Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las ultimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las ultimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las ultimas vulnerabilidades incorporadas al repositorio.

Vulnerabilidad en ImageMagick (CVE-2026-24485)

Fecha de publicación:
24/02/2026
Idioma:
Español
ImageMagick es un software libre y de código abierto utilizado para editar y manipular imágenes digitales. Antes de las versiones 7.1.2-15 y 6.9.13-40, cuando un archivo PCD no contiene un marcador Sync válido, la función DecodeImage() queda atrapada en un bucle infinito mientras busca el marcador Sync, lo que provoca que el programa deje de responder y consuma continuamente recursos de CPU, lo que finalmente lleva al agotamiento de los recursos del sistema y a una denegación de servicio. Las versiones 7.1.2-15 y 6.9.13-40 contienen un parche.
Gravedad CVSS v3.1: ALTA
Última modificación:
27/02/2026

Vulnerabilidad en imagemagick (CVE-2026-24484)

Fecha de publicación:
24/02/2026
Idioma:
Español
ImageMagick es un software libre y de código abierto utilizado para editar y manipular imágenes digitales. Antes de las versiones 7.1.2-15 y 6.9.13-40, Magick no verifica las conversiones anidadas de mvg a svg de múltiples capas, lo que lleva a DoS. Las versiones 7.1.2-15 y 6.9.13-40 contienen un parche.
Gravedad CVSS v3.1: MEDIA
Última modificación:
27/02/2026

Vulnerabilidad en udr de free5gc (CVE-2025-69253)

Fecha de publicación:
24/02/2026
Idioma:
Español
free5GC es un proyecto de código abierto para redes de núcleo móvil de quinta generación (5G). Las versiones hasta e incluyendo la 1.4.1 del Repositorio de Datos de Usuario están afectadas por Manejo Inadecuado de Errores con Exposición de Información. El componente NEF filtra de forma fiable detalles internos de errores de análisis (p. ej., carácter no válido 'n' después del valor de nivel superior) a clientes remotos, lo que puede ayudar a los atacantes en la huella digital del servicio. Todas las implementaciones de free5GC que utilizan el servicio Nnef_PfdManagement pueden ser vulnerables. La solicitud de extracción 56 de free5gc/udr contiene un parche. No hay una solución alternativa directa disponible a nivel de aplicación. Se recomienda aplicar el parche oficial.
Gravedad CVSS v4.0: MEDIA
Última modificación:
25/02/2026

Vulnerabilidad en Tenda AC8 (CVE-2026-3044)

Fecha de publicación:
24/02/2026
Idioma:
Español
Se ha encontrado una vulnerabilidad en Tenda AC8 16.03.34.06, la cual afecta a la función webCgiGetUploadFile del archivo /cgi-bin/UploadCfg del componente Servicio Httpd. Si se manipula el argumento boundary se provoca un desbordamiento de búfer basado en pila. Es posible iniciar el ataque de forma remota. El exploit ha sido revelado al público y puede ser utilizado.
Gravedad CVSS v4.0: ALTA
Última modificación:
24/02/2026

Vulnerabilidad en itsourcecode Event Management System (CVE-2026-3043)

Fecha de publicación:
24/02/2026
Idioma:
Español
Se ha encontrado una falla en itsourcecode Event Management System 1.0. El elemento afectado es una función desconocida del archivo /admin/navbar.php. Si se ejecuta el argumento 'page' manipulado se puede provocar un cross-site scripting. El ataque puede realizarse de forma remota. El exploit ha sido publicado y puede ser utilizado.
Gravedad CVSS v4.0: MEDIA
Última modificación:
24/02/2026

Vulnerabilidad en itsourcecode Event Management System (CVE-2026-3042)

Fecha de publicación:
24/02/2026
Idioma:
Español
Se detectó una vulnerabilidad en itsourcecode Event Management System 1.0 que afectada a una función desconocida del archivo /admin/index.php. Si se manipula el argumento ID se puede provocar una inyección SQL. Es posible explotar el ataque en remoto. El exploit es ahora público y puede ser usado.
Gravedad CVSS v4.0: MEDIA
Última modificación:
24/02/2026

Vulnerabilidad en udm de free5gc (CVE-2025-69250)

Fecha de publicación:
24/02/2026
Idioma:
Español
free5gc UDM proporciona Gestión Unificada de Datos (UDM) para free5GC, un proyecto de código abierto para redes centrales móviles de quinta generación (5G). En versiones hasta la 1.4.1 inclusive, el servicio filtra de forma fiable mensajes de error internos detallados (por ejemplo, errores de análisis de strconv.ParseInt) a clientes remotos al procesar entradas 'pduSessionId' no válidas. Esto expone detalles de implementación y puede utilizarse para la huella digital del servicio. Todas las implementaciones de free5GC que utilizan el servicio DELETE de UDM Nudm_UECM pueden ser vulnerables. La solicitud de extracción 76 de free5gc/udm contiene una solución para el problema. No hay una solución alternativa directa disponible a nivel de aplicación. Se recomienda aplicar el parche oficial.
Gravedad CVSS v4.0: MEDIA
Última modificación:
25/02/2026

