Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las últimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las últimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las últimas vulnerabilidades incorporadas al repositorio.

Vulnerabilidad en Microsoft Account de Microsoft (CVE-2026-21264)

Fecha de publicación:
22/01/2026
Idioma:
Español
Neutralización incorrecta de la entrada durante la generación de páginas web ('cross-site scripting') en Microsoft Account permite a un atacante no autorizado realizar suplantación de identidad a través de una red.
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
03/02/2026

Vulnerabilidad en Microsoft Copilot Studio de Microsoft (CVE-2026-21520)

Fecha de publicación:
22/01/2026
Idioma:
Español
Exposición de información sensible a un actor no autorizado en Copilot Studio permite a un atacante no autenticado ver información sensible a través de un vector de ataque de red
Gravedad CVSS v3.1: ALTA
Última modificación:
02/02/2026

Vulnerabilidad en Microsoft 365 Word Copilot (CVE-2026-21521)

Fecha de publicación:
22/01/2026
Idioma:
Español
Neutralización incorrecta de secuencias de escape, meta o control en Copilot permite a un atacante no autorizado divulgar información a través de una red.
Gravedad CVSS v3.1: ALTA
Última modificación:
02/02/2026

Vulnerabilidad en Azure Data Explorer de Microsoft (CVE-2026-21524)

Fecha de publicación:
22/01/2026
Idioma:
Español
Exposición de información sensible a un actor no autorizado en Azure Data Explorer permite a un atacante no autorizado divulgar información a través de una red.
Gravedad CVSS v3.1: ALTA
Última modificación:
03/02/2026

Vulnerabilidad en EVMAPA (CVE-2025-55705)

Fecha de publicación:
22/01/2026
Idioma:
Español
Esta vulnerabilidad ocurre cuando el sistema permite múltiples conexiones simultáneas al backend utilizando el mismo ID de estación de carga. Esto puede resultar en acceso no autorizado, inconsistencia de datos o manipulación potencial de las sesiones de carga. La falta de una gestión de sesión y control de expiración adecuados permite a los atacantes explotar esta debilidad reutilizando IDs válidos de estaciones de carga para establecer múltiples sesiones concurrentemente.
Gravedad CVSS v3.1: ALTA
Última modificación:
12/02/2026

Vulnerabilidad en CLICK Programmable Logic Controller de AutomationDirect (CVE-2025-67652)

Fecha de publicación:
22/01/2026
Idioma:
Español
Un atacante con acceso al archivo del proyecto podría usar las credenciales expuestas para suplantar usuarios, escalar privilegios u obtener acceso no autorizado a sistemas y servicios. La ausencia de un cifrado robusto o mecanismos de manejo seguro aumenta la probabilidad de este tipo de explotación, dejando la información sensible más vulnerable.
Gravedad CVSS v3.1: MEDIA
Última modificación:
15/04/2026

Vulnerabilidad en EVMAPA (CVE-2025-53968)

Fecha de publicación:
22/01/2026
Idioma:
Español
Esta vulnerabilidad surge porque no hay limitaciones en el número de intentos de autenticación que un usuario puede realizar. Un atacante puede explotar esta debilidad enviando continuamente solicitudes de autenticación, lo que lleva a una condición de denegación de servicio (DoS). Esto puede sobrecargar el sistema de autenticación, dejándolo no disponible para usuarios legítimos y potencialmente causando interrupción del servicio. Esto también puede permitir a los atacantes realizar ataques de fuerza bruta para obtener acceso no autorizado.
Gravedad CVSS v3.1: ALTA
Última modificación:
02/02/2026

Vulnerabilidad en EVMAPA (CVE-2025-54816)

Fecha de publicación:
22/01/2026
Idioma:
Español
Esta vulnerabilidad ocurre cuando un endpoint WebSocket no aplica mecanismos de autenticación adecuados, permitiendo a usuarios no autorizados establecer conexiones. Como resultado, los atacantes pueden explotar esta debilidad para obtener acceso no autorizado a datos sensibles o realizar acciones no autorizadas. Dado que no se requiere autenticación, esto puede llevar a una escalada de privilegios y potencialmente comprometer la seguridad de todo el sistema.
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
02/02/2026

Vulnerabilidad en CLICK Programmable Logic Controller de AutomationDirect (CVE-2025-25051)

Fecha de publicación:
22/01/2026
Idioma:
Español
Un atacante podría descifrar datos sensibles, suplantar la identidad de usuarios o dispositivos legítimos, y potencialmente obtener acceso a recursos de red para ataques laterales.
Gravedad CVSS v3.1: MEDIA
Última modificación:
15/04/2026

Vulnerabilidad en Rufus de Pbatard (CVE-2026-23988)

Fecha de publicación:
22/01/2026
Idioma:
Español
Rufus es una utilidad que ayuda a formatear y crear unidades flash USB de arranque. Las versiones 4.11 e inferiores contienen una condición de carrera (TOCTOU) en src/net.c durante la creación, validación y ejecución del script de PowerShell Fido. Dado que Rufus se ejecuta con privilegios elevados (Administrador) pero escribe el script en el directorio %TEMP% (escribible por usuarios estándar) sin bloquear el archivo, un atacante local puede reemplazar el script legítimo por uno malicioso entre la operación de escritura del archivo y el paso de ejecución. Esto permite la ejecución de código arbitrario con privilegios de Administrador. Este problema ha sido solucionado en la versión 4.12_BETA.
Gravedad CVSS v3.1: ALTA
Última modificación:
27/02/2026

Vulnerabilidad en soft-serve de charmbracelet (CVE-2026-24058)

Fecha de publicación:
22/01/2026
Idioma:
Español
Soft Serve es un servidor Git autoalojable para la línea de comandos. Las versiones 0.11.2 e inferiores tienen una vulnerabilidad crítica de omisión de autenticación que permite a un atacante suplantar a cualquier usuario (incluido el administrador) al 'ofrecer' la clave pública de la víctima durante el handshake SSH antes de autenticarse con su propia clave válida. Esto ocurre porque la identidad del usuario se almacena en el contexto de la sesión durante la fase de 'oferta' y no se borra si ese intento de autenticación específico falla. Este problema ha sido solucionado en la versión 0.11.3.
Gravedad CVSS v4.0: ALTA
Última modificación:
18/02/2026

Vulnerabilidad en Rekor (CVE-2026-24117)

Fecha de publicación:
22/01/2026
Idioma:
Español
Rekor es un registro de transparencia de la cadena de suministro de software. En las versiones 1.4.3 e inferiores, los atacantes pueden desencadenar SSRF a servicios internos arbitrarios porque /api/v1/index/retrieve admite la recuperación de una clave pública a través de una URL proporcionada por el usuario. Dado que el SSRF solo puede desencadenar solicitudes GET, la solicitud no puede mutar el estado. La respuesta de la solicitud GET no se devuelve al llamante, por lo que no es posible exfiltrar datos. Un actor malicioso podría intentar sondear una red interna a través de SSRF Ciego. El problema ha sido solucionado en la versión 1.5.0. Como solución alternativa a este problema, deshabilite el endpoint de búsqueda con --enable_retrieve_api=false.
Gravedad CVSS v3.1: MEDIA
Última modificación:
02/02/2026