Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las ultimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las ultimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las ultimas vulnerabilidades incorporadas al repositorio.

CVE-2026-39320

Fecha de publicación:

21/04/2026

Idioma:

Inglés

*** Pendiente de traducción *** Signal K Server is a server application that runs on a central hub in a boat. Versions prior to 2.25.0 are vulnerable to an unauthenticated Regular Expression Denial of Service (ReDoS) attack within the WebSocket subscription handling logic. By injecting unescaped regex metacharacters into the `context` parameter of a stream subscription, an attacker can force the server&#39;s Node.js event loop into a catastrophic backtracking loop when evaluating long string identifiers (like the server&#39;s self UUID). This results in a total Denial of Service (DoS) where the server CPU spikes to 100% and becomes completely unresponsive to further API or socket requests. Version 2.25.0 contains a fix.

Gravedad CVSS v3.1: ALTA

Última modificación:

21/04/2026

CVE-2026-39377

Fecha de publicación:

21/04/2026

Idioma:

Inglés

*** Pendiente de traducción *** The nbconvert tool, jupyter nbconvert, converts Jupyter notebooks to various other formats via Jinja templates. Versions 6.5 through 7.17.0 allow arbitrary file writes to locations outside the intended output directory when processing notebooks containing crafted cell attachment filenames. The `ExtractAttachmentsPreprocessor` passes attachment filenames directly to the filesystem without sanitization, enabling path traversal attacks. This vulnerability provides complete control over both the destination path and file extension. Version 7.17.1 contains a patch.

Gravedad CVSS v3.1: MEDIA

Última modificación:

21/04/2026

CVE-2026-41302

Fecha de publicación:

21/04/2026

Idioma:

Inglés

*** Pendiente de traducción *** OpenClaw before 2026.3.31 contains a server-side request forgery vulnerability in the marketplace plugin download functionality that allows remote attackers to make arbitrary network requests. Attackers can exploit unguarded fetch() calls to access internal resources or interact with external services on behalf of the affected system.

Gravedad CVSS v4.0: MEDIA

Última modificación:

21/04/2026

CVE-2026-41303

Fecha de publicación:

21/04/2026

Idioma:

Inglés

*** Pendiente de traducción *** OpenClaw before 2026.3.28 contains an authorization bypass vulnerability in Discord text approval commands that allows non-approvers to resolve pending exec approvals. Attackers can send Discord text commands to bypass the channels.discord.execApprovals.approvers allowlist and approve pending host execution requests.

Gravedad CVSS v4.0: ALTA

Última modificación:

21/04/2026

CVE-2026-41329

Fecha de publicación:

21/04/2026

Idioma:

Inglés

*** Pendiente de traducción *** OpenClaw before 2026.3.31 contains a sandbox bypass vulnerability allowing attackers to escalate privileges via heartbeat context inheritance and senderIsOwner parameter manipulation. Attackers can exploit improper context validation to bypass sandbox restrictions and achieve unauthorized privilege escalation.

Gravedad CVSS v4.0: CRÍTICA

Última modificación:

21/04/2026

CVE-2026-41330

Fecha de publicación:

21/04/2026

Idioma:

Inglés

*** Pendiente de traducción *** OpenClaw before 2026.3.31 contains an environment variable override vulnerability in host exec policy that fails to properly enforce proxy, TLS, Docker, and Git TLS controls. Attackers can bypass security controls by overriding environment variables to circumvent proxy settings, TLS verification, Docker restrictions, and Git TLS enforcement.

Gravedad CVSS v4.0: BAJA

Última modificación:

21/04/2026

CVE-2026-41331

Fecha de publicación:

21/04/2026

Idioma:

Inglés

*** Pendiente de traducción *** OpenClaw before 2026.3.31 contains a resource consumption vulnerability in Telegram audio preflight transcription that allows unauthorized group senders to trigger transcription processing. Attackers can exploit insufficient allowlist enforcement to cause resource or billing consumption by initiating audio preflight operations before authorization checks are applied.

Gravedad CVSS v4.0: MEDIA

Última modificación:

21/04/2026

CVE-2026-41297

Fecha de publicación:

21/04/2026

Idioma:

Inglés

*** Pendiente de traducción *** OpenClaw before 2026.3.31 contains a server-side request forgery vulnerability in the marketplace plugin download functionality that allows attackers to access internal resources by following unvalidated redirects. The marketplace.ts module fails to restrict redirect destinations during archive downloads, enabling remote attackers to redirect requests to arbitrary internal or external servers.

Gravedad CVSS v4.0: MEDIA

Última modificación:

21/04/2026

CVE-2026-41298

Fecha de publicación:

21/04/2026

Idioma:

Inglés

*** Pendiente de traducción *** OpenClaw before 2026.4.2 fails to enforce write scopes on the POST /sessions/:sessionKey/kill endpoint in identity-bearing HTTP modes. Read-scoped callers can terminate running subagent sessions by sending requests to this endpoint, bypassing authorization controls.

Gravedad CVSS v4.0: MEDIA

Última modificación:

21/04/2026

CVE-2026-41299

Fecha de publicación:

21/04/2026

Idioma:

Inglés

*** Pendiente de traducción *** OpenClaw before 2026.3.28 contains an authorization bypass vulnerability in the chat.send gateway method where ACP-only provenance fields are gated by self-declared client metadata from WebSocket handshake rather than verified authorization state. Authenticated operator clients can spoof ACP identity labels and inject reserved provenance fields intended only for the ACP bridge by manipulating client metadata during connection.

Gravedad CVSS v4.0: ALTA

Última modificación:

21/04/2026

CVE-2026-41300

Fecha de publicación:

21/04/2026

Idioma:

Inglés

*** Pendiente de traducción *** OpenClaw before 2026.3.31 contains a trust-decline vulnerability that preserves attacker-discovered endpoints in remote onboarding flows. Attackers can route gateway credentials to malicious endpoints by having their discovered URL survive the trust decline process into manual prompts requiring operator acceptance.

Gravedad CVSS v4.0: MEDIA

Última modificación:

21/04/2026

CVE-2026-41301

Fecha de publicación:

21/04/2026

Idioma:

Inglés

*** Pendiente de traducción *** OpenClaw versions 2026.3.22 before 2026.3.31 contain a signature verification bypass vulnerability in the Nostr DM ingress path that allows pairing challenges to be issued before event signature validation. An unauthenticated remote attacker can send forged direct messages to create pending pairing entries and trigger pairing-reply attempts, consuming shared pairing capacity and triggering bounded relay and logging work on the Nostr channel.

Gravedad CVSS v4.0: MEDIA

Última modificación:

21/04/2026

Suscribirse a Vulnerabilidades