Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las ultimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las ultimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las ultimas vulnerabilidades incorporadas al repositorio.

Vulnerabilidad en Apple (CVE-2025-46302)

Fecha de publicación:
11/02/2026
Idioma:
Español
El problema se abordó con comprobaciones de límites mejoradas. Este problema se corrigió en macOS Sequoia 15.7.4, iOS 18.7.5 y iPadOS 18.7.5, macOS Sonoma 14.8.4. Un dispositivo HID malicioso puede causar una caída inesperada del proceso.
Gravedad CVSS v3.1: MEDIA
Última modificación:
13/02/2026

Vulnerabilidad en Apple (CVE-2025-46303)

Fecha de publicación:
11/02/2026
Idioma:
Español
El problema se abordó con comprobaciones de límites mejoradas. Este problema se corrige en macOS Sequoia 15.7.4, iOS 18.7.5 y iPadOS 18.7.5, macOS Sonoma 14.8.4. Un dispositivo HID malicioso puede causar un cierre inesperado del proceso.
Gravedad CVSS v3.1: MEDIA
Última modificación:
13/02/2026

Vulnerabilidad en Apple (CVE-2025-46304)

Fecha de publicación:
11/02/2026
Idioma:
Español
El problema se abordó con comprobaciones de límites mejoradas. Este problema está corregido en macOS Sequoia 15.7.4, iOS 18.7.5 y iPadOS 18.7.5, macOS Sonoma 14.8.4. Un dispositivo HID malicioso puede causar un cierre inesperado del proceso.
Gravedad CVSS v3.1: MEDIA
Última modificación:
13/02/2026

Vulnerabilidad en Apple (CVE-2025-43537)

Fecha de publicación:
11/02/2026
Idioma:
Español
Se abordó un problema de manejo de rutas con validación mejorada. Este problema se corrigió en iOS 18.7.5 y iPadOS 18.7.5. Restaurar un archivo de copia de seguridad creado maliciosamente puede llevar a la modificación de archivos de sistema protegidos.
Gravedad CVSS v3.1: MEDIA
Última modificación:
26/02/2026

Vulnerabilidad en Apple (CVE-2025-43403)

Fecha de publicación:
11/02/2026
Idioma:
Español
Se abordó un problema de autorización con una gestión de estado mejorada. Este problema está corregido en macOS Sequoia 15.7.4, macOS Sonoma 14.8.4. Una aplicación podría acceder a datos sensibles del usuario.
Gravedad CVSS v3.1: MEDIA
Última modificación:
13/02/2026

Vulnerabilidad en set-in (CVE-2026-26021)

Fecha de publicación:
11/02/2026
Idioma:
Español
set-in proporciona el valor establecido de una estructura asociativa anidada dado un array de claves. Una vulnerabilidad de contaminación de prototipos existe en el paquete npm set-in (>=2.0.1, < 2.0.5). A pesar de una corrección anterior que intentó mitigar la contaminación de prototipos al verificar si la entrada del usuario contenía una clave prohibida, todavía es posible contaminar Object.prototype a través de una entrada manipulada usando Array.prototype. Esto ha sido corregido en la versión 2.0.5.
Gravedad CVSS v4.0: CRÍTICA
Última modificación:
13/02/2026

Vulnerabilidad en Dify (CVE-2026-26023)

Fecha de publicación:
11/02/2026
Idioma:
Español
Dify es una plataforma de desarrollo de aplicaciones LLM de código abierto. Antes de la versión 1.13.0, se ha encontrado una vulnerabilidad de cross-site scripting en el frontend de chat de la aplicación web al usar echarts. Las entradas de usuario o de LLM que contengan echarts con una carga útil de javascript específica se ejecutarán. Esta vulnerabilidad está corregida en la versión 1.13.0.
Gravedad CVSS v4.0: MEDIA
Última modificación:
13/02/2026

Vulnerabilidad en sf-mcp-server (CVE-2026-26029)

