Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las ultimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las ultimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las ultimas vulnerabilidades incorporadas al repositorio.

Vulnerabilidad en xml-security de simplesamlphp (CVE-2026-32600)

Fecha de publicación:
16/03/2026
Idioma:
Español
xml-security es una biblioteca que implementa firmas XML y cifrado. Antes de las versiones 2.3.1 y 1.13.9, los nodos XML cifrados con aes-128-gcm, aes-192-gcm o aes-256-gcm carecen de validación de la longitud de la etiqueta de autenticación. Un atacante puede usar esto para forzar por fuerza bruta una etiqueta de autenticación, recuperar la clave GHASH y descifrar los nodos cifrados. También permite falsificar textos cifrados arbitrarios sin conocer la clave de cifrado. Esta vulnerabilidad está corregida en 2.3.1 y 1.13.9.
Gravedad CVSS v3.1: ALTA
Última modificación:
17/03/2026

Vulnerabilidad en rust-yamux de libp2p (CVE-2026-32314)

Fecha de publicación:
16/03/2026
Idioma:
Español
Yamux es un multiplexor de flujo sobre conexiones fiables y ordenadas como TCP/IP. Antes de la versión 0.13.10, la implementación en Rust de Yamux puede entrar en pánico al procesar un marco de datos de entrada manipulado que establece SYN y utiliza una longitud de cuerpo mayor que DEFAULT_CREDIT (p. ej., 262145). En el primer paquete de un nuevo flujo de entrada, se crea el estado del flujo y se encola un receptor antes de que se complete la validación del cuerpo de tamaño excesivo. Cuando la validación falla, el flujo temporal se descarta y la limpieza puede llamar a remove(...).expect('stream not found'), lo que desencadena un pánico en la máquina de estados de la conexión. Esto es accesible remotamente a través de una sesión Yamux normal y no requiere autenticación. Esta vulnerabilidad se corrige en la versión 0.13.10.
Gravedad CVSS v4.0: ALTA
Última modificación:
19/03/2026

Vulnerabilidad en GStreamer (CVE-2026-2923)

Fecha de publicación:
16/03/2026
Idioma:
Español
Vulnerabilidad de ejecución remota de código por escritura fuera de límites en los subtítulos DVB de GStreamer. Esta vulnerabilidad permite a atacantes remotos ejecutar código arbitrario en instalaciones afectadas de GStreamer. Se requiere interacción con esta biblioteca para explotar esta vulnerabilidad, pero los vectores de ataque pueden variar dependiendo de la implementación.<br /> <br /> La falla específica reside en el manejo de coordenadas. El problema se debe a la falta de validación adecuada de los datos proporcionados por el usuario, lo que puede resultar en una escritura más allá del final de un búfer asignado. Un atacante puede aprovechar esta vulnerabilidad para ejecutar código en el contexto del proceso actual. Fue ZDI-CAN-28838.
Gravedad CVSS v3.1: ALTA
Última modificación:
17/03/2026

Vulnerabilidad en LiteSpeed Technologies (CVE-2026-31386)

Fecha de publicación:
16/03/2026
Idioma:
Español
OpenLiteSpeed y LSWS Enterprise proporcionados por LiteSpeed Technologies contienen una vulnerabilidad de inyección de comandos del sistema operativo. Un comando arbitrario del sistema operativo puede ser ejecutado por un atacante con privilegios administrativos.
Gravedad CVSS v4.0: ALTA
Última modificación:
16/03/2026

Vulnerabilidad en xmlseclibs de robrichards (CVE-2026-32313)

Fecha de publicación:
16/03/2026
Idioma:
Español
xmlseclibs es una biblioteca escrita en PHP para trabajar con Cifrado y Firmas XML. Antes de la versión 3.1.5, los nodos XML cifrados con aes-128-gcm, aes-192-gcm o aes-256-gcm carecen de validación de la longitud de la etiqueta de autenticación. Un atacante puede usar esto para forzar por fuerza bruta una etiqueta de autenticación, recuperar la clave GHASH y descifrar los nodos cifrados. También permite falsificar textos cifrados arbitrarios sin conocer la clave de cifrado. Esta vulnerabilidad está corregida en la versión 3.1.5.
Gravedad CVSS v3.1: ALTA
Última modificación:
17/03/2026

Vulnerabilidad en GStreamer (CVE-2026-2921)

Fecha de publicación:
16/03/2026
Idioma:
Español
Vulnerabilidad de ejecución remota de código por desbordamiento de entero en la paleta RIFF de GStreamer. Esta vulnerabilidad permite a atacantes remotos ejecutar código arbitrario en instalaciones afectadas de GStreamer. Se requiere interacción con esta biblioteca para explotar esta vulnerabilidad, pero los vectores de ataque pueden variar dependiendo de la implementación.<br /> <br /> La falla específica existe en el manejo de datos de paleta en archivos AVI. El problema resulta de la falta de validación adecuada de los datos proporcionados por el usuario, lo que puede resultar en un desbordamiento de entero antes de escribir en la memoria. Un atacante puede aprovechar esta vulnerabilidad para ejecutar código en el contexto del proceso actual. Fue ZDI-CAN-28854.
Gravedad CVSS v3.1: ALTA
Última modificación:
29/03/2026

