Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las ultimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las ultimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las ultimas vulnerabilidades incorporadas al repositorio.

Vulnerabilidad en WWBN AVideo (CVE-2026-27732)

Fecha de publicación:

24/02/2026

Idioma:

Español

WWBN AVideo es una plataforma de vídeo de código abierto. Antes de la versión 22.0, el endpoint de la API &#39;aVideoEncoder.json.php&#39; acepta un parámetro &#39;downloadURL&#39; y obtiene el recurso referenciado del lado del servidor sin una validación adecuada o una lista de permitidos. Esto permite a los usuarios autenticados activar solicitudes del lado del servidor a URLs arbitrarias (incluyendo endpoints de red internos). Un atacante autenticado puede aprovechar SSRF para interactuar con servicios internos y recuperar datos sensibles (por ejemplo, APIs internas, servicios de metadatos), lo que podría llevar a una mayor compromiso dependiendo del entorno de despliegue. Este problema ha sido solucionado en la versión 22.0 de AVideo.

Gravedad CVSS v4.0: ALTA

Última modificación:

25/02/2026

Vulnerabilidad en mindsdb (CVE-2026-27483)

Fecha de publicación:

24/02/2026

Idioma:

Español

MindsDB es una plataforma para construir inteligencia artificial a partir de datos empresariales. Antes de la versión 25.9.1.1, existe una vulnerabilidad de salto de ruta en la interfaz /api/files de MindsDB, que un atacante autenticado puede explotar para lograr la ejecución remota de comandos. La vulnerabilidad existe en el módulo &#39;Cargar archivo&#39;, que corresponde al endpoint de la API /api/files. Dado que la carga de archivos multipart no realiza comprobaciones de seguridad en la ruta del archivo cargado, un atacante puede realizar un salto de ruta mediante el uso de secuencias &#39;../&#39; en el campo del nombre de archivo. La operación de escritura de archivos ocurre antes de llamar a clear_filename y save_file, lo que significa que no hay filtrado de nombres de archivo o tipos de archivo, permitiendo que se escriba contenido arbitrario en cualquier ruta del servidor. La versión 25.9.1.1 corrige el problema.

Gravedad CVSS v3.1: ALTA

Última modificación:

26/02/2026

Vulnerabilidad en payload de payloadcms (CVE-2026-27567)

Fecha de publicación:

24/02/2026

Idioma:

Español

Payload es un sistema de gestión de contenido headless de código abierto y gratuito. Antes de la versión 3.75.0, existe una vulnerabilidad de falsificación de petición del lado del servidor (SSRF) en la funcionalidad de carga de archivos externos de Payload. Al procesar URLs externas para la carga de archivos, una validación insuficiente de las redirecciones HTTP podría permitir a un atacante autenticado acceder a recursos de red internos. El entorno de Payload debe tener al menos una colección con &#39;upload&#39; habilitado y un usuario que tenga acceso de &#39;create&#39; a esa colección con carga habilitada para ser vulnerable. Un usuario autenticado con permisos de escritura en la colección de carga podría potencialmente acceder a servicios internos. El contenido de la respuesta de los servicios internos podría recuperarse a través de la aplicación. Esta vulnerabilidad ha sido parcheada en la v3.75.0. Como solución alternativa, se puede mitigar esta vulnerabilidad deshabilitando las cargas de archivos externos a través de la opción de colección de carga &#39;disableExternalFile&#39;, o restringiendo el acceso de &#39;create&#39; en colecciones con carga habilitada solo a usuarios de confianza.

Gravedad CVSS v3.1: MEDIA

Última modificación:

26/02/2026

Vulnerabilidad en WWBN AVideo (CVE-2026-27568)

Fecha de publicación:

24/02/2026

Idioma:

Español

WWBN AVideo es una plataforma de vídeo de código abierto. Antes de la versión 21.0, AVideo permite Markdown en los comentarios de vídeo y usa Parsedown (v1.7.4) sin el Modo Seguro habilitado. Los enlaces de Markdown no están suficientemente saneados, lo que permite que las URI &#39;javascript:&#39; se rendericen como enlaces clicables. Un atacante autenticado con pocos privilegios puede publicar un comentario malicioso que inyecte JavaScript persistente. Cuando otro usuario haga clic en el enlace, el atacante puede realizar acciones como el secuestro de sesión, la escalada de privilegios (incluida la toma de control de administrador) y la exfiltración de datos. La versión 21.0 contiene una corrección. Como solución alternativa, valide y bloquee esquemas URI inseguros (por ejemplo, &#39;javascript:&#39;) antes de renderizar Markdown, y habilite el Modo Seguro de Parsedown.

