Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las últimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las últimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las últimas vulnerabilidades incorporadas al repositorio.

Vulnerabilidad en Termix de Termix-SSH (CVE-2026-22804)

Fecha de publicación:

12/01/2026

Idioma:

Español

Termix es una plataforma de gestión de servidores basada en web con capacidades de terminal SSH, tunelización y edición de archivos. Desde la versión 1.7.0 hasta la 1.9.0, existe una vulnerabilidad de cross-site scripting (XSS) almacenado en el componente Termix File Manager. La aplicación no logra sanear el contenido de archivos SVG antes de renderizarlo. Esto permite a un atacante que ha comprometido un servidor SSH gestionado plantar un archivo malicioso, el cual, al ser previsualizado por el usuario de Termix, ejecuta JavaScript arbitrario en el contexto de la aplicación. La vulnerabilidad se encuentra en src/ui/desktop/apps/file-manager/components/FileViewer.tsx. Esta vulnerabilidad se corrigió en la versión 1.10.0.

Gravedad CVSS v3.1: ALTA

Última modificación:

16/01/2026

Vulnerabilidad en opencode de anomalyco (CVE-2026-22812)

Fecha de publicación:

12/01/2026

Idioma:

Español

OpenCode es un agente de codificación de IA de código abierto. Antes de la 1.0.216, OpenCode inicia automáticamente un servidor HTTP no autenticado que permite a cualquier proceso local (o a cualquier sitio web a través de CORS permisivo) ejecutar comandos de shell arbitrarios con los privilegios del usuario. Esta vulnerabilidad está corregida en la 1.0.216.

Gravedad CVSS v3.1: ALTA

Última modificación:

21/01/2026

Vulnerabilidad en opencode de anomalyco (CVE-2026-22813)

Fecha de publicación:

12/01/2026

Idioma:

Español

OpenCode es un agente de codificación de IA de código abierto. El renderizador de markdown utilizado para las respuestas del LLM insertará HTML arbitrario en el DOM. No hay sanitización con DOMPurify ni siquiera una CSP en la interfaz web para evitar la ejecución de JavaScript a través de la inyección de HTML. Esto significa que controlar la respuesta del LLM para una sesión de chat obtiene la ejecución de JavaScript en el origen http://localhost:4096. Esta vulnerabilidad está corregida en 1.1.10.

Gravedad CVSS v4.0: CRÍTICA

Última modificación:

21/01/2026

Vulnerabilidad en RIOT OS de RIOT (CVE-2026-22213)

Fecha de publicación:

12/01/2026

Idioma:

Español

Las versiones de RIOT OS hasta e incluyendo 2026.01-devel-317 contienen una vulnerabilidad de desbordamiento de búfer basado en pila en la utilidad tapslip6. La vulnerabilidad es causada por una concatenación de cadenas insegura en la función devopen(), que construye una ruta de dispositivo utilizando una entrada controlada por el usuario sin límites. La utilidad utiliza strcpy() y strcat() para concatenar el prefijo fijo &#39;/dev/&#39; con un nombre de dispositivo proporcionado por el usuario, suministrado a través de la opción de línea de comandos -s, sin verificación de límites. Esto permite a un atacante suministrar un nombre de dispositivo excesivamente largo y desbordar un búfer de pila de tamaño fijo, lo que lleva a fallos del proceso y corrupción de memoria.

Gravedad CVSS v4.0: BAJA

Última modificación:

21/01/2026

Vulnerabilidad en RIOT OS de RIOT (CVE-2026-22214)

Fecha de publicación:

12/01/2026

Idioma:

Español

Las versiones de RIOT OS hasta e incluyendo 2026.01-devel-317 contienen una vulnerabilidad de desbordamiento de búfer basado en pila en la utilidad ethos debido a la falta de verificación de límites al procesar datos de trama serie entrantes. La vulnerabilidad ocurre en la función _handle_char(), donde los bytes de trama entrantes se añaden a un búfer de pila de tamaño fijo sin verificar que el índice de escritura actual permanezca dentro de los límites. Un atacante capaz de enviar entrada serie o enmarcada en TCP manipulada puede hacer que el índice de escritura actual exceda el tamaño del búfer, lo que resulta en una escritura más allá del final del búfer de pila. Esta condición lleva a corrupción de memoria y a un fallo de la aplicación.

Gravedad CVSS v4.0: MEDIA

Última modificación:

21/01/2026

Vulnerabilidad en libpng de pnggroup (CVE-2026-22695)

Fecha de publicación:

12/01/2026

Idioma:

Español

LIBPNG es una biblioteca de referencia para su uso en aplicaciones que leen, crean y manipulan archivos de imagen ráster PNG (Portable Network Graphics). Desde 1.6.51 hasta 1.6.53, existe una lectura excesiva de búfer de pila en la función API simplificada de libpng png_image_finish_read al procesar PNGs entrelazados de 16 bits con formato de salida de 8 bits y un paso de fila no mínimo. Esto es una regresión introducida por la corrección para CVE-2025-65018. Esta vulnerabilidad está corregida en 1.6.54.