Vulnerabilidad en udm de free5gc (CVE-2025-69251)

Fecha de publicación:
24/02/2026
Idioma:
Español
free5gc UDM proporciona Gestión Unificada de Datos (UDM) para free5GC, un proyecto de código abierto para redes móviles de quinta generación (5G). En versiones hasta la 1.4.1 inclusive, atacantes remotos pueden inyectar caracteres de control (p. ej., %00) en el parámetro ueId, lo que desencadena errores internos de análisis de URL (net/url: invalid control character). Esto expone detalles de implementación del sistema y puede ayudar en la identificación de servicios (service fingerprinting). Todas las implementaciones de free5GC que utilizan el servicio UDM Nudm_UECM pueden verse afectadas. La solicitud de extracción 76 de free5gc/udm contiene una corrección para el problema. No hay una solución alternativa directa disponible a nivel de aplicación. Se recomienda aplicar el parche oficial.
Gravedad CVSS v4.0: MEDIA
Última modificación:
25/02/2026

Vulnerabilidad en udm de free5gc (CVE-2025-69252)

Fecha de publicación:
24/02/2026
Idioma:
Español
free5gc UDM proporciona Gestión Unificada de Datos (UDM) para free5GC, un proyecto de código abierto para redes centrales móviles de 5ª generación (5G). Las versiones hasta la 1.4.1 inclusive tienen una vulnerabilidad de desreferencia de puntero NULL. Atacantes remotos no autenticados pueden desencadenar un pánico del servicio (Denegación de servicio) enviando una solicitud PUT manipulada con un ueId inesperado, lo que provoca la caída del servicio UDM. Todas las implementaciones de free5GC que utilizan el componente UDM pueden verse afectadas. La solicitud de extracción 76 de free5gc/udm contiene una corrección para el problema. No hay una solución alternativa directa disponible a nivel de aplicación. Se recomienda aplicar el parche oficial.
Gravedad CVSS v4.0: MEDIA
Última modificación:
25/02/2026

Vulnerabilidad en Smolder de WONKO (CVE-2024-58041)

Fecha de publicación:
24/02/2026
Idioma:
Español
Las versiones de Smolder hasta la 1.51 para Perl utilizan la función rand() insegura para funciones criptográficas.<br /> <br /> Smolder 1.51 y anteriores para Perl utilizan la función rand() como fuente de entropía predeterminada, que no es criptográficamente segura, para funciones criptográficas.<br /> <br /> Específicamente, Smolder::DB::Developer utiliza la biblioteca Data::Random, que específicamente indica que es &amp;#39;Útil principalmente para programas de prueba&amp;#39;. Data::Random utiliza la función rand().
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
04/03/2026

Vulnerabilidad en DevTools en Google Chrome (CVE-2026-3063)

Fecha de publicación:
23/02/2026
Idioma:
Español
Implementación inapropiada en DevTools en Google Chrome anterior a 145.0.7632.116 permitió a un atacante, que convenció a un usuario de instalar una extensión maliciosa, inyectar scripts o HTML en una página con privilegios a través de DevTools. (Gravedad de seguridad de Chromium: Alta)
Gravedad CVSS v3.1: MEDIA
Última modificación:
25/02/2026

Vulnerabilidad en componente Print Service de Fiserv Originate Loans Peripherals (CVE-2026-21665)

Fecha de publicación:
23/02/2026
Idioma:
Español
El componente Print Service de Fiserv Originate Loans Peripherals (anteriormente Velocity Services) en la versión no compatible 2021.2.4 (compilación 4.7.3155.0011) utiliza canales TCP de .NET Remoting obsoletos que permiten la deserialización insegura de datos no confiables. Cuando estos servicios están expuestos a una red no confiable en una implementación gestionada por el cliente, un atacante no autenticado puede lograr la ejecución remota de código. La versión 2021.2.4 ya no es compatible con Fiserv. Los clientes deben actualizarse a una versión actualmente compatible (2025.1 o posterior) y asegurarse de que los puertos del servicio .NET Remoting no estén expuestos más allá de los límites de la red confiable.<br /> <br /> Este CVE documenta el comportamiento observado en una implementación alojada por el cliente que ejecuta una versión heredada no compatible de Originate Loans Peripherals con puertos de .NET Remoting expuestos a una red no confiable. Esta no es una configuración predeterminada o compatible. Los clientes que ejecutan versiones heredadas deben actualizarse a una versión actualmente compatible y asegurarse de que los puertos de .NET Remoting estén restringidos a segmentos de red confiables. El hallazgo no se aplica a entornos alojados por Fiserv.
Gravedad CVSS v4.0: ALTA
Última modificación:
25/02/2026