Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las últimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las últimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las últimas vulnerabilidades incorporadas al repositorio.

CVE-2025-15632

Fecha de publicación:

13/04/2026

Idioma:

Inglés

*** Pendiente de traducción *** A vulnerability has been found in 1Panel-dev MaxKB up to 2.4.2. Impacted is an unknown function of the file ui/src/chat.ts of the component MdPreview. Such manipulation leads to cross site scripting. The attack can be executed remotely. The exploit has been disclosed to the public and may be used. Upgrading to version 2.5.0 is recommended to address this issue. The name of the patch is 7230daa5ec3e6574b6ede83dd48a4fbc0e70b8d8. It is advisable to upgrade the affected component. The vendor was contacted early, responded in a very professional manner and quickly released a fixed version of the affected product.

Gravedad CVSS v4.0: BAJA

Última modificación:

29/04/2026

CVE-2026-4810

Fecha de publicación:

13/04/2026

Idioma:

Inglés

*** Pendiente de traducción *** A Code Injection and Missing Authentication vulnerability in Google Agent Development Kit (ADK) versions 1.7.0 (and 2.0.0a1) through 1.28.1 (and 2.0.0a2) on Python (OSS), Cloud Run, and GKE allows an unauthenticated remote attacker to execute arbitrary code on the server hosting the ADK instance. This vulnerability was patched in versions 1.28.1 and 2.0.0a2. Customers need to redeploy the upgraded ADK to their production environments. In addition, if they are running ADK Web locally, they also need to upgrade their local instance.

Gravedad CVSS v4.0: CRÍTICA

Última modificación:

13/04/2026

CVE-2026-0233

Fecha de publicación:

13/04/2026

Idioma:

Inglés

*** Pendiente de traducción *** A certificate validation vulnerability in Palo Alto Networks Autonomous Digital Experience Manager on Windows allows an unauthenticated attacker with adjacent network access to execute arbitrary code with NT AUTHORITY\SYSTEM privileges.

Gravedad CVSS v4.0: BAJA

Última modificación:

13/04/2026

CVE-2026-0234

Fecha de publicación:

13/04/2026

Idioma:

Inglés

*** Pendiente de traducción *** An improper verification of cryptographic signature vulnerability exists in Cortex XSOAR and Cortex XSIAM platforms during integration of Microsoft Teams that enables an unauthenticated user to access and modify protected resources.

Gravedad CVSS v4.0: ALTA

Última modificación:

13/04/2026

CVE-2026-0232

Fecha de publicación:

13/04/2026

Idioma:

Inglés

*** Pendiente de traducción *** A problem with a protection mechanism in the Palo Alto Networks Cortex XDR agent on Windows allows a local Windows administrator to disable the agent. This issue may be leveraged by malware to perform malicious activity without detection.

Gravedad CVSS v4.0: MEDIA

Última modificación:

13/04/2026

CVE-2026-6168

Fecha de publicación:

13/04/2026

Idioma:

Inglés

*** Pendiente de traducción *** A flaw has been found in TOTOLINK A7000R up to 9.1.0u.6115. The affected element is the function setWiFiEasyGuestCfg of the file /cgi-bin/cstecgi.cgi. This manipulation of the argument ssid5g causes stack-based buffer overflow. Remote exploitation of the attack is possible. The exploit has been published and may be used.

Gravedad CVSS v4.0: ALTA

Última modificación:

27/04/2026

CVE-2026-6167

Fecha de publicación:

13/04/2026

Idioma:

Inglés

*** Pendiente de traducción *** A vulnerability was detected in code-projects Faculty Management System 1.0. Impacted is an unknown function of the file /subject-print.php. The manipulation of the argument ID results in sql injection. The attack may be launched remotely. The exploit is now public and may be used.

Gravedad CVSS v4.0: MEDIA

Última modificación:

29/04/2026

CVE-2026-5936

Fecha de publicación:

13/04/2026

Idioma:

Inglés

*** Pendiente de traducción *** An attacker can control a server-side HTTP request by supplying a crafted URL, causing the server to initiate requests to arbitrary destinations. This behavior may be exploited to probe internal network services, access otherwise unreachable endpoints (e.g., cloud metadata services), or bypass network access controls, potentially leading to sensitive information disclosure and further compromise of the internal environment.

Gravedad CVSS v3.1: ALTA

Última modificación:

13/04/2026

CVE-2026-3830

Fecha de publicación:

13/04/2026

Idioma:

Inglés

*** Pendiente de traducción *** The Product Filter for WooCommerce by WBW WordPress plugin before 3.1.3 does not sanitize and escape a parameter before using it in a SQL statement, allowing unauthenticated users to perform SQL injection attacks

Gravedad CVSS v3.1: ALTA

Última modificación:

15/04/2026

CVE-2026-34866

Fecha de publicación:

13/04/2026

Idioma:

Inglés

*** Pendiente de traducción *** Out-of-bounds write vulnerability in the WEB module.Impact: Successful exploitation of this vulnerability will affect availability and confidentiality.

Gravedad CVSS v3.1: MEDIA

Última modificación:

17/04/2026

CVE-2026-5085

Fecha de publicación:

13/04/2026

Idioma:

Inglés

*** Pendiente de traducción *** Solstice::Session versions through 1440 for Perl generates session ids insecurely. The _generateSessionID method returns an MD5 digest seeded by the epoch time, a random hash reference, a call to the built-in rand() function and the process id. The same method is used in the _generateID method in Solstice::Subsession, which is part of the same distribution. The epoch time may be guessed, if it is not leaked in the HTTP Date header. Stringified hash refences will contain predictable content. The built-in rand() function is seeded by 16-bits and is unsuitable for security purposes. The process id comes from a small set of numbers. Predictable session ids could allow an attacker to gain access to systems.

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

23/04/2026

CVE-2026-6166

Fecha de publicación:

13/04/2026

Idioma:

Inglés

*** Pendiente de traducción *** A security vulnerability has been detected in code-projects Vehicle Showroom Management System 1.0. This issue affects some unknown processing of the file /util/UpdateVehicleFunction.php. The manipulation of the argument VEHICLE_ID leads to sql injection. The attack may be initiated remotely. The exploit has been disclosed publicly and may be used.

Gravedad CVSS v4.0: MEDIA

Última modificación:

29/04/2026

Suscribirse a Vulnerabilidades