Gravedad CVSS v3.1: MEDIA

Última modificación:

21/01/2026

Vulnerabilidad en PILOS de THM-Health (CVE-2026-22800)

Fecha de publicación:

12/01/2026

Idioma:

Español

PILOS (Plataforma para Seminarios Interactivos en Vivo en Línea) es un frontend para BigBlueButton. Antes de la versión 4.10.0, existe una vulnerabilidad de falsificación de petición en sitios cruzados (CSRF) en un endpoint de API administrativo responsable de terminar todas las videoconferencias activas en un único servidor. El endpoint afectado realiza una acción destructiva pero está expuesto a través de una petición HTTP GET. Aunque se aplican comprobaciones de autorización adecuadas y el endpoint no puede ser activado de forma cruzada, el uso de GET permite que la acción sea invocada implícitamente a través de contenido del mismo sitio (por ejemplo, recursos incrustados renderizados dentro de la aplicación). Como resultado, un administrador autenticado que visualice contenido malicioso dentro de la aplicación podría activar el endpoint sin saberlo, provocando que todas las videoconferencias activas en el servidor sean terminadas sin intención explícita o confirmación. Esta vulnerabilidad está corregida en la versión 4.10.0.

Gravedad CVSS v3.1: BAJA

Última modificación:

21/01/2026

Vulnerabilidad en libpng de pnggroup (CVE-2026-22801)

Fecha de publicación:

12/01/2026

Idioma:

Español

LIBPNG es una biblioteca de referencia para usar en aplicaciones que leen, crean y manipulan archivos de imagen ráster PNG (Portable Network Graphics). Desde la versión 1.6.26 hasta la 1.6.53, existe un truncamiento de enteros en las funciones API de escritura simplificadas de libpng, png_write_image_16bit y png_write_image_8bit, que causa una lectura excesiva del búfer de la pila (heap buffer over-read) cuando el llamador proporciona un paso de fila negativo (para diseños de imagen de abajo hacia arriba) o un paso que excede los 65535 bytes. El error fue introducido en libpng 1.6.26 (octubre de 2016) por conversiones de tipo añadidas para silenciar advertencias del compilador en sistemas de 16 bits. Esta vulnerabilidad está corregida en la versión 1.6.54.

Gravedad CVSS v3.1: MEDIA

Última modificación:

21/01/2026

Vulnerabilidad en TinyOS (CVE-2026-22212)

Fecha de publicación:

12/01/2026

Idioma:

Español

Las versiones de TinyOS hasta la 2.1.2 inclusive contienen una vulnerabilidad de desbordamiento de búfer basado en pila en la utilidad mcp2200gpio. La vulnerabilidad es causada por el uso inseguro de las funciones strcpy() y strcat() al construir rutas de dispositivos durante el descubrimiento automático de dispositivos. Un atacante local puede explotar esto creando nombres de archivo especialmente manipulados bajo /dev/usb/, lo que lleva a corrupción de memoria de pila y caídas de la aplicación.

Gravedad CVSS v4.0: MEDIA

Última modificación:

15/04/2026

Vulnerabilidad en Ollama (CVE-2025-15514)

Fecha de publicación:

12/01/2026

Idioma:

Español

Ollama 0.11.5-rc0 hasta la versión actual 0.13.5 contienen una vulnerabilidad de desreferencia de puntero nulo en la funcionalidad de procesamiento de imágenes del modelo multimodal. Al procesar datos de imagen codificados en base64 a través del endpoint /api/chat, la aplicación no valida que los datos decodificados representen medios válidos antes de pasarlos a la función mtmd_helper_bitmap_init_from_buf. Esta función puede devolver NULL para entradas malformadas, pero el código no verifica este valor de retorno antes de desreferenciar el puntero en operaciones posteriores. Un atacante remoto puede explotar esto enviando datos de imagen base64 especialmente diseñados que se decodifican a medios no válidos, causando un fallo de segmentación y bloqueando el proceso del ejecutor. Esto resulta en una condición de denegación de servicio donde el modelo deja de estar disponible para todos los usuarios hasta que se reinicie el servicio.

Gravedad CVSS v4.0: ALTA

Última modificación:

21/01/2026

Vulnerabilidad en llama_index de run-llama (CVE-2024-14021)

Fecha de publicación:

12/01/2026

Idioma:

Español

Las versiones de LlamaIndex (run-llama/llama_index) hasta la 0.11.6 inclusive contienen una vulnerabilidad de deserialización insegura en BGEM3Index.load_from_disk() en llama_index/indices/managed/bge_m3/base.py. La función utiliza pickle.load() para deserializar multi_embed_store.pkl de un persist_dir proporcionado por el usuario sin validación. Un atacante que pueda proporcionar un directorio persist_dir manipulado que contenga un archivo pickle malicioso puede desencadenar la ejecución de código arbitrario cuando la víctima carga el índice desde el disco.

Gravedad CVSS v4.0: ALTA

Última modificación:

15/01/2026

Vulnerabilidad en llama_index de run-llama (CVE-2024-58339)

Fecha de publicación:

12/01/2026

Idioma:

Español

Las versiones de LlamaIndex (run-llama/llama_index) hasta la 0.12.2 inclusive contienen una vulnerabilidad de consumo de recursos no controlado en la implementación de VannaPack VannaQueryEngine. La lógica de custom_query() genera sentencias SQL a partir de una instrucción (prompt) suministrada por el usuario y las ejecuta a través de vn.run_sql() sin aplicar límites de ejecución de consultas. En implementaciones posteriores donde usuarios no confiables pueden suministrar instrucciones (prompts), un atacante puede desencadenar operaciones SQL costosas o ilimitadas que agotan los recursos de CPU o memoria, resultando en una condición de denegación de servicio. La ruta de ejecución vulnerable ocurre en llama_index/packs/vanna/base.py dentro de custom_query().

Gravedad CVSS v4.0: ALTA

Última modificación:

21/01/2026

Suscribirse a Vulnerabilidades