Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las ultimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las ultimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las ultimas vulnerabilidades incorporadas al repositorio.

CVE-2025-7760

Fecha de publicación:

03/02/2026

Idioma:

Inglés

*** Pendiente de traducción *** Improper Neutralization of Input During Web Page Generation (XSS or &#39;Cross-site Scripting&#39;) vulnerability in Ofisimo Web-Based Software Technologies Association Web Package Flora allows XSS Through HTTP Headers.This issue affects Association Web Package Flora: from v3.0 through 03022026. NOTE: The vendor was contacted early about this disclosure but did not respond in any way.

Gravedad CVSS v3.1: ALTA

Última modificación:

03/02/2026

CVE-2025-6397

Fecha de publicación:

03/02/2026

Idioma:

Inglés

*** Pendiente de traducción *** Improper Neutralization of Input During Web Page Generation (XSS or &#39;Cross-site Scripting&#39;) vulnerability in Ankara Hosting Website Design Website Software allows Reflected XSS.This issue affects Website Software: through 03022026. NOTE: The vendor was contacted early about this disclosure but did not respond in any way.

Gravedad CVSS v3.1: ALTA

Última modificación:

03/02/2026

CVE-2025-11598

Fecha de publicación:

03/02/2026

Idioma:

Inglés

*** Pendiente de traducción *** In mObywatel iOS application an unauthorized user can use the App Switcher to view the account owner&#39;s personal information in the minimized app window, even after the login session has ended (reopening the app would require the user to log in). The data exposed depends on the last application view displayed before the application was minimized This issue was fixed in version 4.71.0

Gravedad CVSS v4.0: BAJA

Última modificación:

03/02/2026

CVE-2026-1432

Fecha de publicación:

03/02/2026

Idioma:

Inglés

*** Pendiente de traducción *** SQL injection vulnerability in the Buroweb platform version 2505.0.12, specifically in the &#39;tablon&#39; component. This vulnerability is present in several parameters that do not correctly sanitize user input in the endpoint &#39;/sta/CarpetaPublic/doEvent?APP_CODE=STA&PAGE_CODE=TABLON&#39;. Exploiting this vulnerability could allow an attacker to execute queries on the database and gain access to confidential information.

Gravedad CVSS v4.0: CRÍTICA

Última modificación:

03/02/2026

CVE-2026-1664

Fecha de publicación:

03/02/2026

Idioma:

Inglés

*** Pendiente de traducción *** Summary An Insecure Direct Object Reference has been found to exist in `createHeaderBasedEmailResolver()` function within the Cloudflare Agents SDK. The issue occurs because the `Message-ID` and `References` headers are parsed to derive the target agentName and agentId without proper validation or origin checks, allowing an external attacker with control of these headers to route inbound mail to arbitrary Durable Object instances and namespaces . Root cause The `createHeaderBasedEmailResolver()` function lacks cryptographic verification or origin validation for the headers used in the routing logic, effectively allowing external input to dictate internal object routing. Impact Insecure Direct Object Reference (IDOR) in email routing lets an attacker steer inbound mail to arbitrary Agent instances via spoofed Message-ID. Mitigation: * PR: https://github.com/cloudflare/agents/blob/main/docs/email.md ] provides the necessary architectural context for coding agents to mitigate the issue by refactoring the resolver to enforce strict identity boundaries. * Agents-sdk users should upgrade to agents@0.3.7

Gravedad CVSS v4.0: MEDIA

Última modificación:

03/02/2026

CVE-2025-67857

Fecha de publicación:

03/02/2026

Idioma:

Inglés

*** Pendiente de traducción *** A flaw was found in moodle. During anonymous assignment submissions, user identifiers were inadvertently exposed in URLs. This data exposure allows unauthorized viewers to see internal user IDs, compromising the intended anonymity and potentially leading to information disclosure.

Gravedad CVSS v3.1: MEDIA

Última modificación:

03/02/2026

CVE-2025-67849

Fecha de publicación:

03/02/2026

Idioma:

Inglés

*** Pendiente de traducción *** A flaw was found in Moodle. This cross-site scripting (XSS) vulnerability, caused by improper sanitization of AI prompt responses, allows attackers to inject malicious HTML or script into web pages. When other users view these compromised pages, their sessions could be stolen, or the user interface could be manipulated.

Gravedad CVSS v3.1: ALTA

Última modificación:

03/02/2026

CVE-2025-67850

Fecha de publicación:

03/02/2026

Idioma:

Inglés

*** Pendiente de traducción *** A flaw was found in moodle. This vulnerability, known as Cross-Site Scripting (XSS), occurs due to insufficient checks on user-provided data in the formula editor&#39;s arithmetic expression fields. A remote attacker could inject malicious code into these fields. When other users view these expressions, the malicious code would execute in their web browsers, potentially compromising their data or leading to unauthorized actions.

Gravedad CVSS v3.1: ALTA

Última modificación:

03/02/2026

CVE-2025-67851

Fecha de publicación:

03/02/2026

Idioma:

Inglés

*** Pendiente de traducción *** A flaw was found in moodle. This formula injection vulnerability occurs when data fields are exported without proper escaping. A remote attacker could exploit this by providing malicious data that, when exported and opened in a spreadsheet, allows arbitrary formulas to execute. This can lead to compromised data integrity and unintended operations within the spreadsheet.

Gravedad CVSS v3.1: MEDIA

Última modificación:

03/02/2026

CVE-2025-67852

Fecha de publicación:

03/02/2026

Idioma:

Inglés

*** Pendiente de traducción *** A flaw was found in Moodle. An open redirect vulnerability in the OAuth login flow allows a remote attacker to redirect users to attacker-controlled pages after they have successfully authenticated. This occurs due to insufficient validation of redirect parameters, which could lead to phishing attacks or information disclosure.

Gravedad CVSS v3.1: BAJA

Última modificación:

03/02/2026

CVE-2025-67853

Fecha de publicación:

03/02/2026

Idioma:

Inglés

*** Pendiente de traducción *** A flaw was found in Moodle. A remote attacker could exploit a lack of proper rate limiting in the confirmation email service. This vulnerability allows attackers to more easily enumerate or guess user credentials, facilitating brute-force attacks against user accounts.

Gravedad CVSS v3.1: ALTA

Última modificación:

03/02/2026

CVE-2025-67855

Fecha de publicación:

03/02/2026

Idioma:

Inglés

*** Pendiente de traducción *** A flaw was found in mooodle. A remote attacker could exploit a reflected Cross-Site Scripting (XSS) vulnerability in the policy tool return URL. This vulnerability arises from insufficient sanitization of URL parameters, allowing attackers to inject malicious scripts through specially crafted links. Successful exploitation could lead to information disclosure or arbitrary client-side script execution within the user&#39;s browser.

Gravedad CVSS v3.1: MEDIA

Última modificación:

03/02/2026

Suscribirse a Vulnerabilidades