Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las ultimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las ultimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las ultimas vulnerabilidades incorporadas al repositorio.

Vulnerabilidad en Craft Commerce (CVE-2026-31867)

Fecha de publicación:

11/03/2026

Idioma:

Español

Craft Commerce es una plataforma de comercio electrónico para Craft CMS. Antes de las versiones 4.11.0 y 5.6.0, existe una vulnerabilidad de Referencia Directa a Objeto Insegura (IDOR) en la funcionalidad del carrito de Craft Commerce que permite a los usuarios secuestrar cualquier carrito de compras al conocer o adivinar su número de 32 caracteres. El CartController acepta un parámetro de número proporcionado por el usuario para cargar y modificar carritos de compras. No se realiza ninguna validación de propiedad; el código solo verifica si el pedido existe y está incompleto, no si el solicitante tiene autorización para acceder a él. Esta vulnerabilidad permite la toma de control de sesiones de compra y la exposición potencial de PII. Esta vulnerabilidad está corregida en las versiones 4.11.0 y 5.6.0.

Gravedad CVSS v4.0: MEDIA

Última modificación:

17/03/2026

Vulnerabilidad en Cloud CLI (CVE-2026-31862)

Fecha de publicación:

11/03/2026

Idioma:

Español

Cloud CLI (también conocida como Claude Code UI) es una interfaz de usuario (UI) de escritorio y móvil para Claude Code, Cursor CLI, Codex y Gemini-CLI. Antes de la versión 1.24.0, múltiples puntos finales de API relacionados con Git utilizan execAsync() con interpolación de cadenas de parámetros controlados por el usuario (file, branch, message, commit), lo que permite a atacantes autenticados ejecutar comandos arbitrarios del sistema operativo. Esta vulnerabilidad está corregida en la versión 1.24.0.

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

17/03/2026

Vulnerabilidad en flagd de open-feature (CVE-2026-31866)

Fecha de publicación:

11/03/2026

Idioma:

Español

flagd es un demonio de feature flags con una filosofía Unix. Antes de la versión 0.14.2, flagd expone puntos finales OFREP (/ofrep/v1/evaluate/...) y gRPC (evaluation.v1, evaluation.v2) para la evaluación de feature flags. Estos puntos finales están diseñados para ser accesibles públicamente por aplicaciones cliente. El contexto de evaluación incluido en las cargas útiles de las solicitudes se lee en la memoria sin ninguna restricción de tamaño. Un atacante puede enviar una única solicitud HTTP con un cuerpo arbitrariamente grande, haciendo que flagd asigne una cantidad de memoria correspondiente. Esto conduce a un agotamiento inmediato de la memoria y a la terminación del proceso (por ejemplo, OOMKill en entornos Kubernetes). flagd no aplica de forma nativa la autenticación en sus puntos finales de evaluación. Si bien los operadores pueden desplegar flagd detrás de un proxy inverso autenticador o infraestructura similar, los propios puntos finales no imponen ningún control de acceso por defecto. Esta vulnerabilidad está corregida en la versión 0.14.2.

Gravedad CVSS v3.1: ALTA

Última modificación:

20/03/2026

Vulnerabilidad en Anytype Heart (CVE-2026-31863)

Fecha de publicación:

11/03/2026

Idioma:

Español

Anytype Heart es la biblioteca de middleware para Anytype. La autenticación basada en desafíos para la API de cliente gRPC local puede ser eludida, permitiendo a un atacante obtener acceso sin el código de 4 dígitos. Esta vulnerabilidad está corregida en anytype-heart 0.48.4, anytype-cli 0.1.11 y Anytype Desktop 0.54.5.

Gravedad CVSS v3.1: BAJA

Última modificación:

20/03/2026

Vulnerabilidad en parse-server (CVE-2026-31856)

Fecha de publicación:

11/03/2026

Idioma:

Español

Parse Server es un backend de código abierto que puede ser desplegado en cualquier infraestructura que pueda ejecutar Node.js. Una vulnerabilidad de inyección SQL existe en el adaptador de almacenamiento de PostgreSQL al procesar operaciones de Incremento en campos de objetos anidados usando notación de puntos (p. ej., stats.counter). El valor de la cantidad se interpola directamente en la consulta SQL sin parametrización ni validación de tipo. Un atacante que puede enviar solicitudes de escritura a la API REST de Parse Server puede inyectar subconsultas SQL arbitrarias para leer cualquier dato de la base de datos, eludiendo CLPs y ACLs. Las implementaciones de MongoDB no se ven afectadas. Esta vulnerabilidad está corregida en 9.6.0-alpha.3 y 8.6.29.

Gravedad CVSS v4.0: CRÍTICA

Última modificación:

13/03/2026

Vulnerabilidad en Craft (CVE-2026-31859)

Fecha de publicación:

11/03/2026

Idioma:

Español

Craft es un sistema de gestión de contenidos (CMS). La corrección para CVE-2025-35939 en craftcms/cms introdujo una llamada a strip_tags() en src/web/User.php para depurar las URL de retorno antes de que se almacenen en la sesión. Sin embargo, strip_tags() solo elimina las etiquetas HTML (corchetes angulares); no inspecciona ni filtra los esquemas de URL. Las cargas útiles como javascript:alert(document.cookie) no contienen etiquetas HTML y pasan por strip_tags() sin sufrir ninguna modificación, lo que permite un XSS reflejado cuando la URL de retorno se representa en un atributo href. Esta vulnerabilidad se ha corregido en las versiones 5.9.7 y 4.17.3.

