Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las últimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las últimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las últimas vulnerabilidades incorporadas al repositorio.

Vulnerabilidad en october de octobercms (CVE-2025-61674)

Fecha de publicación:

10/01/2026

Idioma:

Español

October es un Sistema de Gestión de Contenidos (CMS) y una plataforma web. Antes de las versiones 3.7.13 y 4.0.12, una vulnerabilidad de cross-site scripting (XSS) fue identificada en los formularios de configuración del backend de October CMS. Un usuario con el permiso de Configuración Global del Editor podría inyectar HTML/JS malicioso en la entrada de la hoja de estilos en Estilos de Marcado. Una entrada especialmente diseñada podría escapar del contexto

Gravedad CVSS v3.1: MEDIA

Última modificación:

20/01/2026

Vulnerabilidad en october de octobercms (CVE-2025-61676)

Fecha de publicación:

10/01/2026

Idioma:

Español

October es un Sistema de Gestión de Contenidos (CMS) y una plataforma web. Antes de las versiones 3.7.13 y 4.0.12, se identificó una vulnerabilidad de cross-site scripting (XSS) en los formularios de configuración del backend de October CMS. Un usuario con el permiso Customize Backend Styles podría inyectar HTML/JS malicioso en la entrada de la hoja de estilos en Styles desde la configuración de Branding &amp; Appearance. Una entrada especialmente diseñada podría salirse del contexto

Gravedad CVSS v3.1: MEDIA

Última modificación:

20/01/2026

Vulnerabilidad en WooCommerce Square (CVE-2025-13457)

Fecha de publicación:

10/01/2026

Idioma:

Español

El plugin WooCommerce Square para WordPress es vulnerable a Referencia Directa Insegura a Objeto en todas las versiones hasta e incluyendo la 5.1.1 a través de la función get_token_by_id debido a la falta de validación en una clave controlada por el usuario. Esto hace posible que atacantes no autenticados expongan valores &#39;ccof&#39; (tarjeta de crédito archivada) arbitrarios de Square y aprovechen este valor para potencialmente realizar cargos fraudulentos en el sitio objetivo.

Gravedad CVSS v3.1: ALTA

Última modificación:

15/04/2026

Vulnerabilidad en Ghost de TryGhost (CVE-2026-22594)

Fecha de publicación:

10/01/2026

Idioma:

Español

Ghost es un sistema de gestión de contenido Node.js. En las versiones 5.105.0 a 5.130.5 y 6.0.0 a 6.10.3, una vulnerabilidad en el mecanismo de 2FA de Ghost permite a los usuarios del personal omitir el 2FA por correo electrónico. Este problema ha sido parcheado en las versiones 5.130.6 y 6.11.0.

Gravedad CVSS v3.1: ALTA

Última modificación:

15/01/2026

Vulnerabilidad en Ghost de TryGhost (CVE-2026-22595)

Fecha de publicación:

10/01/2026

Idioma:

Español

Ghost es un sistema de gestión de contenido Node.js. En las versiones 5.121.0 a 5.130.5 y 6.0.0 a 6.10.3, una vulnerabilidad en el manejo de Ghost de la autenticación de token de personal permitió que ciertos puntos finales fueran accedidos que solo estaban destinados a ser accesibles a través de la autenticación de sesión de personal. Sistemas externos que han sido autenticados a través de tokens de personal para usuarios con rol de Administrador/Propietario habrían tenido acceso a estos puntos finales. Este problema ha sido parcheado en las versiones 5.130.6 y 6.11.0.

Gravedad CVSS v3.1: ALTA

Última modificación:

15/01/2026

Vulnerabilidad en Ghost de TryGhost (CVE-2026-22596)

Fecha de publicación:

10/01/2026

Idioma:

Español

Ghost es un sistema de gestión de contenido Node.js. En las versiones 5.90.0 a 5.130.5 y 6.0.0 a 6.10.3, una vulnerabilidad en el endpoint /ghost/api/admin/members/events de Ghost permite a los usuarios con credenciales de autenticación para la API de administración ejecutar SQL arbitrario. Este problema ha sido parcheado en las versiones 5.130.6 y 6.11.0.

Gravedad CVSS v3.1: MEDIA

Última modificación:

15/01/2026

Vulnerabilidad en Ghost de TryGhost (CVE-2026-22597)

Fecha de publicación:

10/01/2026

Idioma:

Español

Ghost es un sistema de gestión de contenido Node.js. En las versiones 5.38.0 a 5.130.5 y 6.0.0 a 6.10.3, una vulnerabilidad en el mecanismo de incrustación de medios de Ghost permite a los usuarios del personal en posesión de un token de autenticación válido para la API de administración de Ghost exfiltrar datos de sistemas internos a través de SSRF. Este problema ha sido parcheado en las versiones 5.130.6 y 6.11.0.

