienen una vulnerabilidad en el gateway en la que no logra sanear campos de aprobación internos en los parámetros de node.invoke, permitiendo a clientes autenticados eludir el control de aprobación de ejecución para comandos system.run. Atacantes con credenciales de gateway válidas pueden inyectar campos de control de aprobación para ejecutar comandos arbitrarios en hosts de nodo conectados, comprometiendo potencialmente estaciones de trabajo de desarrolladores y CI runners.
Gravedad CVSS v4.0: CRÍTICA
Última modificación:
09/03/2026

Vulnerabilidad en OpenClaw (CVE-2026-28464)

Fecha de publicación:
05/03/2026
Idioma:
Español
Versiones de OpenClaw anteriores a la 2026.2.12 utilizan una comparación de cadenas de tiempo no constante para la validación de tokens de hook, lo que permite a los atacantes inferir tokens a través de mediciones de tiempo. Atacantes remotos con acceso de red al endpoint de hooks pueden explotar canales laterales de tiempo a través de múltiples solicitudes para determinar gradualmente el token de autenticación.
Gravedad CVSS v4.0: ALTA
Última modificación:
09/03/2026

Vulnerabilidad en voice-call de OpenClaw (CVE-2026-28465)

Fecha de publicación:
05/03/2026
Idioma:
Español
Las versiones del plugin de llamadas de voz de OpenClaw anteriores a la 2026.2.3 contienen una vulnerabilidad de autenticación impropia en la verificación de webhooks que permite a atacantes remotos eludir la verificación al suministrar encabezados reenviados no confiables. Los atacantes pueden falsificar eventos de webhook manipulando los encabezados Forwarded o X-Forwarded-* en configuraciones de proxy inverso que confían implícitamente en estos encabezados.
Gravedad CVSS v4.0: ALTA
Última modificación:
10/03/2026