Gravedad CVSS v4.0: MEDIA

Última modificación:

17/03/2026

Vulnerabilidad en Craft (CVE-2026-31858)

Fecha de publicación:

11/03/2026

Idioma:

Español

Craft es un sistema de gestión de contenido (CMS). El punto final ElementSearchController::actionSearch() carece de la protección unset() que se añadió a ElementIndexesController en CVE-2026-25495. Exactamente la misma vulnerabilidad de inyección SQL (incluyendo criteria[orderBy], el vector de aviso original) funciona en este controlador porque la solución nunca se le aplicó. Cualquier usuario autenticado del panel de control (no se requiere administrador) puede inyectar SQL arbitrario a través de criteria[where], criteria[orderBy], u otras propiedades de consulta, y extraer el contenido completo de la base de datos a través de inyección ciega basada en booleanos. Los usuarios deben actualizar a la versión 5.9.9 parcheada para mitigar el problema.

Gravedad CVSS v4.0: ALTA

Última modificación:

17/03/2026

Vulnerabilidad en cms de craftcms (CVE-2026-31857)

Fecha de publicación:

11/03/2026

Idioma:

Español

Craft es un sistema de gestión de contenido (CMS). Antes de 5.9.9 y 4.17.4, existe una vulnerabilidad de ejecución remota de código en el sistema de condiciones de Craft CMS 5. El método BaseElementSelectConditionRule::getElementIds() pasa una entrada de cadena controlada por el usuario a través de renderObjectTemplate() -- una función de renderizado de Twig sin &#39;sandbox&#39; con el escape deshabilitado. Cualquier usuario autenticado del Panel de Control (incluyendo roles no administrativos como Autor o Editor) puede lograr RCE completa enviando una regla de condición especialmente diseñada a través de los puntos finales estándar de listado de elementos. Esta vulnerabilidad no requiere privilegios de administrador, ni permisos especiales más allá del acceso básico al panel de control, y elude todas las configuraciones de endurecimiento de producción (allowAdminChanges: false, devMode: false, enableTwigSandbox: true). Los usuarios deben actualizar a la versión parcheada 5.9.9 o 4.17.4 para mitigar el problema.

Gravedad CVSS v4.0: ALTA

Última modificación:

17/03/2026

Vulnerabilidad en Cloud CLI (CVE-2026-31861)

Fecha de publicación:

11/03/2026

Idioma:

Español

Cloud CLI (también conocida como Claude Code UI) es una interfaz de usuario de escritorio y móvil para Claude Code, Cursor CLI, Codex y Gemini-CLI. Antes de la versión 1.24.0, el endpoint /API/user/git-config construye comandos de shell interpolando valores de gitName y gitEmail proporcionados por el usuario en cadenas de comandos pasadas a child_process.exec(). La entrada se coloca entre comillas dobles y solo &#39; " &#39; se escapa, pero los backticks (`), la sustitución de comandos $() y las secuencias \ son todas interpretadas dentro de cadenas entre comillas dobles en bash. Esto permite a atacantes autenticados ejecutar comandos arbitrarios del sistema operativo a través del endpoint de configuración de git. Esta vulnerabilidad se corrige en la versión 1.24.0.

Gravedad CVSS v4.0: ALTA

Última modificación:

17/03/2026

Vulnerabilidad en devalue de sveltejs (CVE-2026-30226)

Fecha de publicación:

11/03/2026

Idioma:

Español

Svelte devalue es una biblioteca JavaScript que serializa valores en cadenas cuando JSON.stringify no es suficiente para la tarea. En devalue v5.6.3 y anteriores, devalue.parse y devalue.unflatten eran susceptibles a la contaminación de prototipos a través de cargas útiles creadas maliciosamente. La explotación exitosa podría conducir a denegación de servicio (DoS) o confusión de tipos. Esta vulnerabilidad está corregida en 5.6.4.

Gravedad CVSS v4.0: MEDIA

Última modificación:

17/03/2026

Vulnerabilidad en Cortex XDR Agent de Palo Alto Networks (CVE-2026-0230)

Fecha de publicación:

11/03/2026

Idioma:

Español

Un problema con un mecanismo de protección en el agente Cortex XDR de Palo Alto Networks en macOS permite a un administrador local deshabilitar el agente. Este problema podría ser aprovechado por malware para realizar actividad maliciosa sin detección.

Gravedad CVSS v4.0: MEDIA

Última modificación:

12/03/2026

Vulnerabilidad en Cortex XDR Broker VM de Palo Alto Networks (CVE-2026-0231)

Fecha de publicación:

11/03/2026

Idioma:

Español

Una vulnerabilidad de revelación de información en Palo Alto Networks Cortex XDR® Broker VM permite a un usuario autenticado obtener y modificar información sensible al activar una sesión de terminal en vivo a través de la interfaz de usuario de Cortex y modificar cualquier ajuste de configuración.<br /> El atacante debe tener acceso de red al Broker VM para explotar este problema.

Gravedad CVSS v4.0: MEDIA

Última modificación:

12/03/2026

Suscribirse a Vulnerabilidades