Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las ultimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las ultimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las ultimas vulnerabilidades incorporadas al repositorio.

CVE-2022-4977

Fecha de publicación:

10/03/2026

Idioma:

Inglés

*** Pendiente de traducción *** Rejected reason: ** REJECT ** DO NOT USE THIS CANDIDATE NUMBER. Reason: This candidate was issued in error. Notes: All references and descriptions in this candidate have been removed to prevent accidental usage.

Gravedad: Pendiente de análisis

Última modificación:

10/03/2026

Vulnerabilidad en Schneider Electric (CVE-2025-11739)

Fecha de publicación:

10/03/2026

Idioma:

Español

La vulnerabilidad CWE?502: Deserialización de Datos No Confiables existe y podría causar la ejecución de código arbitrario con privilegios administrativos cuando un atacante autenticado localmente envía un flujo de datos manipulado, desencadenando una deserialización insegura.

Gravedad CVSS v4.0: ALTA

Última modificación:

11/03/2026

Vulnerabilidad en The Events Calendar de stellarwp (CVE-2026-3585)

Fecha de publicación:

10/03/2026

Idioma:

Español

El plugin The Events Calendar para WordPress es vulnerable a salto de ruta en todas las versiones hasta la 6.15.17, inclusive, a través de la función ajax_create_import. Esto permite a atacantes autenticados, con acceso de nivel Autor o superior, leer el contenido de archivos arbitrarios en el servidor, que pueden contener información sensible.

Gravedad CVSS v3.1: ALTA

Última modificación:

22/04/2026

Vulnerabilidad en OneUptime (CVE-2026-30920)

Fecha de publicación:

10/03/2026

Idioma:

Español

OneUptime es una solución para monitorear y gestionar servicios en línea. Antes de 10.0.19, la devolución de llamada de la aplicación GitHub de OneUptime confía en valores de estado y installation_id controlados por el atacante y actualiza Project.gitHubAppInstallationId con isRoot: true sin validar que el llamador esté autorizado para el proyecto objetivo. Esto permite a un atacante sobrescribir la vinculación de instalación de la aplicación GitHub de otro proyecto. Los puntos finales de GitHub relacionados también carecen de autorización efectiva, por lo que un ID de instalación válido puede ser utilizado para enumerar repositorios y crear registros de CodeRepository en un proyecto arbitrario. Esta vulnerabilidad se corrige en 10.0.19.

Gravedad CVSS v3.1: ALTA

Última modificación:

12/03/2026

Vulnerabilidad en OneUptime (CVE-2026-30921)

Fecha de publicación:

10/03/2026

Idioma:

Español

OneUptime es una solución para monitorear y gestionar servicios en línea. Antes de la versión 10.0.20, los Monitores Sintéticos de OneUptime permiten a usuarios de proyecto con bajos privilegios enviar código Playwright personalizado que se ejecuta en el servicio oneuptime-probe. En la implementación actual, este código no confiable se ejecuta dentro de la vm de Node y se le otorgan objetos Playwright de host en vivo como navegador y página. Esto crea una primitiva RCE del lado del servidor distinta: el atacante no necesita el clásico escape de sandbox this.constructor.constructor(...). En su lugar, el atacante puede usar directamente el objeto navegador de Playwright inyectado para alcanzar browser.browserType().launch(...) y generar un ejecutable arbitrario en el host/contenedor de la sonda. Esta vulnerabilidad se corrige en la versión 10.0.20.

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

12/03/2026

Vulnerabilidad en parse-server de parse-community (CVE-2026-30925)

Fecha de publicación:

10/03/2026

Idioma:

Español

Parse Server es un backend de código abierto que puede ser desplegado en cualquier infraestructura que pueda ejecutar Node.js. Antes de 9.5.0-alpha.14 y 8.6.11, un cliente malicioso puede suscribirse a una LiveQuery con un patrón $regex manipulado que causa un retroceso catastrófico, bloqueando el bucle de eventos de Node.js. Esto hace que todo el Parse Server no responda, afectando a todos los clientes. Cualquier despliegue de Parse Server con LiveQuery habilitado se ve afectado. El atacante solo necesita el ID de aplicación y la clave de JavaScript, ambos son públicos en las aplicaciones del lado del cliente. Esto solo afecta la coincidencia de suscripción de LiveQuery, que evalúa expresiones regulares en JavaScript en el bucle de eventos de Node.js. Las consultas REST y GraphQL normales no se ven afectadas porque sus expresiones regulares son evaluadas por el motor de la base de datos. Esta vulnerabilidad está corregida en 9.5.0-alpha.14 y 8.6.11.

