Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

017 - Ir a la línea de ayuda en Ciberseguridad    Ir a Agenda     Ir a Sala de prensa     Ir a suscripción de boletines

Ir al buscador

Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las últimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las últimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las últimas vulnerabilidades incorporadas al repositorio.

Vulnerabilidad en pimcore (CVE-2026-23493)
Fecha de publicación:
15/01/2026
Idioma:
Español
Pimcore es una Plataforma de Gestión de Datos y Experiencias de Código Abierto. Antes de las versiones 12.3.1 y 11.5.14, el archivo http_error_log almacena las variables $_COOKIE y $_SERVER, lo que significa que información sensible como contraseñas de base de datos, datos de sesión de cookie y otros detalles pueden ser accedidos o recuperados a través del backend de Pimcore. Esta vulnerabilidad está corregida en las versiones 12.3.1 y 11.5.14.
Gravedad CVSS v3.1: ALTA
Última modificación:
20/01/2026

Vulnerabilidad en pimcore (CVE-2026-23494)
Fecha de publicación:
15/01/2026
Idioma:
Español
Pimcore es una Plataforma de Gestión de Datos y Experiencias de Código Abierto. Antes de 12.3.1 y 11.5.14, la aplicación falla en aplicar controles de autorización adecuados del lado del servidor en el endpoint de la API responsable de leer o listar rutas estáticas. En Pimcore, las rutas estáticas son patrones de URL personalizados definidos a través de la interfaz de backend o el archivo var/config/staticroutes.php, incluyendo detalles como patrones basados en regex, controladores, variables y prioridades. Estas rutas se registran automáticamente a través del PimcoreStaticRoutesBundle e integradas en el sistema de enrutamiento MVC. Las pruebas revelaron que un usuario de backend autenticado que carecía de permisos explícitos pudo invocar el endpoint (por ejemplo, GET /api/static-routes) y recuperar configuraciones de rutas sensibles. Esta vulnerabilidad se corrige en 12.3.1 y 11.5.14.
Gravedad CVSS v3.1: MEDIA
Última modificación:
20/01/2026

Vulnerabilidad en pimcore (CVE-2026-23495)
Fecha de publicación:
15/01/2026
Idioma:
Español
El Admin Classic Bundle de Pimcore proporciona una interfaz de usuario de backend para Pimcore. Antes de las versiones 2.2.3 y 1.7.16, el endpoint de la API para listar Propiedades Predefinidas en la plataforma Pimcore carece de comprobaciones de autorización adecuadas del lado del servidor. Las Propiedades Predefinidas son definiciones de metadatos configurables (por ejemplo, nombre, clave, tipo, valor predeterminado) utilizadas en documentos, activos y objetos para estandarizar atributos personalizados y mejorar los flujos de trabajo editoriales, como se documenta en la guía oficial de propiedades de Pimcore. Las pruebas confirmaron que un usuario de backend autenticado sin permisos explícitos para la gestión de propiedades podría llamar con éxito al endpoint y recuperar la lista completa de estas configuraciones. La vulnerabilidad está corregida en las versiones 2.2.3 y 1.7.16.
Gravedad CVSS v3.1: MEDIA
Última modificación:
30/01/2026

Vulnerabilidad en pimcore (CVE-2026-23496)
Fecha de publicación:
15/01/2026
Idioma:
Español
El Pimcore Web2Print Tools Bundle añade herramientas para casos de uso web-to-print a Pimcore. Antes de las versiones 5.2.2 y 6.1.1, la aplicación no logra aplicar comprobaciones de autorización adecuadas del lado del servidor en el endpoint de la API responsable de gestionar las 'Favourite Output Channel Configurations'. Las pruebas revelaron que un usuario de backend autenticado sin carecer explícitamente de permisos para esta característica aún podía invocar exitosamente el endpoint y modificar o recuperar estas configuraciones. Esta vulnerabilidad está corregida en las versiones 5.2.2 y 6.1.1.
Gravedad CVSS v3.1: MEDIA
Última modificación:
30/01/2026

Vulnerabilidad en Cisco Identity Services Engine Software (CVE-2026-20047)
Fecha de publicación:
15/01/2026
Idioma:
Español
Una vulnerabilidad en la interfaz de gestión basada en web de Cisco Identity Services Engine (ISE) y Cisco ISE Passive Identity Connector (ISE-PIC) podría permitir a un atacante remoto autenticado realizar ataques de cross-site scripting (XSS) contra un usuario de la interfaz.<br /> <br /> Esta vulnerabilidad se debe a una validación insuficiente de la entrada proporcionada por el usuario por parte de la interfaz de gestión basada en web de un sistema afectado. Un atacante podría explotar esta vulnerabilidad inyectando código malicioso en páginas específicas de la interfaz. Un exploit exitoso podría permitir al atacante ejecutar código de script arbitrario en el contexto de la interfaz afectada o acceder a información sensible basada en el navegador. Para explotar esta vulnerabilidad, el atacante debe tener credenciales administrativas válidas.
Gravedad CVSS v3.1: MEDIA
Última modificación:
30/01/2026

