Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

017 - Ir a la línea de ayuda en Ciberseguridad    Ir a Agenda     Ir a Sala de prensa     Ir a suscripción de boletines

Ir al buscador

Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las ultimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las ultimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las ultimas vulnerabilidades incorporadas al repositorio.

CVE-2026-32267
Fecha de publicación:
16/03/2026
Idioma:
Inglés
*** Pendiente de traducción *** Craft CMS is a content management system (CMS). From version 4.0.0-RC1 to before version 4.17.6 and from version 5.0.0-RC1 to before version 5.9.12, a low-privilege user (or an unauthenticated user who has been sent a shared URL) can escalate their privileges to admin by abusing UsersController->actionImpersonateWithToken. This issue has been patched in versions 4.17.6 and 5.9.12.
Gravedad CVSS v4.0: CRÍTICA
Última modificación:
16/03/2026

CVE-2026-29516
Fecha de publicación:
16/03/2026
Idioma:
Inglés
*** Pendiente de traducción *** Buffalo TeraStation NAS TS5400R firmware version 4.02-0.06 and prior contain an excessive file permissions vulnerability that allows authenticated attackers to read the /etc/shadow file by uploading and executing a PHP file through the webserver. Attackers can exploit world-readable permissions on /etc/shadow to retrieve hashed passwords for all configured accounts including root.
Gravedad CVSS v4.0: MEDIA
Última modificación:
16/03/2026

CVE-2026-30875
Fecha de publicación:
16/03/2026
Idioma:
Inglés
*** Pendiente de traducción *** Chamilo LMS is a learning management system. Prior to version 1.11.36, an arbitrary file upload vulnerability in the H5P Import feature allows authenticated users with Teacher role to achieve Remote Code Execution (RCE). The H5P package validation only checks if h5p.json exists but doesn't block .htaccess or PHP files with alternative extensions. An attacker uploads a crafted H5P package containing a webshell and .htaccess that enables PHP execution for .txt files, bypassing security control. This issue has been patched in version 1.11.36.
Gravedad CVSS v3.1: ALTA
Última modificación:
16/03/2026

CVE-2026-30876
Fecha de publicación:
16/03/2026
Idioma:
Inglés
*** Pendiente de traducción *** Chamilo LMS is a learning management system. Prior to version 1.11.36, Chamilo is vulnerable to user enumeration with valid/invalid username. This issue has been patched in version 1.11.36.
Gravedad CVSS v4.0: MEDIA
Última modificación:
16/03/2026

CVE-2026-30881
Fecha de publicación:
16/03/2026
Idioma:
Inglés
*** Pendiente de traducción *** Chamilo LMS is a learning management system. Version 1.11.34 and prior contains a SQL Injection vulnerability in the statistics AJAX endpoint. The parameters date_start and date_end from $_REQUEST are embedded directly into a raw SQL string without proper sanitization. Although Database::escape_string() is called downstream, its output is immediately neutralized by str_replace("\'", "'", ...), which restores any injected single quotes — effectively bypassing the escaping mechanism entirely. This allows an authenticated attacker to inject arbitrary SQL statements into the database query, enabling blind time-based and conditional data extraction. This issue has been patched in version 1.11.36.
Gravedad CVSS v3.1: ALTA
Última modificación:
16/03/2026

CVE-2026-30882
Fecha de publicación:
16/03/2026
Idioma:
Inglés
*** Pendiente de traducción *** Chamilo LMS is a learning management system. Chamilo LMS version 1.11.34 and prior contains a Reflected Cross-Site Scripting (XSS) vulnerability in the session category listing page. The keyword parameter from $_REQUEST is echoed directly into an HTML href attribute without any encoding or sanitization. An attacker can inject arbitrary HTML/JavaScript by breaking out of the attribute context using ">followed by a malicious payload. The vulnerability is triggered when the pagination controls are rendered — which occurs when the number of session categories exceeds 20 (the page limit). This issue has been patched in version 1.11.36.
Gravedad CVSS v3.1: MEDIA
Última modificación:
16/03/2026

CVE-2026-26304
Fecha de publicación:
16/03/2026
Idioma:
Inglés
*** Pendiente de traducción *** Mattermost versions 11.3.x
Gravedad CVSS v3.1: MEDIA
Última modificación:
16/03/2026

CVE-2026-28430
Fecha de publicación:
16/03/2026
Idioma:
Inglés
*** Pendiente de traducción *** Chamilo LMS is a learning management system. Prior to version 1.11.34, there is an unauthenticated SQL injection vulnerability which allows remote attackers to execute arbitrary SQL commands via the custom_dates parameter. By chaining this with a predictable legacy password reset mechanism, an attacker can achieve full administrative account takeover without any prior credentials. The vulnerability also exposes the entire database, including PII and system configurations. This issue has been patched in version 1.11.34.
Gravedad CVSS v4.0: CRÍTICA
Última modificación:
16/03/2026

CVE-2025-69693
Fecha de publicación:
16/03/2026
Idioma:
Inglés
*** Pendiente de traducción *** Out-of-bounds read in FFmpeg 8.0 and 8.0.1 RV60 video decoder (libavcodec/rv60dec.c). The quantization parameter (qp) validation at line 2267 only checks the lower bound (qp
Gravedad CVSS v3.1: MEDIA
Última modificación:
16/03/2026

CVE-2025-68971
Fecha de publicación:
16/03/2026
Idioma:
Inglés
*** Pendiente de traducción *** In Forgejo through 13.0.3, the attachment component allows a denial of service by uploading a multi-gigabyte file attachment (e.g., to be associated with an issue or a release).
Gravedad: Pendiente de análisis
Última modificación:
16/03/2026

CVE-2026-32261
Fecha de publicación:
16/03/2026
Idioma:
Inglés
*** Pendiente de traducción *** Webhooks for Craft CMS plugin adds the ability to manage “webhooks” in Craft CMS, which will send GET or POST requests when certain events occur. From version 3.0.0 to before version 3.2.0, the Webhooks plugin renders user-supplied template content through Twig’s renderString() function without sandbox protection. This allows an authenticated user with access to the Craft control panel and permissions to access the Webhooks plugin to inject Twig template code that calls arbitrary PHP functions. This is possible even if allowAdminChanges is set to false. This issue has been patched in version 3.2.0.
Gravedad CVSS v4.0: ALTA
Última modificación:
16/03/2026

CVE-2025-69196
Fecha de publicación:
16/03/2026
Idioma:
Inglés
*** Pendiente de traducción *** FastMCP is the standard framework for building MCP applications. Prior to version 2.14.2, the server does not properly respect the resource parameter submitted by the client in the authorization and token request. Instead of issuing the token explicitly for the MCP server, the token is issued for the base_url passed to the OAuthProxy during initialization. This issue has been patched 2.14.2.
Gravedad CVSS v4.0: ALTA
Última modificación:
16/03/2026
Suscribirse a Vulnerabilidades