Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las últimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las últimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las últimas vulnerabilidades incorporadas al repositorio.

Vulnerabilidad en D-Link (CVE-2025-71057)

Fecha de publicación:
26/02/2026
Idioma:
Español
Gestión de sesión inadecuada en el D-Link Wireless N 300 ADSL2+ Modem Router DSL-124 ME_1.00 permite a los atacantes ejecutar un ataque de secuestro de sesión mediante la suplantación de la dirección IP de un usuario autenticado.
Gravedad CVSS v3.1: ALTA
Última modificación:
15/04/2026

Vulnerabilidad en PuneethReddyHC Event (CVE-2025-56605)

Fecha de publicación:
26/02/2026
Idioma:
Español
Existe una vulnerabilidad de cross-site scripting (XSS) reflejado en el script de backend register.php de PuneethReddyHC Event Management System 1.0. El parámetro POST mobile no se valida correctamente y se devuelve en la respuesta HTTP sin sanitización, permitiendo a un atacante inyectar y ejecutar código JavaScript arbitrario en el navegador de la víctima.
Gravedad CVSS v3.1: MEDIA
Última modificación:
15/04/2026

Vulnerabilidad en clase LanguageModel de Flair (CVE-2026-3071)

Fecha de publicación:
26/02/2026
Idioma:
Español
Deserialización de datos no confiables en la clase LanguageModel de Flair desde las versiones 0.4.1 hasta las más recientes son vulnerables a ejecución de código arbitrario al cargar un modelo malicioso.
Gravedad CVSS v3.1: ALTA
Última modificación:
15/04/2026

Vulnerabilidad en Vertex AI Workbench (CVE-2026-2244)

Fecha de publicación:
26/02/2026
Idioma:
Español
Una vulnerabilidad en Google Cloud Vertex AI Workbench desde el 21/7/2025 hasta el 30/1/2026 permite a un atacante exfiltrar tokens de acceso válidos de Google Cloud de otros usuarios mediante el abuso de un script de inicio incorporado.<br /> <br /> Todas las instancias posteriores al 30 de enero de 2026 han sido parcheadas para protegerse de esta vulnerabilidad. No se requiere ninguna acción del usuario para esto.
Gravedad CVSS v4.0: ALTA
Última modificación:
15/04/2026

Vulnerabilidad en Discourse (CVE-2026-26077)

Fecha de publicación:
26/02/2026
Idioma:
Español
Discourse es una plataforma de discusión de código abierto. Antes de las versiones 2025.12.2, 2026.1.1 y 2026.2.0, varios puntos finales de webhook (SendGrid, Mailjet, Mandrill, Postmark, SparkPost) en el &amp;#39;WebhooksController&amp;#39; aceptaban solicitudes sin un token de autenticación válido cuando no se había configurado ningún token. Esto permitía a atacantes no autenticados falsificar cargas útiles de webhook e inflar artificialmente las puntuaciones de rebote de los usuarios, lo que podría provocar la desactivación de correos electrónicos legítimos de usuarios. El punto final de Mailpace no tenía ninguna validación de token. A partir de las versiones 2025.12.2, 2026.1.1 y 2026.2.0, todos los puntos finales de webhook rechazan las solicitudes con una respuesta 406 cuando no hay un token de autenticación configurado. Como solución alternativa, asegúrese de que los tokens de autenticación de webhook estén configurados para todas las integraciones de proveedores de correo electrónico en la configuración del sitio (p. ej., &amp;#39;sendgrid_verification_key&amp;#39;, &amp;#39;mailjet_webhook_token&amp;#39;, &amp;#39;postmark_webhook_token&amp;#39;, &amp;#39;sparkpost_webhook_token&amp;#39;). No hay una solución alternativa actual para Mailpace antes de obtener esta corrección.
Gravedad CVSS v3.1: MEDIA
Última modificación:
02/03/2026

Vulnerabilidad en A3factura (CVE-2026-2680)