Vulnerabilidad en Cisco (CVE-2026-20075)
Fecha de publicación:
15/01/2026
Idioma:
Español
Una vulnerabilidad en la interfaz de gestión basada en web de Cisco Evolved Programmable Network Manager (EPNM) y Cisco Prime Infrastructure podría permitir a un atacante remoto autenticado realizar un ataque de cross-site scripting (XSS) almacenado contra los usuarios de la interfaz de un sistema afectado.<br /> <br /> Esta vulnerabilidad existe porque la interfaz de gestión basada en web no valida correctamente la entrada proporcionada por el usuario. Un atacante podría explotar esta vulnerabilidad insertando código malicioso en campos de datos específicos de la interfaz. Un exploit exitoso podría permitir al atacante ejecutar código de script arbitrario en el contexto de la interfaz afectada o acceder a información sensible basada en el navegador. Para explotar esta vulnerabilidad, un atacante debe tener credenciales administrativas válidas.
Gravedad CVSS v3.1: MEDIA
Última modificación:
30/01/2026

Vulnerabilidad en Cisco Identity Services Engine Software (CVE-2026-20076)
Fecha de publicación:
15/01/2026
Idioma:
Español
Una vulnerabilidad en la interfaz de gestión basada en web de Cisco Identity Services Engine (ISE) podría permitir a un atacante remoto y autenticado realizar un ataque de cross-site scripting (XSS) almacenado contra un usuario de la interfaz.<br /> <br /> Esta vulnerabilidad se debe a una validación insuficiente de la entrada proporcionada por el usuario por parte de la interfaz de gestión basada en web de un sistema afectado. Un atacante podría explotar esta vulnerabilidad inyectando código malicioso en páginas específicas de la interfaz. Un exploit exitoso podría permitir al atacante ejecutar código de script arbitrario en el contexto de la interfaz afectada o acceder a información sensible basada en el navegador. Para explotar esta vulnerabilidad, el atacante debe tener credenciales administrativas válidas.
Gravedad CVSS v3.1: MEDIA
Última modificación:
30/01/2026

Vulnerabilidad en roxy-wi (CVE-2026-22265)
Fecha de publicación:
15/01/2026
Idioma:
Español
Roxy-WI es una interfaz web para gestionar servidores Haproxy, Nginx, Apache y Keepalived. Anteriormente a la versión 8.2.8.2, existe una vulnerabilidad de inyección de comandos en la funcionalidad de visualización de registros que permite a usuarios autenticados ejecutar comandos de sistema arbitrarios. La vulnerabilidad se encuentra en app/modules/roxywi/logs.py línea 87, donde el parámetro grep se utiliza dos veces — una vez saneado y otra sin procesar. Esta vulnerabilidad se corrigió en la versión 8.2.8.2.
Gravedad CVSS v3.1: ALTA
Última modificación:
18/02/2026

Vulnerabilidad en docs de suitenumerique (CVE-2026-22867)
Fecha de publicación:
15/01/2026
Idioma:
Español
LaSuite Doc es una plataforma colaborativa de toma de notas, wiki y documentación. Desde la versión 3.8.0 hasta la 4.3.0, existe una vulnerabilidad de cross-site scripting (XSS) almacenado en la función de interconexión. Cuando un usuario crea un enlace a otro documento dentro del editor, la URL de ese enlace no es validada. Un atacante con privilegios de edición de documentos puede inyectar una URL maliciosa de javascript: que ejecuta código arbitrario cuando otros usuarios hacen clic en el enlace. Esta vulnerabilidad está corregida en la versión 4.4.0.
Gravedad CVSS v3.1: ALTA
Última modificación:
12/03/2026

Vulnerabilidad en GPAC (CVE-2025-70308)
Fecha de publicación:
15/01/2026
Idioma:
Español
Una lectura fuera de límites en el componente de filtro demuxer GSF de GPAC v2.4.0 permite a los atacantes causar una denegación de servicio (DoS) mediante un archivo .gsf manipulado.
Gravedad CVSS v3.1: ALTA
Última modificación:
23/01/2026

Vulnerabilidad en GPAC (CVE-2025-70309)
Fecha de publicación:
15/01/2026
Idioma:
Español
Un desbordamiento de pila en la función pcmreframe_flush_packet de GPAC v2.4.0 permite a los atacantes causar una Denegación de Servicio (DoS) mediante un archivo WAV manipulado.
Gravedad CVSS v3.1: MEDIA
Última modificación:
23/01/2026

Vulnerabilidad en GPAC (CVE-2025-70310)
Fecha de publicación:
15/01/2026
Idioma:
Español
Un desbordamiento de montículo en la función vorbis_to_intern() de GPAC v2.4.0 permite a los atacantes causar una denegación de servicio (DoS) mediante un archivo .ogg manipulado.
Gravedad CVSS v3.1: MEDIA
Última modificación:
23/01/2026
Suscribirse a Vulnerabilidades