Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las últimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las últimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las últimas vulnerabilidades incorporadas al repositorio.

Vulnerabilidad en Runtipi (CVE-2026-24129)

Fecha de publicación:
22/01/2026
Idioma:
Español
Runtipi es un orquestador de servidor doméstico personal basado en Docker que facilita múltiples servicios en un único servidor. Las versiones 3.7.0 y superiores permiten a un usuario autenticado ejecutar comandos de sistema arbitrarios en el servidor anfitrión inyectando metacaracteres de shell en los nombres de archivo de las copias de seguridad. El BackupManager no logra sanear los nombres de archivo de las copias de seguridad cargadas. El sistema persiste los archivos cargados por el usuario directamente en el sistema de archivos del anfitrión utilizando el 'originalname' en bruto proporcionado en la solicitud. Esto permite a un atacante preparar un archivo que contiene metacaracteres de shell (por ejemplo, $(id).tar.gz) en una ruta predecible, que luego se referencia durante el proceso de restauración. Al lograr almacenar el archivo, permite que el comando de restauración posterior lo referencie y ejecute. Este problema ha sido solucionado en la versión 4.7.0.
Gravedad CVSS v3.1: ALTA
Última modificación:
26/02/2026

Vulnerabilidad en Moonraker de Arksine (CVE-2026-24130)

Fecha de publicación:
22/01/2026
Idioma:
Español
Moonraker es un servidor web Python que proporciona acceso API al firmware de impresión 3D Klipper. En las versiones 0.9.3 e inferiores, las instancias configuradas con el componente 'ldap' habilitado son vulnerables a técnicas de inyección de filtros de búsqueda LDAP a través del endpoint de inicio de sesión. El mensaje de respuesta de error 401 puede utilizarse para determinar si una búsqueda fue exitosa o no, permitiendo métodos de fuerza bruta para descubrir entradas LDAP en el servidor, como IDs de usuario y atributos de usuario. Este problema ha sido solucionado en la versión 0.10.0.
Gravedad CVSS v4.0: BAJA
Última modificación:
27/02/2026

Vulnerabilidad en Microsoft Entra de Microsoft (CVE-2026-24305)

Fecha de publicación:
22/01/2026
Idioma:
Español
Vulnerabilidad de Elevación de Privilegios en Azure Entra ID
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
03/02/2026

Vulnerabilidad en Azure Front Door de Microsoft (CVE-2026-24306)

Fecha de publicación:
22/01/2026
Idioma:
Español
Control de acceso inadecuado en Azure Front Door (AFD) permite a un atacante no autorizado elevar privilegios sobre una red.
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
27/02/2026

Vulnerabilidad en Azure Logic Apps de Microsoft (CVE-2026-21227)

Fecha de publicación:
22/01/2026
Idioma:
Español
Limitación inadecuada de un nombre de ruta a un directorio restringido ('salto de ruta') en Azure Logic Apps permite a un atacante no autorizado elevar privilegios sobre una red.
Gravedad CVSS v3.1: ALTA
Última modificación:
03/02/2026

Vulnerabilidad en Microsoft Account de Microsoft (CVE-2026-21264)

Fecha de publicación:
22/01/2026
Idioma:
Español
Neutralización incorrecta de la entrada durante la generación de páginas web ('cross-site scripting') en Microsoft Account permite a un atacante no autorizado realizar suplantación de identidad a través de una red.
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
03/02/2026

Vulnerabilidad en Microsoft Copilot Studio de Microsoft (CVE-2026-21520)

Fecha de publicación:
22/01/2026
Idioma:
Español
Exposición de información sensible a un actor no autorizado en Copilot Studio permite a un atacante no autenticado ver información sensible a través de un vector de ataque de red
Gravedad CVSS v3.1: ALTA
Última modificación:
02/02/2026

Vulnerabilidad en Microsoft 365 Word Copilot (CVE-2026-21521)

Fecha de publicación:
22/01/2026
Idioma:
Español
Neutralización incorrecta de secuencias de escape, meta o control en Copilot permite a un atacante no autorizado divulgar información a través de una red.
Gravedad CVSS v3.1: ALTA
Última modificación:
02/02/2026

Vulnerabilidad en Azure Data Explorer de Microsoft (CVE-2026-21524)

Fecha de publicación:
22/01/2026
Idioma:
Español
Exposición de información sensible a un actor no autorizado en Azure Data Explorer permite a un atacante no autorizado divulgar información a través de una red.
Gravedad CVSS v3.1: ALTA
Última modificación:
03/02/2026

Vulnerabilidad en EVMAPA (CVE-2025-55705)

Fecha de publicación:
22/01/2026
Idioma:
Español
Esta vulnerabilidad ocurre cuando el sistema permite múltiples conexiones simultáneas al backend utilizando el mismo ID de estación de carga. Esto puede resultar en acceso no autorizado, inconsistencia de datos o manipulación potencial de las sesiones de carga. La falta de una gestión de sesión y control de expiración adecuados permite a los atacantes explotar esta debilidad reutilizando IDs válidos de estaciones de carga para establecer múltiples sesiones concurrentemente.
Gravedad CVSS v3.1: ALTA
Última modificación:
12/02/2026

Vulnerabilidad en CLICK Programmable Logic Controller de AutomationDirect (CVE-2025-67652)

Fecha de publicación:
22/01/2026
Idioma:
Español
Un atacante con acceso al archivo del proyecto podría usar las credenciales expuestas para suplantar usuarios, escalar privilegios u obtener acceso no autorizado a sistemas y servicios. La ausencia de un cifrado robusto o mecanismos de manejo seguro aumenta la probabilidad de este tipo de explotación, dejando la información sensible más vulnerable.
Gravedad CVSS v3.1: MEDIA
Última modificación:
15/04/2026

Vulnerabilidad en EVMAPA (CVE-2025-53968)

Fecha de publicación:
22/01/2026
Idioma:
Español
Esta vulnerabilidad surge porque no hay limitaciones en el número de intentos de autenticación que un usuario puede realizar. Un atacante puede explotar esta debilidad enviando continuamente solicitudes de autenticación, lo que lleva a una condición de denegación de servicio (DoS). Esto puede sobrecargar el sistema de autenticación, dejándolo no disponible para usuarios legítimos y potencialmente causando interrupción del servicio. Esto también puede permitir a los atacantes realizar ataques de fuerza bruta para obtener acceso no autorizado.
Gravedad CVSS v3.1: ALTA
Última modificación:
02/02/2026