Fecha de publicación:
26/02/2026
Idioma:
Español
Cross-Site Scripting (XSS) Reflejado en la plataforma web A3factura, en el parámetro &amp;#39;customerVATNumber&amp;#39;, en el endpoint &amp;#39;a3factura-app.wolterskluwer.es/#/incomes/salesDeliveryNotes&amp;#39;, lo que podría permitir a un atacante ejecutar código arbitrario en el navegador de la víctima.
Gravedad CVSS v4.0: MEDIA
Última modificación:
02/03/2026

Vulnerabilidad en A3factura (CVE-2026-2679)

Fecha de publicación:
26/02/2026
Idioma:
Español
Cross-Site Scripting Reflejado (XSS) en la plataforma web A3factura, en el parámetro &amp;#39;customerName&amp;#39;, en el endpoint &amp;#39;a3factura-app.wolterskluwer.es/#/incomes/salesInvoices&amp;#39;, lo que podría permitir a un atacante ejecutar código arbitrario en el navegador de la víctima.
Gravedad CVSS v4.0: MEDIA
Última modificación:
02/03/2026

Vulnerabilidad en A3factura (CVE-2026-2678)

Fecha de publicación:
26/02/2026
Idioma:
Español
Cross-Site Scripting Reflejado (XSS) en la plataforma web A3factura, en el parámetro &amp;#39;name&amp;#39;, parámetro &amp;#39;name&amp;#39;, en el endpoint &amp;#39;a3factura-app.wolterskluwer.es/#/incomes/customers&amp;#39;, lo que podría permitir a un atacante ejecutar código arbitrario en el navegador de la víctima.
Gravedad CVSS v4.0: MEDIA
Última modificación:
02/03/2026

Vulnerabilidad en A3factura (CVE-2026-2677)

Fecha de publicación:
26/02/2026
Idioma:
Español
Cross-Site Scripting Reflejado (XSS) en la plataforma web A3factura, en el parámetro &amp;#39;name&amp;#39;, en el endpoint &amp;#39;a3factura-app.wolterskluwer.es/#/incomes/representatives-management&amp;#39;, lo que podría permitir a un atacante ejecutar código arbitrario en el navegador de la víctima.
Gravedad CVSS v4.0: MEDIA
Última modificación:
02/03/2026

Vulnerabilidad en E-Commerce Product (CVE-2025-14343)

Fecha de publicación:
26/02/2026
Idioma:
Español
Neutralización Incorrecta de Entrada Durante la Generación de Páginas Web (XSS o &amp;#39;cross-site scripting&amp;#39;) vulnerabilidad en el Producto de Comercio Electrónico de Dokuzsoft Technology Ltd. permite XSS Reflejado. Este problema afecta al Producto de Comercio Electrónico: hasta el 10122025.
Gravedad CVSS v3.1: ALTA
Última modificación:
15/04/2026

Vulnerabilidad en Simple.ERP (CVE-2026-1198)

Fecha de publicación:
26/02/2026
Idioma:
Español
SIMPLE.ERP es vulnerable a la inyección SQL en la funcionalidad de búsqueda en la ventana &amp;#39;Obroty na kontach&amp;#39;. La falta de validación de entrada permite a un atacante autenticado preparar una consulta maliciosa a la base de datos que será ejecutada.<br /> Este problema fue solucionado en 6.30@A04.4_u06.
Gravedad CVSS v4.0: ALTA
Última modificación:
15/04/2026

Vulnerabilidad en Checkmk (CVE-2025-64999)

Fecha de publicación:
26/02/2026
Idioma:
Español
La neutralización incorrecta de la entrada en las versiones de Checkmk 2.4.0 anteriores a la 2.4.0p22, y 2.3.0 anteriores a la 2.3.0p43 permite a un atacante que puede manipular la salida de verificación de un host inyectar JavaScript malicioso en los registros HTML de Monitoreo Sintético, a los que se puede acceder posteriormente a través de un enlace de phishing manipulado.
Gravedad CVSS v4.0: ALTA
Última modificación:
05/03/2026