Gravedad CVSS v4.0: MEDIA

Última modificación:

26/02/2026

Vulnerabilidad en SonicOS de SonicWall (CVE-2026-0400)

Fecha de publicación:

24/02/2026

Idioma:

Español

Una vulnerabilidad de Format String post-autenticación en SonicOS permite a un atacante remoto colapsar un cortafuegos.

Gravedad CVSS v3.1: MEDIA

Última modificación:

26/02/2026

Vulnerabilidad en SonicOS de SonicWall (CVE-2026-0401)

Fecha de publicación:

24/02/2026

Idioma:

Español

Una vulnerabilidad de desreferencia de puntero nulo post-autenticación en SonicOS permite a un atacante remoto bloquear un cortafuegos.

Gravedad CVSS v3.1: MEDIA

Última modificación:

26/02/2026

Vulnerabilidad en SonicOS de SonicWall (CVE-2026-0402)

Fecha de publicación:

24/02/2026

Idioma:

Español

Una vulnerabilidad de lectura fuera de límites post-autenticación en SonicOS permite a un atacante remoto colapsar un cortafuegos.

Gravedad CVSS v3.1: MEDIA

Última modificación:

26/02/2026

Vulnerabilidad en api-gateway-deploy de bleon-ethical (CVE-2026-27208)

Fecha de publicación:

24/02/2026

Idioma:

Español

bleon-ethical/api-gateway-deploy proporciona el despliegue de API gateway. La versión 1.0.0 es vulnerable a una cadena de ataque que involucra inyección de comandos del sistema operativo y escalada de privilegios. Esto permite a un atacante ejecutar comandos arbitrarios con privilegios de root dentro del contenedor, lo que podría llevar a un escape del contenedor y modificaciones no autorizadas de la infraestructura. Esto se ha corregido en la versión 1.0.1 mediante la implementación de una sanitización estricta de las entradas y delimitadores seguros en entrypoint.sh, la imposición de un usuario no-root (appuser) en el Dockerfile y el establecimiento de puertas de calidad de seguridad obligatorias.

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

26/02/2026

Vulnerabilidad en TOTOLINK X5000R (CVE-2025-67445)

Fecha de publicación:

24/02/2026

Idioma:

Español

TOTOLINK X5000R V9.1.0cu.2415_B20250515 contiene una vulnerabilidad de denegación de servicio en /cgi-bin/cstecgi.cgi. El CGI lee la variable de entorno CONTENT_LENGTH y asigna memoria usando malloc (CONTENT_LENGTH + 1) sin una comprobación de límites suficiente. Cuando no se aplica el límite de tamaño de solicitud de lighttpd, una solicitud POST grande y elaborada puede causar agotamiento de memoria o un fallo de segmentación, lo que lleva a un fallo del CGI de gestión y la pérdida de disponibilidad de la interfaz web.

Gravedad CVSS v3.1: ALTA

Última modificación:

27/02/2026

Vulnerabilidad en SonicOS de SonicWall (CVE-2026-0399)

Fecha de publicación:

24/02/2026

Idioma:

Español

Múltiples vulnerabilidades de desbordamiento de búfer basado en pila post-autenticación en la interfaz de gestión de SonicOS debido a una comprobación de límites inadecuada en un endpoint de API.

Gravedad CVSS v3.1: MEDIA

Última modificación:

26/02/2026

Vulnerabilidad en CPSD IT SERVICES GMBH (CVE-2025-10010)

Fecha de publicación:

24/02/2026

Idioma:

Español

La aplicación CPSD CryptoPro Secure Disk arranca un pequeño sistema operativo Linux para realizar la autenticación de usuario antes de usar BitLocker para descifrar la partición de Windows. El sistema está ubicado en una partición separada no cifrada a la que puede acceder cualquiera con acceso al disco duro.<br /> <br /> Se realizan múltiples comprobaciones para validar la integridad del sistema operativo Linux y los archivos de la aplicación CryptoPro Secure Disk. Cuando los archivos se modifican, se muestra un error al inicio del sistema. Una de las comprobaciones es la Arquitectura de Medición de Integridad (IMA) del kernel de Linux. Se identificó que los archivos de configuración no son validados por la IMA y pueden entonces (si no son comprobados por otras medidas) ser modificados. Esto permite a un atacante ejecutar código arbitrario en el contexto del usuario root y permite a un atacante, por ejemplo, plantar una puerta trasera y acceder a datos durante la ejecución.

Gravedad CVSS v3.1: MEDIA

Última modificación:

13/03/2026