Gravedad CVSS v4.0: MEDIA

Última modificación:

29/04/2026

Vulnerabilidad en react-router de remix-run (CVE-2026-22030)

Fecha de publicación:

10/01/2026

Idioma:

Español

React Router es un router para React. En la versión de @remix-run/server-runtime anterior a la 2.17.3. y react-router 7.0.0 hasta la 7.11.0, React Router (o Remix v2) es vulnerable a ataques CSRF en solicitudes POST de documentos a rutas de interfaz de usuario cuando se utilizan manejadores de acciones de ruta del lado del servidor en Modo Framework, o cuando se utilizan Acciones de Servidor de React en los nuevos modos RSC inestables. No hay impacto si se utiliza el Modo Declarativo () o el Modo de Datos (createBrowserRouter/). Este problema ha sido parcheado en la versión 2.17.3 de @remix-run/server-runtime y la versión 7.12.0 de react-router.

Gravedad CVSS v3.1: MEDIA

Última modificación:

05/02/2026

Vulnerabilidad en react-router de remix-run (CVE-2025-59057)

Fecha de publicación:

10/01/2026

Idioma:

Español

React Router es un router para React. En las versiones 1.15.0 a 2.17.0 de @remix-run/react y las versiones 7.0.0 a 7.8.2 de react-router, existe una vulnerabilidad XSS en las APIs meta()/ de React Router en Modo Framework al generar etiquetas script:ld+json, lo que podría permitir la ejecución arbitraria de JavaScript durante el SSR si se utiliza contenido no confiable para generar la etiqueta. No hay impacto si la aplicación se está utilizando en Modo Declarativo () o Modo de Datos (createBrowserRouter/). Este problema ha sido parcheado en la versión 2.17.1 de @remix-run/react y la versión 7.9.0 de react-router.

Gravedad CVSS v3.1: ALTA

Última modificación:

30/01/2026

Vulnerabilidad en react-router de remix-run (CVE-2025-61686)

Fecha de publicación:

10/01/2026

Idioma:

Español

React Router es un router para React. En las versiones de @react-router/node 7.0.0 a 7.9.3, @remix-run/deno anteriores a la versión 2.17.2, y @remix-run/node anteriores a la versión 2.17.2, si se utiliza createFileSessionStorage() de @react-router/node (o @remix-run/node/@remix-run/deno en Remix v2) con una cookie sin firmar, es posible que un atacante haga que la sesión intente leer/escribir desde una ubicación fuera del directorio de archivos de sesión especificado. El éxito del ataque dependería de los permisos del proceso del servidor web para acceder a esos archivos. Los archivos leídos no pueden ser devueltos directamente al atacante. Las lecturas de archivos de sesión solo tendrían éxito si el archivo coincidiera con el formato de archivo de sesión esperado. Si el archivo coincidiera con el formato de archivo de sesión, los datos se poblarían en la sesión del lado del servidor pero no se devolverían directamente al atacante a menos que la lógica de la aplicación devolviera información específica de la sesión. Este problema ha sido parcheado en la versión 7.9.4 de @react-router/node, la versión 2.17.2 de @remix-run/deno y la versión 2.17.2 de @remix-run/node.

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

04/02/2026

Vulnerabilidad en react-router de remix-run (CVE-2025-68470)

Fecha de publicación:

10/01/2026

Idioma:

Español

React Router es un router para React. En las versiones 6.0.0 a 6.30.1 y 7.0.0 a 7.9.5, una ruta proporcionada por un atacante puede ser diseñada de modo que cuando una aplicación de React Router navega a ella a través de navigate(), , o redirect(), la aplicación realiza una navegación/redirección a una URL externa. Esto es solo un problema si está pasando contenido no confiable a rutas de navegación en el código de su aplicación. Este problema ha sido parcheado en las versiones 6.30.2 y 7.9.6.

Gravedad CVSS v3.1: MEDIA

Última modificación:

30/01/2026

Vulnerabilidad en react-router de remix-run (CVE-2026-22029)

Fecha de publicación:

10/01/2026

Idioma:

Español

React Router es un router para React. En las versiones de @remix-run/router anteriores a la 1.23.2 y de react-router de la 7.0.0 a la 7.11.0, las redirecciones de navegación abierta de SPA de React Router (y Remix v1/v2) que se originan en cargadores o acciones en el Modo Framework, Modo Datos, o los modos RSC inestables pueden resultar en URLs inseguras que causan la ejecución no intencionada de javascript en el cliente. Esto es solo un problema si se están creando rutas de redirección a partir de contenido no confiable o a través de una redirección abierta. No hay impacto si se está utilizando el Modo Declarativo (). Este problema ha sido parcheado en la versión 1.23.2 de @remix-run/router y la versión 7.12.0 de react-router.

Gravedad CVSS v3.1: ALTA

Última modificación:

10/02/2026

Suscribirse a Vulnerabilidades