Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las últimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las últimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las últimas vulnerabilidades incorporadas al repositorio.

Vulnerabilidad en lxml_html_clean de fedora-python (CVE-2026-28348)

Fecha de publicación:

05/03/2026

Idioma:

Español

lxml_html_clean es un proyecto para funcionalidades de limpieza de HTML copiado de &#39;lxml.html.clean&#39;. Antes de la versión 0.4.4, el método _has_sneaky_javascript() elimina las barras invertidas antes de verificar palabras clave CSS peligrosas. Esto provoca que las secuencias de escape Unicode de CSS omitan los filtros @import y expression(), permitiendo la carga externa de CSS o XSS en navegadores antiguos. Este problema ha sido parcheado en la versión 0.4.4.

Gravedad CVSS v3.1: MEDIA

Última modificación:

09/03/2026

Vulnerabilidad en lxml_html_clean de fedora-python (CVE-2026-28350)

Fecha de publicación:

05/03/2026

Idioma:

Español

lxml_html_clean es un proyecto para funcionalidades de limpieza de HTML copiadas de &#39;lxml.html.clean&#39;. Antes de la versión 0.4.4, la etiqueta pasa a través de la configuración predeterminada de Cleaner. Aunque page_structure=True elimina las etiquetas html, head y title, no hay un manejo específico para , permitiendo a un atacante inyectarla y secuestrar enlaces relativos en la página. Este problema ha sido parcheado en la versión 0.4.4.

Gravedad CVSS v3.1: MEDIA

Última modificación:

09/03/2026

Vulnerabilidad en OliveTin (CVE-2026-28790)

Fecha de publicación:

05/03/2026

Idioma:

Español

OliveTin da acceso a comandos de shell predefinidos desde una interfaz web. Antes de la versión 3000.11.0, OliveTin permite a un invitado no autenticado terminar acciones en ejecución a través de KillAction incluso cuando authRequireGuestsToLogin: true está habilitado. Los invitados son bloqueados correctamente del acceso al panel de control, pero aún pueden llamar al RPC de KillAction directamente y detener con éxito una acción en ejecución. Esto es un problema de control de acceso roto que causa denegación de servicio no autorizada contra ejecuciones de acciones legítimas. Este problema ha sido parcheado en la versión 3000.11.0.

Gravedad CVSS v3.1: ALTA

Última modificación:

10/03/2026

Vulnerabilidad en OliveTin (CVE-2026-28789)

Fecha de publicación:

05/03/2026

Idioma:

Español

OliveTin proporciona acceso a comandos de shell predefinidos desde una interfaz web. Antes de la versión 3000.10.3, existe una vulnerabilidad de denegación de servicio no autenticada en el flujo de inicio de sesión OAuth2 de OliveTin. Las solicitudes concurrentes a /oauth/login pueden desencadenar un acceso no sincronizado a un mapa registeredStates compartido, causando un pánico en tiempo de ejecución de Go (error fatal: escrituras concurrentes en el mapa) y la terminación del proceso. Esto permite a los atacantes remotos bloquear el servicio cuando OAuth2 está habilitado. Este problema ha sido parcheado en la versión 3000.10.3.

Gravedad CVSS v3.1: ALTA

Última modificación:

10/03/2026

Vulnerabilidad en Ckeditor5 (CVE-2026-28343)

Fecha de publicación:

05/03/2026

Idioma:

Español

CKEditor 5 es un editor de texto enriquecido moderno de JavaScript con una arquitectura MVC. Antes de la versión 47.6.0, se ha descubierto una vulnerabilidad de cross-site scripting (XSS) en la función de Soporte HTML General. Esta vulnerabilidad podría activarse mediante la inserción de marcado especialmente diseñado, lo que llevaría a la ejecución no autorizada de código JavaScript, si la instancia del editor utilizaba una configuración insegura de Soporte HTML General. Este problema se ha corregido en la versión 47.6.0.