Vulnerabilidad en GStreamer (CVE-2026-2922)

Fecha de publicación:
16/03/2026
Idioma:
Español
Vulnerabilidad de ejecución remota de código por escritura fuera de límites en el Demultiplexador RealMedia de GStreamer. Esta vulnerabilidad permite a atacantes remotos ejecutar código arbitrario en instalaciones afectadas de GStreamer. Se requiere interacción con esta biblioteca para explotar esta vulnerabilidad, pero los vectores de ataque pueden variar dependiendo de la implementación.<br /> <br /> La falla específica existe en el procesamiento de paquetes de video. El problema se debe a la falta de validación adecuada de los datos proporcionados por el usuario, lo que puede resultar en una escritura más allá del final de un búfer asignado. Un atacante puede aprovechar esta vulnerabilidad para ejecutar código en el contexto del proceso actual. Fue ZDI-CAN-28845.
Gravedad CVSS v3.1: ALTA
Última modificación:
17/03/2026

Vulnerabilidad en GStreamer (CVE-2026-2920)

Fecha de publicación:
16/03/2026
Idioma:
Español
Vulnerabilidad de ejecución remota de código por desbordamiento de búfer basado en montículo en el demuxer ASF de GStreamer. Esta vulnerabilidad permite a atacantes remotos ejecutar código arbitrario en instalaciones afectadas de GStreamer. Se requiere interacción con esta biblioteca para explotar esta vulnerabilidad, pero los vectores de ataque pueden variar según la implementación.<br /> <br /> La falla específica reside en el procesamiento de los encabezados de flujo dentro de archivos ASF. El problema se debe a la falta de validación adecuada de la longitud de los datos proporcionados por el usuario antes de copiarlos a un búfer de longitud fija basado en montículo. Un atacante puede aprovechar esta vulnerabilidad para ejecutar código en el contexto del proceso actual. Fue ZDI-CAN-28843.
Gravedad CVSS v3.1: ALTA
Última modificación:
17/03/2026

Vulnerabilidad en Mattermost (CVE-2026-2578)

Fecha de publicación:
16/03/2026
Idioma:
Español
Mattermost versiones 11.3.x &amp;lt;= 11.3.0 no logran preservar el estado redactado de las publicaciones de autodestrucción tras lectura durante la eliminación, lo que permite a los miembros del canal acceder al contenido no revelado de los mensajes de autodestrucción tras lectura a través del evento de eliminación de publicación de WebSocket. ID de Aviso de Mattermost: MMSA-2026-00579
Gravedad CVSS v3.1: MEDIA
Última modificación:
18/03/2026

Vulnerabilidad en Mattermost (CVE-2026-2463)

Fecha de publicación:
16/03/2026
Idioma:
Español
Las versiones de Mattermost 11.3.x &amp;lt;= 11.3.0, 11.2.x &amp;lt;= 11.2.2, 10.11.x &amp;lt;= 10.11.10 no filtran los ID de invitación basándose en los permisos de usuario, lo que permite a los usuarios regulares eludir las restricciones de control de acceso y registrar cuentas no autorizadas a través de ID de invitación filtrados durante la creación de equipos. ID de Aviso de Mattermost: MMSA-2025-00565
Gravedad CVSS v3.1: MEDIA
Última modificación:
18/03/2026

Vulnerabilidad en Mattermost (CVE-2026-2462)

Fecha de publicación:
16/03/2026
Idioma:
Español
Las versiones de Mattermost 11.3.x &amp;lt;= 11.3.0, 11.2.x &amp;lt;= 11.2.2, 10.11.x &amp;lt;= 10.11.10 no restringen la instalación de plugins en instancias de prueba de CI con credenciales de administrador predeterminadas, lo que permite a un atacante no autenticado lograr la ejecución remota de código y exfiltrar datos de configuración sensibles, incluidas las credenciales de AWS y SMTP, mediante la carga de un plugin malicioso después de cambiar el directorio de importación. ID de Aviso de Mattermost: MMSA-2025-00528
Gravedad CVSS v3.1: MEDIA
Última modificación:
18/03/2026

Vulnerabilidad en DIRIS A-40 de Socomec (CVE-2026-2491)

Fecha de publicación:
16/03/2026
Idioma:
Español
Vulnerabilidad de omisión de autenticación de la API HTTP de Socomec DIRIS A-40. Esta vulnerabilidad permite a atacantes adyacentes a la red omitir la autenticación en instalaciones afectadas de dispositivos de monitoreo de energía Socomec DIRIS A-40. La autenticación no es necesaria para explotar esta vulnerabilidad.<br /> <br /> La falla específica existe dentro de la implementación de la API web, que escucha en el puerto TCP 80 por defecto. El problema resulta de la falta de autenticación antes de permitir el acceso a la funcionalidad. Un atacante puede aprovechar esta vulnerabilidad para omitir la autenticación en el sistema. Fue ZDI-CAN-23993.
Gravedad CVSS v3.1: MEDIA
Última modificación:
16/03/2026