Gravedad CVSS v4.0: ALTA

Última modificación:

11/03/2026

Vulnerabilidad en Admidio (CVE-2026-30927)

Fecha de publicación:

10/03/2026

Idioma:

Español

Admidio es una solución de gestión de usuarios de código abierto. Antes de la 5.0.6, en modules/events/events_function.php, la lógica de participación en eventos permite a cualquier usuario que pueda participar en un evento registrar a OTROS usuarios manipulando el parámetro GET user_uuid. La condición utiliza || (OR), lo que significa que si possibleToParticipate() devuelve verdadero (el evento está abierto para la participación), CUALQUIER usuario - no solo los líderes - puede especificar un user_uuid diferente y registrar/cancelar la participación para ese usuario. El código entonces opera sobre $user-&gt;getValue(&#39;usr_id&#39;) (el usuario objetivo de user_uuid) en lugar del usuario actual. Esta vulnerabilidad está corregida en la 5.0.6.

Gravedad CVSS v4.0: MEDIA

Última modificación:

13/03/2026

Vulnerabilidad en nicknames de flarum (CVE-2026-30913)

Fecha de publicación:

10/03/2026

Idioma:

Español

Flarum es un software de foro de código abierto. Cuando la extensión flarum/nicknames está habilitada, un usuario registrado puede establecer su apodo a una cadena que los clientes de correo electrónico interpretan como un hipervínculo. El apodo se inserta textualmente en los correos electrónicos de notificación de texto sin formato, y los destinatarios pueden ser engañados para que visiten dominios controlados por el atacante.

Gravedad CVSS v3.1: MEDIA

Última modificación:

11/03/2026

Vulnerabilidad en facileManager (CVE-2026-30919)

Fecha de publicación:

10/03/2026

Idioma:

Español

facileManager es una suite modular de aplicaciones web construida pensando en el administrador de sistemas. Antes de 6.0.4, el XSS almacenado (también conocido como XSS persistente o de segundo orden) ocurre cuando una aplicación recibe datos de una fuente no confiable e incluye esos datos en sus respuestas HTTP subsiguientes de manera insegura. Esta vulnerabilidad fue encontrada en el módulo fmDNS. Esta vulnerabilidad está corregida en 6.0.4.

Gravedad CVSS v3.1: ALTA

Última modificación:

13/03/2026

Vulnerabilidad en facileManager (CVE-2026-30918)

Fecha de publicación:

10/03/2026

Idioma:

Español

facileManager es una suite modular de aplicaciones web diseñada pensando en el administrador de sistemas. Antes de la versión 6.0.4, se produce un XSS reflejado cuando una aplicación recibe datos de una fuente no confiable y los utiliza en sus respuestas HTTP de una manera que podría generar vulnerabilidades. Es posible inyectar código JavaScript malicioso en una URL añadiendo un script en un parámetro. Esta vulnerabilidad fue encontrada en el módulo fmDNS. El parámetro que es vulnerable a un ataque XSS es log_search_query. Esta vulnerabilidad está corregida en la versión 6.0.4.

Gravedad CVSS v3.1: ALTA

Última modificación:

13/03/2026

Vulnerabilidad en shescape de ericcornelissen (CVE-2026-30916)

Fecha de publicación:

10/03/2026

Idioma:

Español

Shescape es una sencilla biblioteca de escape de shell para JavaScript. Antes de la versión 2.1.9, un atacante podría ser capaz de eludir el escape para el shell que se está utilizando. Esto puede resultar, por ejemplo, en la exposición de información sensible. Esto afecta a los usuarios de Shescape que configuran su shell para que apunte a un archivo en disco que es un enlace a un enlace. El resultado preciso de verse afectado depende del shell real utilizado y del shell incorrecto identificado por Shescape. Esta vulnerabilidad está corregida en la versión 2.1.9.

Gravedad CVSS v4.0: BAJA

Última modificación:

20/03/2026

Vulnerabilidad en weirdgloop (CVE-2026-30917)

Fecha de publicación:

10/03/2026

Idioma:

Español

Bucket es una extensión de MediaWiki para almacenar y recuperar datos estructurados en artículos. Antes de 2.1.1, un XSS almacenado puede insertarse en cualquier campo de tabla de Bucket que tenga un tipo PAGE, el cual se ejecutará cada vez que un usuario vea la página de espacio de nombres de Bucket correspondiente a esa tabla. Esta vulnerabilidad está corregida en 2.1.1.

Gravedad CVSS v4.0: ALTA

Última modificación:

16/04/2026

Suscribirse a Vulnerabilidades