Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las últimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las últimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las últimas vulnerabilidades incorporadas al repositorio.

Vulnerabilidad en TP-Link Systems Inc. (CVE-2025-9290)

Fecha de publicación:
23/01/2026
Idioma:
Español
Una debilidad de autenticación fue identificada en los controladores Omada, gateways y puntos de acceso, en la adopción controlador-dispositivo debido a un manejo inadecuado de valores aleatorios. La explotación requiere un posicionamiento de red avanzado y permite a un atacante interceptar el tráfico de adopción y falsificar una autenticación válida mediante precomputación fuera de línea, exponiendo potencialmente información sensible y comprometiendo la confidencialidad.
Gravedad CVSS v4.0: MEDIA
Última modificación:
07/10/2026

Vulnerabilidad en Microsoft 365 Copilot de Microsoft (CVE-2026-24307)

Fecha de publicación:
22/01/2026
Idioma:
Español
Validación incorrecta del tipo de entrada especificado en M365 Copilot permite a un atacante no autorizado divulgar información a través de una red.
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
12/02/2026

Vulnerabilidad en Dragonfly (CVE-2026-24124)

Fecha de publicación:
22/01/2026
Idioma:
Español
Dragonfly es un sistema de distribución de archivos y aceleración de imágenes basado en P2P de código abierto. En las versiones 2.4.1-rc.0 e inferiores, los endpoints de la API de trabajos (/api/v1/jobs) carecen de middleware de autenticación JWT y de comprobaciones de autorización RBAC en la configuración de enrutamiento. Esto permite a cualquier usuario no autenticado con acceso a la API del Manager ver, actualizar y eliminar trabajos. El problema se ha corregido en la versión 2.4.1-rc.1.
Gravedad CVSS v4.0: ALTA
Última modificación:
26/02/2026

Vulnerabilidad en Runtipi (CVE-2026-24129)

Fecha de publicación:
22/01/2026
Idioma:
Español
Runtipi es un orquestador de servidor doméstico personal basado en Docker que facilita múltiples servicios en un único servidor. Las versiones 3.7.0 y superiores permiten a un usuario autenticado ejecutar comandos de sistema arbitrarios en el servidor anfitrión inyectando metacaracteres de shell en los nombres de archivo de las copias de seguridad. El BackupManager no logra sanear los nombres de archivo de las copias de seguridad cargadas. El sistema persiste los archivos cargados por el usuario directamente en el sistema de archivos del anfitrión utilizando el 'originalname' en bruto proporcionado en la solicitud. Esto permite a un atacante preparar un archivo que contiene metacaracteres de shell (por ejemplo, $(id).tar.gz) en una ruta predecible, que luego se referencia durante el proceso de restauración. Al lograr almacenar el archivo, permite que el comando de restauración posterior lo referencie y ejecute. Este problema ha sido solucionado en la versión 4.7.0.
Gravedad CVSS v3.1: ALTA
Última modificación:
26/02/2026

Vulnerabilidad en Moonraker de Arksine (CVE-2026-24130)

Fecha de publicación:
22/01/2026
Idioma:
Español
Moonraker es un servidor web Python que proporciona acceso API al firmware de impresión 3D Klipper. En las versiones 0.9.3 e inferiores, las instancias configuradas con el componente 'ldap' habilitado son vulnerables a técnicas de inyección de filtros de búsqueda LDAP a través del endpoint de inicio de sesión. El mensaje de respuesta de error 401 puede utilizarse para determinar si una búsqueda fue exitosa o no, permitiendo métodos de fuerza bruta para descubrir entradas LDAP en el servidor, como IDs de usuario y atributos de usuario. Este problema ha sido solucionado en la versión 0.10.0.
Gravedad CVSS v4.0: BAJA
Última modificación:
27/02/2026

Vulnerabilidad en Microsoft Entra de Microsoft (CVE-2026-24305)

Fecha de publicación:
22/01/2026
Idioma:
Español
Vulnerabilidad de Elevación de Privilegios en Azure Entra ID
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
03/02/2026

Vulnerabilidad en Azure Front Door de Microsoft (CVE-2026-24306)

Fecha de publicación:
22/01/2026
Idioma:
Español
Control de acceso inadecuado en Azure Front Door (AFD) permite a un atacante no autorizado elevar privilegios sobre una red.
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
27/02/2026

Vulnerabilidad en Azure Logic Apps de Microsoft (CVE-2026-21227)

Fecha de publicación:
22/01/2026
Idioma:
Español
Limitación inadecuada de un nombre de ruta a un directorio restringido ('salto de ruta') en Azure Logic Apps permite a un atacante no autorizado elevar privilegios sobre una red.
Gravedad CVSS v3.1: ALTA
Última modificación:
03/02/2026

Vulnerabilidad en Microsoft Account de Microsoft (CVE-2026-21264)

Fecha de publicación:
22/01/2026
Idioma:
Español
Neutralización incorrecta de la entrada durante la generación de páginas web ('cross-site scripting') en Microsoft Account permite a un atacante no autorizado realizar suplantación de identidad a través de una red.
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
03/02/2026

Vulnerabilidad en Microsoft Copilot Studio de Microsoft (CVE-2026-21520)

Fecha de publicación:
22/01/2026
Idioma:
Español
Exposición de información sensible a un actor no autorizado en Copilot Studio permite a un atacante no autenticado ver información sensible a través de un vector de ataque de red
Gravedad CVSS v3.1: ALTA
Última modificación:
02/02/2026

Vulnerabilidad en Microsoft 365 Word Copilot (CVE-2026-21521)

Fecha de publicación:
22/01/2026
Idioma:
Español
Neutralización incorrecta de secuencias de escape, meta o control en Copilot permite a un atacante no autorizado divulgar información a través de una red.
Gravedad CVSS v3.1: ALTA
Última modificación:
02/02/2026

Vulnerabilidad en Azure Data Explorer de Microsoft (CVE-2026-21524)

Fecha de publicación:
22/01/2026
Idioma:
Español
Exposición de información sensible a un actor no autorizado en Azure Data Explorer permite a un atacante no autorizado divulgar información a través de una red.
Gravedad CVSS v3.1: ALTA
Última modificación:
03/02/2026