Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las ultimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las ultimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las ultimas vulnerabilidades incorporadas al repositorio.

Vulnerabilidad en OpenSift (CVE-2026-27189)

Fecha de publicación:

21/02/2026

Idioma:

Español

OpenSift es una herramienta de estudio de IA que tamiza grandes conjuntos de datos utilizando búsqueda semántica e inteligencia artificial generativa. Las versiones 1.1.2-alpha e inferiores utilizan flujos de persistencia JSON locales no atómicos e insuficientemente sincronizados, causando potencialmente que las operaciones concurrentes pierdan actualizaciones o corrompan el estado local en los almacenes de sesiones/estudio/cuestionarios/tarjetas didácticas/bienestar/autenticación. Este problema ha sido solucionado en la versión 1.1.3-alpha.

Gravedad CVSS v3.1: MEDIA

Última modificación:

23/02/2026

Vulnerabilidad en ebay-mcp de YosefHayim (CVE-2026-27203)

Fecha de publicación:

21/02/2026

Idioma:

Español

eBay API MCP Server es un servidor MCP local de código abierto que proporciona a los asistentes de IA acceso completo a las API de venta de eBay. Todas las versiones son vulnerables a la Inyección de Variables de Entorno a través de la función updateEnvFile. La herramienta ebay_set_user_tokens permite actualizar el archivo .env con nuevos tokens. La función updateEnvFile en src/auth/oauth.ts añade o reemplaza valores ciegamente sin validarlos en busca de saltos de línea o comillas. Esto permite a un atacante inyectar variables de entorno arbitrarias en el archivo de configuración. Un atacante puede inyectar variables de entorno arbitrarias en el archivo .env. Esto podría llevar a sobrescrituras de configuración, Denegación de Servicio y potencial RCE. No había una solución para este problema en el momento de la publicación.

Gravedad CVSS v3.1: ALTA

Última modificación:

23/02/2026

Vulnerabilidad en GetSimpleCMS-CE (CVE-2026-27161)

Fecha de publicación:

21/02/2026

Idioma:

Español

GetSimple CMS es un sistema de gestión de contenido. Todas las versiones de GetSimple CMS dependen de archivos .htaccess para restringir el acceso a directorios sensibles como /data/ y /backups/. Si Apache AllowOverride está deshabilitado (común en entornos de alojamiento endurecidos o compartidos), estas protecciones son ignoradas silenciosamente, permitiendo a atacantes no autenticados listar y descargar archivos sensibles incluyendo authorization.xml, que contiene sales criptográficas y claves API. Este problema no tiene una solución en el momento de la publicación.

Gravedad CVSS v4.0: ALTA

Última modificación:

24/02/2026

Vulnerabilidad en GetSimple CMS (CVE-2026-27147)

Fecha de publicación:

21/02/2026

Idioma:

Español

GetSimple CMS es un sistema de gestión de contenido. Todas las versiones de GetSimple CMS son vulnerables a XSS a través de cargas de archivos SVG. Los usuarios autenticados pueden cargar archivos SVG a través de la funcionalidad de carga de administración, pero estos no son debidamente saneados o restringidos, lo que permite a un atacante incrustar JavaScript malicioso. Cuando se accede al archivo SVG cargado, el script se ejecuta en el navegador. En el momento de la publicación este problema sigue sin ser solucionado.

Gravedad CVSS v4.0: MEDIA

Última modificación:

24/02/2026

Vulnerabilidad en GetSimple CMS (CVE-2026-27146)

Fecha de publicación:

21/02/2026

Idioma:

Español

GetSimple CMS es un sistema de gestión de contenido. Todas las versiones de GetSimple CMS no implementan protección CSRF en el endpoint de carga de archivos de administración. Como resultado, un atacante puede crear una página web maliciosa que activa silenciosamente una solicitud de carga de archivos desde el navegador de una víctima autenticada. La solicitud es aceptada sin requerir un token CSRF o validación de origen. Esto permite a un atacante cargar archivos arbitrarios a la aplicación sin el conocimiento o consentimiento de la víctima. Para explotar esta vulnerabilidad, la víctima debe estar autenticada en GetSimple CMS (p. ej., usuario administrador) y visitar una página web controlada por el atacante. En el momento de esta publicación el problema aún no estaba resuelto.

Gravedad CVSS v4.0: ALTA

Última modificación:

24/02/2026

Vulnerabilidad en OpenSift (CVE-2026-27169)

Fecha de publicación:

21/02/2026

Idioma:

Español

OpenSift es una herramienta de estudio de IA que tamiza grandes conjuntos de datos utilizando búsqueda semántica e IA generativa. Las versiones 1.1.2-alpha e inferiores renderizan contenido no confiable de usuario/modelo en las superficies de la interfaz de usuario de la herramienta de chat utilizando patrones de interpolación HTML inseguros, lo que lleva a XSS. El contenido almacenado puede ejecutar JavaScript cuando se visualiza posteriormente en sesiones autenticadas. Un atacante que puede influir en el contenido almacenado de estudio/cuestionario/tarjetas didácticas podría desencadenar la ejecución de scripts en el navegador de una víctima, realizando potencialmente acciones como ese usuario en la sesión de la aplicación local. Este problema ha sido solucionado en la versión 1.1.3-alpha.