Gravedad CVSS v3.1: MEDIA

Última modificación:

19/03/2026

Vulnerabilidad en Trivy Vulnerability Scanner (CVE-2026-28353)

Fecha de publicación:

05/03/2026

Idioma:

Español

Trivy Vulnerability Scanner es una extensión de VS Code que ayuda a encontrar vulnerabilidades. En la versión 1.8.12 de la extensión Trivy VSCode, que fue distribuida a través del marketplace OpenVSX, fue comprometida y contenía código malicioso diseñado para aprovechar un agente de codificación de IA local para recopilar y exfiltrar información sensible. Se aconseja a los usuarios que utilizan el artefacto afectado que lo eliminen inmediatamente y roten los secretos del entorno. El artefacto malicioso ha sido eliminado del marketplace. No se han identificado otros artefactos afectados.

Gravedad CVSS v4.0: CRÍTICA

Última modificación:

28/04/2026

Vulnerabilidad en Wagtail (CVE-2026-28223)

Fecha de publicación:

05/03/2026

Idioma:

Español

Wagtail es un sistema de gestión de contenido de código abierto construido sobre Django. Antes de las versiones 6.3.8, 7.0.6, 7.2.3 y 7.3.1, existe una vulnerabilidad de cross-site scripting (XSS) almacenado en los mensajes de confirmación dentro del módulo wagtail.contrib.simple_translation. Un usuario con acceso al área de administración de Wagtail puede crear una página con un título especialmente diseñado que, cuando otro usuario realiza la acción &#39;Translate&#39;, hace que se ejecute código JavaScript arbitrario. Esto podría llevar a realizar acciones con las credenciales de ese usuario. La vulnerabilidad no es explotable por un visitante de sitio ordinario sin acceso al administrador de Wagtail. Este problema ha sido parcheado en las versiones 6.3.8, 7.0.6, 7.2.3 y 7.3.1.

Gravedad CVSS v3.1: MEDIA

Última modificación:

09/03/2026

Vulnerabilidad en Wagtail (CVE-2026-28222)

Fecha de publicación:

05/03/2026

Idioma:

Español

Wagtail es un sistema de gestión de contenido de código abierto construido sobre Django. Antes de las versiones 6.3.8, 7.0.6, 7.2.3 y 7.3.1, existe una vulnerabilidad de cross-site scripting (XSS) almacenado al renderizar bloques TableBlock dentro de un StreamField. Un usuario con acceso para crear o editar páginas que contengan bloques TableBlock de StreamField puede establecer atributos de clase especialmente diseñados en el bloque que ejecutan código JavaScript arbitrario cuando se visualiza la página. Cuando es visualizado por un usuario con privilegios más altos, esto podría llevar a realizar acciones con las credenciales de ese usuario. La vulnerabilidad no es explotable por un visitante de sitio ordinario sin acceso al administrador de Wagtail, y solo afecta a los sitios que utilizan TableBlock. Este problema ha sido parcheado en las versiones 6.3.8, 7.0.6, 7.2.3 y 7.3.1.

Gravedad CVSS v3.1: MEDIA

Última modificación:

09/03/2026

Vulnerabilidad en OliveTin (CVE-2026-28342)

Fecha de publicación:

05/03/2026

Idioma:

Español

OliveTin da acceso a comandos shell predefinidos desde una interfaz web. Antes de la versión 3000.10.2, el endpoint de la API PasswordHash permite a usuarios no autenticados activar una asignación excesiva de memoria enviando solicitudes concurrentes de hash de contraseñas. Al emitir múltiples solicitudes paralelas, un atacante puede agotar la memoria disponible del contenedor, lo que lleva a la degradación del servicio o a una denegación de servicio (DoS) completa. El problema ocurre porque el endpoint realiza operaciones de hashing computacionalmente y de memoria intensivas sin limitación de solicitudes, requisitos de autenticación o límites de recursos. Este problema ha sido parcheado en la versión 3000.10.2.

