Instituto Nacional de ciberseguridad. Sección Incibe

017 - Ir a la línea de ayuda en Ciberseguridad    Ir a Agenda     Ir a Sala de prensa     Ir a suscripción de boletines

Ir al buscador

Boletín de vulnerabilidades

Vulnerabilidades con productos recientemente documentados:

No hay vulnerabilidades nuevas para los productos a los que está suscrito.



Otras vulnerabilidades de los productos a los que usted está suscrito, y cuya información ha sido actualizada recientemente:

  • Vulnerabilidad en la autenticación en Unraid (CVE-2020-5849)
    Severidad: ALTA
    Fecha de publicación: 16/03/2020
    Fecha de última actualización: 17/03/2026
    Unraid versión 6.8.0, permite una omisión de autenticación.
  • Vulnerabilidad en Unraid (CVE-2020-5847)
    Severidad: CRÍTICA
    Fecha de publicación: 16/03/2020
    Fecha de última actualización: 17/03/2026
    Unraid versiones hasta 6.8.0, permite una ejecución de código remota.
  • Vulnerabilidad en cms de craftcms (CVE-2026-31857)
    Severidad: ALTA
    Fecha de publicación: 11/03/2026
    Fecha de última actualización: 17/03/2026
    Craft es un sistema de gestión de contenido (CMS). Antes de 5.9.9 y 4.17.4, existe una vulnerabilidad de ejecución remota de código en el sistema de condiciones de Craft CMS 5. El método BaseElementSelectConditionRule::getElementIds() pasa una entrada de cadena controlada por el usuario a través de renderObjectTemplate() -- una función de renderizado de Twig sin 'sandbox' con el escape deshabilitado. Cualquier usuario autenticado del Panel de Control (incluyendo roles no administrativos como Autor o Editor) puede lograr RCE completa enviando una regla de condición especialmente diseñada a través de los puntos finales estándar de listado de elementos. Esta vulnerabilidad no requiere privilegios de administrador, ni permisos especiales más allá del acceso básico al panel de control, y elude todas las configuraciones de endurecimiento de producción (allowAdminChanges: false, devMode: false, enableTwigSandbox: true). Los usuarios deben actualizar a la versión parcheada 5.9.9 o 4.17.4 para mitigar el problema.
  • Vulnerabilidad en Craft (CVE-2026-31858)
    Severidad: ALTA
    Fecha de publicación: 11/03/2026
    Fecha de última actualización: 17/03/2026
    Craft es un sistema de gestión de contenido (CMS). El punto final ElementSearchController::actionSearch() carece de la protección unset() que se añadió a ElementIndexesController en CVE-2026-25495. Exactamente la misma vulnerabilidad de inyección SQL (incluyendo criteria[orderBy], el vector de aviso original) funciona en este controlador porque la solución nunca se le aplicó. Cualquier usuario autenticado del panel de control (no se requiere administrador) puede inyectar SQL arbitrario a través de criteria[where], criteria[orderBy], u otras propiedades de consulta, y extraer el contenido completo de la base de datos a través de inyección ciega basada en booleanos. Los usuarios deben actualizar a la versión 5.9.9 parcheada para mitigar el problema.
  • Vulnerabilidad en Craft (CVE-2026-31859)
    Severidad: MEDIA
    Fecha de publicación: 11/03/2026
    Fecha de última actualización: 17/03/2026
    Craft es un sistema de gestión de contenidos (CMS). La corrección para CVE-2025-35939 en craftcms/cms introdujo una llamada a strip_tags() en src/web/User.php para depurar las URL de retorno antes de que se almacenen en la sesión. Sin embargo, strip_tags() solo elimina las etiquetas HTML (corchetes angulares); no inspecciona ni filtra los esquemas de URL. Las cargas útiles como javascript:alert(document.cookie) no contienen etiquetas HTML y pasan por strip_tags() sin sufrir ninguna modificación, lo que permite un XSS reflejado cuando la URL de retorno se representa en un atributo href. Esta vulnerabilidad se ha corregido en las versiones 5.9.7 y 4.17.3.
  • Vulnerabilidad en Craft Commerce (CVE-2026-31867)
    Severidad: MEDIA
    Fecha de publicación: 11/03/2026
    Fecha de última actualización: 17/03/2026
    Craft Commerce es una plataforma de comercio electrónico para Craft CMS. Antes de las versiones 4.11.0 y 5.6.0, existe una vulnerabilidad de Referencia Directa a Objeto Insegura (IDOR) en la funcionalidad del carrito de Craft Commerce que permite a los usuarios secuestrar cualquier carrito de compras al conocer o adivinar su número de 32 caracteres. El CartController acepta un parámetro de número proporcionado por el usuario para cargar y modificar carritos de compras. No se realiza ninguna validación de propiedad; el código solo verifica si el pedido existe y está incompleto, no si el solicitante tiene autorización para acceder a él. Esta vulnerabilidad permite la toma de control de sesiones de compra y la exposición potencial de PII. Esta vulnerabilidad está corregida en las versiones 4.11.0 y 5.6.0.
  • Vulnerabilidad en Chrome (CVE-2026-3928)
    Severidad: MEDIA
    Fecha de publicación: 11/03/2026
    Fecha de última actualización: 17/03/2026
    Aplicación insuficiente de políticas en extensiones en Google Chrome anterior a 146.0.7680.71 permitió a un atacante que convenció a un usuario de instalar una extensión maliciosa realizar suplantación de interfaz de usuario a través de una extensión de Chrome manipulada. (Gravedad de seguridad de Chromium: Media)
  • Vulnerabilidad en SGLang (CVE-2026-3059)
    Severidad: CRÍTICA
    Fecha de publicación: 12/03/2026
    Fecha de última actualización: 17/03/2026
    El módulo de generación multimodal de SGLang es vulnerable a la ejecución remota de código sin autenticación a través del bróker ZMQ, que deserializa datos no confiables utilizando pickle.loads() sin autenticación.
  • Vulnerabilidad en SGLang (CVE-2026-3060)
    Severidad: CRÍTICA
    Fecha de publicación: 12/03/2026
    Fecha de última actualización: 17/03/2026
    El sistema de desagregación paralela del codificador de SGLang es vulnerable a la ejecución remota de código no autenticada a través del módulo de desagregación, que deserializa datos no confiables utilizando pickle.loads() sin autenticación.