Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las últimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las últimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las últimas vulnerabilidades incorporadas al repositorio.

Vulnerabilidad en Azure Data Explorer de Microsoft (CVE-2026-21524)

Fecha de publicación:

22/01/2026

Idioma:

Español

Exposición de información sensible a un actor no autorizado en Azure Data Explorer permite a un atacante no autorizado divulgar información a través de una red.

Gravedad CVSS v3.1: ALTA

Última modificación:

03/02/2026

Vulnerabilidad en EVMAPA (CVE-2025-55705)

Fecha de publicación:

22/01/2026

Idioma:

Español

Esta vulnerabilidad ocurre cuando el sistema permite múltiples conexiones simultáneas al backend utilizando el mismo ID de estación de carga. Esto puede resultar en acceso no autorizado, inconsistencia de datos o manipulación potencial de las sesiones de carga. La falta de una gestión de sesión y control de expiración adecuados permite a los atacantes explotar esta debilidad reutilizando IDs válidos de estaciones de carga para establecer múltiples sesiones concurrentemente.

Gravedad CVSS v3.1: ALTA

Última modificación:

12/02/2026

Vulnerabilidad en CLICK Programmable Logic Controller de AutomationDirect (CVE-2025-67652)

Fecha de publicación:

22/01/2026

Idioma:

Español

Un atacante con acceso al archivo del proyecto podría usar las credenciales expuestas para suplantar usuarios, escalar privilegios u obtener acceso no autorizado a sistemas y servicios. La ausencia de un cifrado robusto o mecanismos de manejo seguro aumenta la probabilidad de este tipo de explotación, dejando la información sensible más vulnerable.

Gravedad CVSS v3.1: MEDIA

Última modificación:

15/04/2026

Vulnerabilidad en EVMAPA (CVE-2025-53968)

Fecha de publicación:

22/01/2026

Idioma:

Español

Esta vulnerabilidad surge porque no hay limitaciones en el número de intentos de autenticación que un usuario puede realizar. Un atacante puede explotar esta debilidad enviando continuamente solicitudes de autenticación, lo que lleva a una condición de denegación de servicio (DoS). Esto puede sobrecargar el sistema de autenticación, dejándolo no disponible para usuarios legítimos y potencialmente causando interrupción del servicio. Esto también puede permitir a los atacantes realizar ataques de fuerza bruta para obtener acceso no autorizado.

Gravedad CVSS v3.1: ALTA

Última modificación:

02/02/2026

Vulnerabilidad en EVMAPA (CVE-2025-54816)

Fecha de publicación:

22/01/2026

Idioma:

Español

Esta vulnerabilidad ocurre cuando un endpoint WebSocket no aplica mecanismos de autenticación adecuados, permitiendo a usuarios no autorizados establecer conexiones. Como resultado, los atacantes pueden explotar esta debilidad para obtener acceso no autorizado a datos sensibles o realizar acciones no autorizadas. Dado que no se requiere autenticación, esto puede llevar a una escalada de privilegios y potencialmente comprometer la seguridad de todo el sistema.

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

02/02/2026

Vulnerabilidad en CLICK Programmable Logic Controller de AutomationDirect (CVE-2025-25051)

Fecha de publicación:

22/01/2026

Idioma:

Español

Un atacante podría descifrar datos sensibles, suplantar la identidad de usuarios o dispositivos legítimos, y potencialmente obtener acceso a recursos de red para ataques laterales.

Gravedad CVSS v3.1: MEDIA

Última modificación:

15/04/2026

Vulnerabilidad en Rufus de Pbatard (CVE-2026-23988)

Fecha de publicación:

22/01/2026

Idioma:

Español

Rufus es una utilidad que ayuda a formatear y crear unidades flash USB de arranque. Las versiones 4.11 e inferiores contienen una condición de carrera (TOCTOU) en src/net.c durante la creación, validación y ejecución del script de PowerShell Fido. Dado que Rufus se ejecuta con privilegios elevados (Administrador) pero escribe el script en el directorio %TEMP% (escribible por usuarios estándar) sin bloquear el archivo, un atacante local puede reemplazar el script legítimo por uno malicioso entre la operación de escritura del archivo y el paso de ejecución. Esto permite la ejecución de código arbitrario con privilegios de Administrador. Este problema ha sido solucionado en la versión 4.12_BETA.

Gravedad CVSS v3.1: ALTA

Última modificación:

27/02/2026

Vulnerabilidad en soft-serve de charmbracelet (CVE-2026-24058)

Fecha de publicación:

22/01/2026

Idioma:

Español

Soft Serve es un servidor Git autoalojable para la línea de comandos. Las versiones 0.11.2 e inferiores tienen una vulnerabilidad crítica de omisión de autenticación que permite a un atacante suplantar a cualquier usuario (incluido el administrador) al &#39;ofrecer&#39; la clave pública de la víctima durante el handshake SSH antes de autenticarse con su propia clave válida. Esto ocurre porque la identidad del usuario se almacena en el contexto de la sesión durante la fase de &#39;oferta&#39; y no se borra si ese intento de autenticación específico falla. Este problema ha sido solucionado en la versión 0.11.3.