Gravedad CVSS v3.1: ALTA

Última modificación:

10/03/2026

Vulnerabilidad en LangGraph (CVE-2026-28277)

Fecha de publicación:

05/03/2026

Idioma:

Español

LangGraph SQLite Checkpoint es una implementación de LangGraph CheckpointSaver que utiliza una base de datos SQLite (tanto síncrona como asíncrona, a través de aiosqlite). En la versión 1.0.9 y anteriores, los checkpointers de LangGraph pueden cargar checkpoints codificados en msgpack que reconstruyen objetos Python durante la deserialización. Si un atacante puede modificar los datos del checkpoint en el almacén de respaldo (por ejemplo, después de un compromiso de la base de datos u otro acceso de escritura privilegiado a la capa de persistencia), pueden suministrar potencialmente una carga útil manipulada que desencadene una reconstrucción insegura de objetos cuando se carga el checkpoint. No se conoce ningún parche público.

Gravedad CVSS v3.1: MEDIA

Última modificación:

21/04/2026

Vulnerabilidad en hexpm (CVE-2026-21621)

Fecha de publicación:

05/03/2026

Idioma:

Español

Vulnerabilidad de autorización incorrecta en hexpm hexpm/hexpm (módulo &#39;Elixir.HexpmWeb.API.OAuthController&#39;) permite la escalada de privilegios. Una clave API creada con permisos de solo lectura (dominio: "api", recurso: "read") puede ser escalada a acceso completo de escritura bajo condiciones específicas. Al intercambiar una clave API de solo lectura a través de la concesión OAuth client_credentials, el calificador de recurso es ignorado. El JWT resultante recibe el ámbito amplio "api" en lugar del ámbito esperado "api:read". Este token es, por lo tanto, tratado como si tuviera acceso completo a la API. Si un atacante es capaz de obtener una clave API de solo lectura de una víctima y un código 2FA (TOTP) válido para la cuenta de la víctima, pueden usar el JWT con ámbito incorrecto para crear una nueva clave API de acceso completo con permisos de API ilimitados que no expira por defecto y puede realizar operaciones de escritura como publicar, retirar o modificar paquetes. Esta vulnerabilidad está asociada con los archivos de programa lib/hexpm_web/controllers/api/oauth_controller.ex y las rutinas de programa &#39;Elixir.HexpmWeb.API.OAuthController&#39;:validate_scopes_against_key/2. Este problema afecta a hexpm: desde 71829cb6f6559bcceb1ef4e43a2fb8cdd3af654b antes de 71c127afebb7ed7cc637eb231b98feb802d62999.

Gravedad CVSS v4.0: ALTA

Última modificación:

06/04/2026

Vulnerabilidad en Ubuntu Linux (CVE-2025-13350)

Fecha de publicación:

05/03/2026

Idioma:

Español

Ubuntu Linux 6.8 GA conserva el recolector de basura AF_UNIX heredado pero incorpora el commit upstream 8594d9b85c07 (&#39;af_unix: No llamar a skb_get() para OOB skb&#39;). Cuando los sockets MSG_OOB huérfanos alcanzan unix_gc(), el recolector de basura sigue llamando a kfree_skb() como si los SKB OOB tuvieran dos referencias; en el árbol del kernel de Ubuntu Linux 6.8 (Noble Numbat), solo tienen la referencia de la cola, por lo que el búfer se libera mientras aún es accesible y las subsiguientes recorridos de cola desreferencian memoria liberada, lo que produce una escalada de privilegios local (LPE) fiable causada por un uso después de liberación (UAF). Las compilaciones de Ubuntu que ya han adoptado la nueva pila GC del commit 4090fa373f0e, y los kernels de Linux principales que distribuyen esa infraestructura no se ven afectados porque ya no ejecutan la ruta del recolector heredado. Este problema afecta a Ubuntu Linux desde 6.8.0-56.58 antes de 6.8.0-84.84.

Gravedad CVSS v4.0: ALTA

Última modificación:

09/03/2026

Suscribirse a Vulnerabilidades