Fecha de publicación:
11/02/2026
Idioma:
Español
sf-mcp-server es una implementación del servidor Salesforce MCP para Claude para Escritorio. Una vulnerabilidad de inyección de comandos existe en sf-mcp-server debido al uso inseguro de child_process.exec al construir comandos de Salesforce CLI con entrada controlada por el usuario. La explotación exitosa permite a los atacantes ejecutar comandos de shell arbitrarios con los privilegios del proceso del servidor MCP.
Gravedad CVSS v3.1: ALTA
Última modificación:
12/02/2026

Vulnerabilidad en Frappe Learning Management System (CVE-2026-26031)

Fecha de publicación:
11/02/2026
Idioma:
Español
Frappe Learning Management System (LMS) es un sistema de aprendizaje que ayuda a los usuarios a estructurar su contenido. Previo a la versión 2.44.0, se identificó un problema de seguridad en Frappe Learning, donde usuarios no autorizados pudieron acceder a la lista completa de estudiantes matriculados (por correo electrónico) en lotes. Esta vulnerabilidad se corrigió en la versión 2.44.0.
Gravedad CVSS v4.0: BAJA
Última modificación:
12/02/2026

Vulnerabilidad en LangChain (CVE-2026-26019)

Fecha de publicación:
11/02/2026
Idioma:
Español
LangChain es un framework para construir aplicaciones impulsadas por LLM. Antes de la versión 1.1.14, la clase RecursiveUrlLoader en @langchain/community es un rastreador web que sigue enlaces recursivamente desde una URL inicial. Su opción preventOutside (habilitada por defecto) está destinada a restringir el rastreo al mismo sitio que la URL base. La implementación utilizaba String.startsWith() para comparar URLs, lo que no realiza una validación semántica de URL. Un atacante que controla contenido en una página rastreada podría incluir enlaces a dominios que comparten un prefijo de cadena con el objetivo, haciendo que el rastreador siga enlaces a infraestructura controlada por el atacante o interna. Además, el rastreador no realizaba ninguna validación contra direcciones IP privadas o reservadas. Una página rastreada podría incluir enlaces dirigidos a servicios de metadatos en la nube, localhost o direcciones RFC 1918, y el rastreador los obtendría sin restricción. Esta vulnerabilidad está corregida en la versión 1.1.14.
Gravedad CVSS v3.1: MEDIA
Última modificación:
19/02/2026

Vulnerabilidad en vaultwarden (CVE-2026-26012)

Fecha de publicación:
11/02/2026
Idioma:
Español
vaultwarden es un servidor compatible con Bitwarden no oficial escrito en Rust, anteriormente conocido como bitwarden_rs. Antes de 1.35.3, un miembro regular de la organización puede recuperar todos los cifrados dentro de una organización, independientemente de los permisos de colección. El endpoint /ciphers/organization-details es accesible para cualquier miembro de la organización e internamente utiliza Cipher::find_by_org para recuperar todos los cifrados. Estos cifrados son devueltos con CipherSyncType::Organization sin aplicar el control de acceso a nivel de colección. Esta vulnerabilidad está corregida en 1.35.3.
Gravedad CVSS v3.1: MEDIA
Última modificación:
13/02/2026

Vulnerabilidad en CIPPlanner CIPAce (CVE-2024-50619)

Fecha de publicación:
11/02/2026
Idioma:
Español
Vulnerabilidades en los componentes Mi Cuenta y Gestión de Usuarios en CIPPlanner CIPAce anterior a la versión 9.17 permiten a los atacantes escalar sus niveles de acceso. Un usuario autenticado de bajo privilegio puede obtener acceso a las cuentas de otras personas manipulando el ID de usuario del cliente para cambiar la información de su cuenta. Un usuario autenticado de bajo privilegio puede elevar sus privilegios de sistema modificando la información de un rol de usuario que está deshabilitado en el cliente.
Gravedad CVSS v3.1: ALTA
Última modificación:
13/02/2026