Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las ultimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las ultimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las ultimas vulnerabilidades incorporadas al repositorio.

Vulnerabilidad en Homey BNB (Airbnb Clone Script) (CVE-2019-25494)

Fecha de publicación:
27/02/2026
Idioma:
Español
Homey BNB V4 contiene una vulnerabilidad de inyección SQL en el inicio de sesión del panel de administración que permite a atacantes no autenticados eludir la autenticación inyectando sintaxis SQL en los campos de nombre de usuario y contraseña. Los atacantes pueden enviar operadores SQL como '=' 'o' en ambas credenciales para manipular la consulta de autenticación y obtener acceso no autorizado al panel de administración.
Gravedad CVSS v4.0: ALTA
Última modificación:
13/03/2026

Vulnerabilidad en Homey BNB (Airbnb Clone Script) (CVE-2019-25490)

Fecha de publicación:
27/02/2026
Idioma:
Español
Homey BNB V4 contiene una vulnerabilidad de inyección SQL que permite a atacantes no autenticados manipular consultas de la base de datos inyectando código SQL a través del parámetro 'id'. Los atacantes pueden enviar solicitudes GET al endpoint admin/edit.php con payloads de inyección SQL basados en tiempo para extraer información sensible de la base de datos.
Gravedad CVSS v4.0: ALTA
Última modificación:
06/03/2026

Vulnerabilidad en Homey BNB (Airbnb Clone Script) (CVE-2019-25491)

Fecha de publicación:
27/02/2026
Idioma:
Español
Homey BNB V4 contiene una vulnerabilidad de inyección SQL que permite a atacantes no autenticados manipular consultas de base de datos inyectando código SQL a través del parámetro catid. Los atacantes pueden enviar solicitudes GET al endpoint admin/cms_getpagetitle.php con valores catid maliciosos para extraer información sensible de la base de datos.
Gravedad CVSS v4.0: ALTA
Última modificación:
06/03/2026

Vulnerabilidad en Homey BNB (Airbnb Clone Script) (CVE-2019-25492)

Fecha de publicación:
27/02/2026
Idioma:
Español
Homey BNB V4 contiene una vulnerabilidad de inyección SQL que permite a atacantes no autenticados manipular consultas de base de datos inyectando código SQL a través del parámetro 'pt'. Los atacantes pueden enviar solicitudes GET al endpoint admin/getcmsdata.php con valores 'pt' maliciosos para extraer información sensible de la base de datos.
Gravedad CVSS v4.0: ALTA
Última modificación:
06/03/2026

Vulnerabilidad en Homey BNB (Airbnb Clone Script) (CVE-2019-25493)

Fecha de publicación:
27/02/2026
Idioma:
Español
Homey BNB V4 contiene una vulnerabilidad de inyección SQL que permite a atacantes no autenticados manipular consultas de base de datos inyectando código SQL a través del parámetro val. Los atacantes pueden enviar solicitudes GET al endpoint admin/getrecord.PHP con valores val maliciosos para extraer información sensible de la base de datos.
Gravedad CVSS v4.0: ALTA
Última modificación:
06/03/2026

Vulnerabilidad en Homey BNB (Airbnb Clone Script) (CVE-2019-25489)

Fecha de publicación:
27/02/2026
Idioma:
Español
Homey BNB V4 contiene una vulnerabilidad de inyección SQL que permite a atacantes no autenticados manipular consultas de la base de datos inyectando código SQL a través del parámetro hosting_id. Los atacantes pueden enviar solicitudes GET al endpoint rooms/ajax_refresh_subtotal con valores maliciosos de hosting_id para extraer información sensible de la base de datos o causar denegación de servicio.
Gravedad CVSS v4.0: ALTA
Última modificación:
06/03/2026

Vulnerabilidad en nest.js (CVE-2026-2293)

Fecha de publicación:
27/02/2026
Idioma:
Español
Una aplicación NestJS que utiliza @nestjs/platform-fastify puede permitir la omisión del middleware de autenticación/autorización cuando las opciones de normalización de rutas de Fastify están habilitadas.<br /> <br /> Este problema afecta a nest.Js: 11.1.13.
Gravedad CVSS v4.0: ALTA
Última modificación:
02/03/2026

Vulnerabilidad en OpenEMR (CVE-2026-24488)