Gravedad CVSS v3.1: ALTA

Última modificación:

23/02/2026

Vulnerabilidad en OpenSift (CVE-2026-27170)

Fecha de publicación:

21/02/2026

Idioma:

Español

OpenSift es una herramienta de estudio de IA que tamiza grandes conjuntos de datos utilizando búsqueda semántica e IA generativa. En las versiones 1.1.2-alpha e inferiores, la ingesta de URL permite un comportamiento de obtención del lado del servidor excesivamente permisivo y puede ser forzada a solicitar objetivos inseguros. Acceso/sondeo potencial de recursos de red privados/locales desde el proceso anfitrión de OpenSift al ingerir URL controladas por el atacante. Este problema ha sido solucionado en la versión 1.1.3-alpha. Para la solución alternativa al usar excepciones de solo locales de confianza, use OPENSIFT_ALLOW_PRIVATE_URLS=true con precaución.

Gravedad CVSS v3.1: ALTA

Última modificación:

23/02/2026

Vulnerabilidad en Sail-codecs-xwd (CVE-2026-27168)

Fecha de publicación:

21/02/2026

Idioma:

Español

SAIL es una biblioteca multiplataforma para cargar y guardar imágenes con soporte para animación, metadatos y perfiles ICC. Todas las versiones son vulnerables a desbordamiento de búfer basado en montículo a través del uso del valor bytes_per_line por parte del analizador XWD. El valor se lee directamente del archivo como el tamaño de lectura en io-&gt;strict_read(), y nunca se compara con el tamaño real del búfer de destino. Un atacante puede proporcionar un archivo XWD con un bytes_per_line arbitrariamente grande, causando una operación de escritura masiva más allá del búfer de montículo asignado para los píxeles de la imagen. El problema no tenía una solución en el momento de la publicación.

Gravedad CVSS v3.1: ALTA

Última modificación:

02/03/2026

Vulnerabilidad en strimzi-kafka-operator (CVE-2026-27134)

Fecha de publicación:

21/02/2026

Idioma:

Español

Strimzi proporciona una forma de ejecutar un clúster de Apache Kafka en Kubernetes u OpenShift en varias configuraciones de despliegue. En las versiones 0.49.0 a 0.50.0, al usar una CA de clúster o clientes personalizada con una cadena de CA multifase que consta de múltiples CA, Strimzi configura incorrectamente los certificados de confianza para la autenticación mTLS tanto en los oyentes internos como en los configurados por el usuario. Todas las CA de la cadena de CA serán de confianza. Y los usuarios con certificados firmados por cualquiera de las CA de la cadena podrán autenticarse. Este problema afecta solo a los usuarios que usan una CA de clúster o clientes personalizada con una cadena de CA multifase que consta de múltiples CA. No afecta a los usuarios que usan las CA de clúster y clientes gestionadas por Strimzi. Tampoco afecta a los usuarios que usan una CA de clúster o clientes personalizada con solo una única CA (es decir, sin cadena de CA con múltiples CA). Este problema ha sido solucionado en la versión 0.50.1. Como solución alternativa a este problema, en lugar de proporcionar la cadena de CA completa como la CA personalizada, los usuarios pueden proporcionar solo la única CA que debe usarse.

Gravedad CVSS v3.1: ALTA

Última modificación:

25/02/2026

Vulnerabilidad en GIMP (CVE-2026-2048)

Fecha de publicación:

20/02/2026

Idioma:

Español

Vulnerabilidad de ejecución remota de código por escritura fuera de límites al analizar archivos XWD en GIMP. Esta vulnerabilidad permite a atacantes remotos ejecutar código arbitrario en instalaciones afectadas de GIMP. Para explotar la vulnerabilidad es precisa la interacción del usuario quien debe visitar una página maliciosa o abrir un archivo malicioso. La falla se encuentra en el análisis de archivos XWD. El problema se debe a la falta de validación adecuada de los datos proporcionados por el usuario, lo que puede resultar en una escritura más allá del final de un búfer asignado. Un atacante puede aprovechar esta vulnerabilidad para ejecutar código en el contexto del proceso actual. Fue ZDI-CAN-28591.

Gravedad CVSS v3.1: ALTA

Última modificación:

24/02/2026

Vulnerabilidad en GIMP (CVE-2026-2047)

Fecha de publicación:

20/02/2026

Idioma:

Español

Vulnerabilidad de ejecución remota de código por desbordamiento de búfer basado en montículo en el análisis de archivos ICNS de GIMP. Esta vulnerabilidad permite a atacantes remotos ejecutar código arbitrario en instalaciones afectadas de GIMP. Para explotar esta vulnerabilidad es precisa la interacción del usuario quien debe visitar una página maliciosa o abrir un archivo malicioso. La falla reside en el análisis de archivos ICNS. El problema se debe a la falta de validación adecuada de la longitud de los datos proporcionados por el usuario antes de copiarlos a un búfer basado en montículo. Un atacante puede aprovechar esta vulnerabilidad para ejecutar código en el contexto del proceso actual. Fue ZDI-CAN-28530.

Gravedad CVSS v3.1: ALTA

Última modificación:

24/02/2026

Vulnerabilidad en RustDesk Cliente para Windows (CVE-2026-2490)

Fecha de publicación:

20/02/2026

Idioma:

Español

RustDesk Cliente para Windows: Vulnerabilidad de revelación de información en el enlace de transferencia de archivos. Esta vulnerabilidad permite a atacantes locales revelar información sensible en instalaciones afectadas de RustDesk Cliente para Windows. Un atacante debe primero obtener la capacidad de ejecutar código con pocos privilegios en el sistema objetivo para explotar esta vulnerabilidad. La falla se encuentra en la característica de Transferencia de Archivos. Al cargar un enlace simbólico, un atacante puede abusar del servicio para leer archivos arbitrarios. Un atacante puede aprovechar esta vulnerabilidad para revelar información en el contexto de SYSTEM. Fue ZDI-CAN-27909.

Gravedad CVSS v3.1: MEDIA

Última modificación:

23/02/2026

Suscribirse a Vulnerabilidades