Gravedad CVSS v4.0: ALTA

Última modificación:

18/02/2026

Vulnerabilidad en Rekor (CVE-2026-24117)

Fecha de publicación:

22/01/2026

Idioma:

Español

Rekor es un registro de transparencia de la cadena de suministro de software. En las versiones 1.4.3 e inferiores, los atacantes pueden desencadenar SSRF a servicios internos arbitrarios porque /api/v1/index/retrieve admite la recuperación de una clave pública a través de una URL proporcionada por el usuario. Dado que el SSRF solo puede desencadenar solicitudes GET, la solicitud no puede mutar el estado. La respuesta de la solicitud GET no se devuelve al llamante, por lo que no es posible exfiltrar datos. Un actor malicioso podría intentar sondear una red interna a través de SSRF Ciego. El problema ha sido solucionado en la versión 1.5.0. Como solución alternativa a este problema, deshabilite el endpoint de búsqueda con --enable_retrieve_api=false.

Gravedad CVSS v3.1: MEDIA

Última modificación:

02/02/2026

Vulnerabilidad en incus de lxc (CVE-2026-23953)

Fecha de publicación:

22/01/2026

Idioma:

Español

Incus es un gestor de contenedores de sistema y máquinas virtuales. En las versiones 6.20.0 e inferiores, un usuario con la capacidad de lanzar un contenedor con una configuración YAML personalizada (por ejemplo, un miembro del grupo &#39;incus&#39;) puede crear una variable de entorno que contiene saltos de línea, la cual puede usarse para añadir elementos de configuración adicionales en el lxc.conf del contenedor debido a la inyección de saltos de línea. Esto puede permitir añadir ganchos de ciclo de vida arbitrarios, lo que en última instancia resulta en la ejecución arbitraria de comandos en el anfitrión. Explotar este problema en IncusOS requiere una ligera modificación de la carga útil para cambiar a un directorio diferente con permisos de escritura para el paso de validación (por ejemplo, /tmp). Esto puede confirmarse con un segundo contenedor con /tmp montado desde el anfitrión (Una acción privilegiada solo para validación). Se planea una solución para las versiones 6.0.6 y 6.21.0, pero no han sido lanzadas en el momento de la publicación.

Gravedad CVSS v3.1: ALTA

Última modificación:

30/01/2026

Vulnerabilidad en incus de lxc (CVE-2026-23954)

Fecha de publicación:

22/01/2026

Idioma:

Español

Incus es un gestor de contenedores de sistema y máquinas virtuales. Las versiones 6.21.0 e inferiores permiten a un usuario con la capacidad de lanzar un contenedor con una imagen personalizada (por ejemplo, un miembro del grupo &#39;incus&#39;) utilizar salto de directorio o enlaces simbólicos en la funcionalidad de plantillas para lograr la lectura arbitraria de archivos del host y la escritura arbitraria de archivos del host. Esto finalmente resulta en la ejecución arbitraria de comandos en el host. Al usar una imagen con un metadata.yaml que contiene plantillas, ni las rutas de origen ni las de destino se verifican en busca de enlaces simbólicos o salto de directorio. Esto también puede ser explotado en IncusOS. Se planea una corrección para las versiones 6.0.6 y 6.21.0, pero no han sido lanzadas en el momento de la publicación.

Gravedad CVSS v3.1: ALTA

Última modificación:

30/01/2026

Vulnerabilidad en rekor de sigstore (CVE-2026-23831)

Fecha de publicación:

22/01/2026

Idioma:

Español

Rekor es un registro de transparencia de la cadena de suministro de software. En las versiones 1.4.3 e inferiores, la implementación de entrada puede entrar en pánico con una entrada controlada por el atacante al canonizar una entrada propuesta con un spec.message vacío, causando una desreferenciación de puntero nulo. La función validate() devuelve nil (éxito) cuando el mensaje está vacío, dejando sign1Msg sin inicializar, y Canonicalize() desreferencia posteriormente v.sign1Msg.Payload. Una entrada propuesta malformada del tipo cose/v0.0.1 puede causar un pánico en un hilo dentro del proceso de Rekor. El hilo se recupera por lo que el cliente recibe un mensaje de error 500 y el servicio aún continúa, por lo que el impacto en la disponibilidad de esto es mínimo. Este problema ha sido solucionado en la versión 1.5.0.

Gravedad CVSS v3.1: MEDIA

Última modificación:

02/02/2026

Suscribirse a Vulnerabilidades