Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las últimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las últimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las últimas vulnerabilidades incorporadas al repositorio.

CVE-2026-86204

Fecha de publicación:
09/09/2026
Idioma:
Inglés
*** Pendiente de traducción *** PocketMine-MP versions before 5.39.2 fail to limit JSON payload size in ModalFormResponsePacket handling, allowing authenticated players to cause denial of service. Attackers can send modal form response packets with massive JSON arrays to exhaust server memory and CPU resources, rendering the server unresponsive.
Gravedad CVSS v4.0: ALTA
Última modificación:
08/10/2026

CVE-2024-58380

Fecha de publicación:
09/09/2026
Idioma:
Inglés
*** Pendiente de traducción *** PocketMine-MP versions before 5.11.2 contain a denial of service vulnerability in BookEditPacket handling that crashes the server when an invalid inventory slot value is provided. Attackers can send a crafted BookEditPacket with an inventory slot greater than 35 to trigger an unhandled exception and crash the server.
Gravedad CVSS v4.0: ALTA
Última modificación:
08/10/2026

CVE-2024-58381

Fecha de publicación:
09/09/2026
Idioma:
Inglés
*** Pendiente de traducción *** PocketMine-MP before 5.11.1 contains a denial of service vulnerability in LoginPacket JSON processing that allows remote attackers to crash the server by sending malformed JSON data. Attackers can exploit improper object initialization from scalar JSON types to trigger unset required properties, causing the application to crash.
Gravedad CVSS v4.0: ALTA
Última modificación:
08/10/2026

CVE-2024-58382

Fecha de publicación:
09/09/2026
Idioma:
Inglés
*** Pendiente de traducción *** league/commonmark versions before 2.6.0 contain polynomial time complexity vulnerabilities in Markdown parsing that allow attackers to cause denial of service. Attackers can submit carefully crafted Markdown inputs designed to trigger worst-case performance, and sending multiple requests in parallel exhausts CPU resources and PHP-FPM processes.
Gravedad CVSS v4.0: ALTA
Última modificación:
08/10/2026

CVE-2025-71417

Fecha de publicación:
09/09/2026
Idioma:
Inglés
*** Pendiente de traducción *** PocketMine-MP before 5.32.1 fails to validate uniqueness of pack UUIDs in ResourcePackClientResponsePacket STATUS_SEND_PACKS handling, allowing authenticated clients to trigger duplicate pack transmissions. Attackers can send multiple copies of valid pack UUIDs in a single packet to exhaust server memory and cause denial of service.
Gravedad CVSS v4.0: ALTA
Última modificación:
08/10/2026

CVE-2025-71418

Fecha de publicación:
09/09/2026
Idioma:
Inglés
*** Pendiente de traducción *** PocketMine-MP versions before 5.25.2 fail to limit the explode() function in packet parsing, allowing malicious clients to waste server resources. Attackers can send crafted packets with excessive delimiters to consume CPU and memory through sign editing, JWT parsing, and command parsing endpoints.
Gravedad CVSS v4.0: MEDIA
Última modificación:
08/10/2026

CVE-2023-54355

Fecha de publicación:
09/09/2026
Idioma:
Inglés
*** Pendiente de traducción *** PocketMine-MP versions before 5.3.1 and 4.23.1 fail to validate that the identityPublicKey in LoginPacket uses the required secp384r1 elliptic curve. Attackers can provide LoginPackets with keys using different curves or non-EC key types to pass login verification but trigger an uncaught exception during ECDH key derivation, crashing the server.
Gravedad CVSS v4.0: ALTA
Última modificación:
08/10/2026

CVE-2023-54390

Fecha de publicación:
09/09/2026
Idioma:
Inglés
*** Pendiente de traducción *** PocketMine-MP versions before 5.3.1 and 4.23.1 contain a denial of service vulnerability in LoginPacket JSON parsing due to improper null value handling in arrays. Attackers can send malformed JSON with unexpected null elements in LoginPacket to crash the server.
Gravedad CVSS v4.0: ALTA
Última modificación:
08/10/2026

CVE-2023-54392

Fecha de publicación:
09/09/2026
Idioma:
Inglés
*** Pendiente de traducción *** PocketMine-MP versions >= 4.20.0 before 4.22.3 (and before 5.2.1 in the 5.x branch) fail to validate NBT tag types in BlockActorDataPacket. A player can crash the server by sending a packet containing sign NBT data with an incorrect tag type, triggering an unhandled UnexpectedTagTypeException that terminates the server process.
Gravedad CVSS v4.0: ALTA
Última modificación:
08/10/2026

CVE-2023-54393

Fecha de publicación:
09/09/2026
Idioma:
Inglés
*** Pendiente de traducción *** PocketMine-MP versions before 4.20.5 contain a denial of service vulnerability in LoginPacket JSON parsing due to improper validation in the JsonMapper dependency. Attackers can send malformed JSON structures in LoginPacket to crash the server.
Gravedad CVSS v4.0: ALTA
Última modificación:
08/10/2026

CVE-2023-54394

Fecha de publicación:
09/09/2026
Idioma:
Inglés
*** Pendiente de traducción *** PocketMine-MP before 4.18.0-ALPHA2 fails to rate-limit mismatch type InventoryTransactionPacket requests, allowing attackers to trigger excessive inventory synchronization. Attackers can send numerous mismatch transactions to force the server to transmit large amounts of serialized inventory data, consuming significant bandwidth without authentication.
Gravedad CVSS v4.0: MEDIA
Última modificación:
08/10/2026

CVE-2023-54395

Fecha de publicación:
09/09/2026
Idioma:
Inglés
*** Pendiente de traducción *** PocketMine-MP versions before 4.12.5 contain a denial-of-service vulnerability in ModalFormResponsePacket processing that allows attackers to cause server resource exhaustion by sending large JSON payloads. Attackers can send numerous oversized modal form response packets to consume CPU time and prevent the server from processing legitimate connections.
Gravedad CVSS v4.0: MEDIA
Última modificación:
08/10/2026