Fecha de publicación:
27/02/2026
Idioma:
Español
OpenEMR es una aplicación de gestión de práctica médica y registros de salud electrónicos de código abierto y gratuita. En versiones hasta la 8.0.0 inclusive, una vulnerabilidad de exfiltración de archivos arbitrarios en el endpoint de envío de fax permite a cualquier usuario autenticado leer y transmitir cualquier archivo en el servidor (incluyendo credenciales de la base de datos, documentos de pacientes, archivos del sistema y código fuente) vía fax a un número de teléfono controlado por el atacante. La vulnerabilidad existe porque el endpoint acepta rutas de archivo arbitrarias de la entrada del usuario y las transmite al gateway de fax sin restricciones de ruta o comprobaciones de autorización. Hasta el momento de la publicación, se conoce que haya versiones que parcheen el problema.
Gravedad CVSS v3.1: MEDIA
Última modificación:
03/03/2026

Vulnerabilidad en OpenEMR (CVE-2026-25147)

Fecha de publicación:
27/02/2026
Idioma:
Español
OpenEMR es una aplicación de gestión de registros médicos electrónicos y práctica médica de código abierto y gratuita. Antes de la versión 8.0.0, en &amp;#39;portal/portal_payment.php&amp;#39;, el ID de paciente utilizado para la página se toma de la solicitud (&amp;#39;$pid = $_REQUEST[&amp;#39;pid&amp;#39;] ?? $pid&amp;#39; y &amp;#39;$pid = ($_REQUEST[&amp;#39;hidden_patient_code&amp;#39;] ?? null) &amp;gt; 0 ? $_REQUEST[&amp;#39;hidden_patient_code&amp;#39;] : $pid&amp;#39;) en lugar de estar fijo al usuario autenticado del portal. La sesión del portal ya tiene un &amp;#39;$pid&amp;#39; válido para el paciente que ha iniciado sesión. Sobrescribirlo con valores proporcionados por el usuario y usarlo sin autorización permite a un usuario del portal ver e interactuar con los datos demográficos, facturas e historial de pagos de otro paciente —escalada de privilegios horizontal e IDOR. La versión 8.0.0 contiene una solución para el problema.
Gravedad CVSS v3.1: ALTA
Última modificación:
03/03/2026

Vulnerabilidad en PublicCMS (CVE-2025-69437)

Fecha de publicación:
27/02/2026
Idioma:
Español
PublicCMS v5.202506.d y anteriores es vulnerable a XSS almacenado. Los PDF subidos pueden contener cargas útiles de JavaScript y eludir las comprobaciones de seguridad de PDF en el backend CmsFileUtils.java. Si un usuario sube un archivo PDF que contiene una carga útil maliciosa al sistema y lo visualiza, la carga útil de JavaScript incrustada puede activarse, lo que resulta en problemas como el robo de credenciales, la ejecución arbitraria de API y otras preocupaciones de seguridad. Esta vulnerabilidad afecta a todos los puntos finales de carga de archivos, incluyendo /cmsTemplate/save, /file/doUpload, /cmsTemplate/doUpload, /file/doBatchUpload, /cmsWebFile/doUpload, etc.
Gravedad CVSS v3.1: ALTA
Última modificación:
05/03/2026

Vulnerabilidad en PowerShell Universal de Devolutions (CVE-2026-3277)

Fecha de publicación:
27/02/2026
Idioma:
Español
La configuración de autenticación de OpenID Connect (OIDC) en PowerShell Universal anterior a 2026.1.3 almacena el secreto de cliente de OIDC en texto claro en el script .universal/authentication.ps1, lo que permite a un atacante con acceso de lectura a ese archivo obtener las credenciales de cliente de OIDC.
Gravedad CVSS v4.0: MEDIA
Última modificación:
30/03/2026

Vulnerabilidad en Multer (CVE-2026-3304)

Fecha de publicación:
27/02/2026
Idioma:
Español
Multer es un middleware de node.js para manejar &amp;#39;multipart/form-data&amp;#39;. Una vulnerabilidad en Multer anterior a la versión 2.1.0 permite a un atacante activar una denegación de servicio (DoS) enviando solicitudes malformadas, lo que podría causar el agotamiento de recursos. Los usuarios deberían actualizar a la versión 2.1.0 para recibir un parche. No se conocen soluciones alternativas disponibles.
Gravedad CVSS v4.0: ALTA
Última modificación:
19/03/2026