Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

017 - Ir a la línea de ayuda en Ciberseguridad    Ir a Agenda     Ir a Sala de prensa     Ir a suscripción de boletines

Ir al buscador

Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las ultimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las ultimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las ultimas vulnerabilidades incorporadas al repositorio.

CVE-2025-24787
Fecha de publicación:
06/02/2025
Idioma:
Inglés
*** Pendiente de traducción *** WhoDB is an open source database management tool. In affected versions the application is vulnerable to parameter injection in database connection strings, which allows an attacker to read local files on the machine the application is running on. The application uses string concatenation to build database connection URIs which are then passed to corresponding libraries responsible for setting up the database connections. This string concatenation is done unsafely and without escaping or encoding the user input. This allows an user, in many cases, to inject arbitrary parameters into the URI string. These parameters can be potentially dangerous depending on the libraries used. One of these dangerous parameters is `allowAllFiles` in the library `github.com/go-sql-driver/mysql`. Should this be set to `true`, the library enables running the `LOAD DATA LOCAL INFILE` query on any file on the host machine (in this case, the machine that WhoDB is running on). By injecting `&allowAllFiles=true` into the connection URI and connecting to any MySQL server (such as an attacker-controlled one), the attacker is able to read local files. This issue has been addressed in version 0.45.0 and all users are advised to upgrade. There are no known workarounds for this vulnerability.
Gravedad CVSS v3.1: ALTA
Última modificación:
06/02/2025

CVE-2024-13416
Fecha de publicación:
06/02/2025
Idioma:
Inglés
*** Pendiente de traducción *** Using API in the 2N OS device, authorized user can enable logging, which discloses valid authentication tokens in system log.
Gravedad CVSS v3.1: MEDIA
Última modificación:
06/02/2025

CVE-2024-57668
Fecha de publicación:
06/02/2025
Idioma:
Inglés
*** Pendiente de traducción *** In Code-projects Shopping Portal v1.0, the insert-product.php page has an arbitrary file upload vulnerability.
Gravedad: Pendiente de análisis
Última modificación:
06/02/2025

CVE-2024-57523
Fecha de publicación:
06/02/2025
Idioma:
Inglés
*** Pendiente de traducción *** Cross Site Request Forgery (CSRF) in Users.php in SourceCodester Packers and Movers Management System 1.0 allows attackers to create unauthorized admin accounts via crafted requests sent to an authenticated admin user.
Gravedad CVSS v3.1: MEDIA
Última modificación:
06/02/2025

CVE-2025-22992
Fecha de publicación:
06/02/2025
Idioma:
Inglés
*** Pendiente de traducción *** A SQL Injection vulnerability exists in the /feed/insert.json endpoint of the Emoncms project >= 11.6.9. The vulnerability is caused by improper handling of user-supplied input in the data query parameter, allowing attackers to execute arbitrary SQL commands under specific conditions.
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
06/02/2025

CVE-2024-57610
Fecha de publicación:
06/02/2025
Idioma:
Inglés
*** Pendiente de traducción *** A rate limiting issue in Sylius v2.0.2 allows a remote attacker to perform unrestricted brute-force attacks on user accounts, significantly increasing the risk of account compromise and denial of service for legitimate users.
Gravedad: Pendiente de análisis
Última modificación:
06/02/2025

CVE-2025-23217
Fecha de publicación:
06/02/2025
Idioma:
Inglés
*** Pendiente de traducción *** mitmproxy is a interactive TLS-capable intercepting HTTP proxy for penetration testers and software developers and mitmweb is a web-based interface for mitmproxy. In mitmweb 11.1.1 and below, a malicious client can use mitmweb's proxy server (bound to `*:8080` by default) to access mitmweb's internal API (bound to `127.0.0.1:8081` by default). In other words, while the cannot access the API directly, they can access the API through the proxy. An attacker may be able to escalate this SSRF-style access to remote code execution. The mitmproxy and mitmdump tools are unaffected. Only mitmweb is affected. This vulnerability has been fixed in mitmproxy 11.1.2 and above. Users are advised to upgrade. There are no known workarounds for this vulnerability.
Gravedad CVSS v4.0: ALTA
Última modificación:
06/02/2025

CVE-2025-24981
Fecha de publicación:
06/02/2025
Idioma:
Inglés
*** Pendiente de traducción *** MDC is a tool to take regular Markdown and write documents interacting deeply with a Vue component. In affected versions unsafe parsing logic of the URL from markdown can lead to arbitrary JavaScript code due to a bypass to the existing guards around the `javascript:` protocol scheme in the URL. The parsing logic implement in `props.ts` maintains a deny-list approach to filtering potential malicious payload. It does so by matching protocol schemes like `javascript:` and others. These security guards can be bypassed by an adversarial that provides JavaScript URLs with HTML entities encoded via hex string. Users who consume this library and perform markdown parsing from unvalidated sources could result in rendering vulnerable XSS anchor links. This vulnerability has been addressed in version 0.13.3 and all users are advised to upgrade. There are no known workarounds for this vulnerability.
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
06/02/2025

CVE-2025-22867
Fecha de publicación:
06/02/2025
Idioma:
Inglés
*** Pendiente de traducción *** On Darwin, building a Go module which contains CGO can trigger arbitrary code execution when using the Apple version of ld, due to usage of the @executable_path, @loader_path, or @rpath special values in a "#cgo LDFLAGS" directive. This issue only affected go1.24rc2.
Gravedad CVSS v3.1: ALTA
Última modificación:
06/02/2025

CVE-2024-36553
Fecha de publicación:
06/02/2025
Idioma:
Inglés
*** Pendiente de traducción *** Forever KidsWatch Call Me KW-50 R36_YDR_A3PW_GM7S_V1.0_2019_07_15_16.19.24_cob_h is vulnerable to MITM attack.
Gravedad: Pendiente de análisis
Última modificación:
06/02/2025

CVE-2024-36554
Fecha de publicación:
06/02/2025
Idioma:
Inglés
*** Pendiente de traducción *** Forever KidsWatch Call Me KW-50 R36_YDR_A3PW_GM7S_V1.0_2019_07_15_16.19.24_cob_h and Forever KidsWatch Call Me KW-60 R36CW_YDE_S4_A29_2_V1.0_2023.05.24_22.49.44_cob_b allow a malicious user to gain information about the device by sending an SMS to the device which returns sensitive information.
Gravedad: Pendiente de análisis
Última modificación:
06/02/2025

CVE-2024-36555
Fecha de publicación:
06/02/2025
Idioma:
Inglés
*** Pendiente de traducción *** Built-in SMS-configuration command in Forever KidsWatch Call Me KW50 R36_YDR_A3PW_GM7S_V1.0_2019_07_15_16.19.24_cob_h and Forever KidsWatch Call Me 2 KW-60 R36CW_YDE_S4_A29_2_V1.0_2023.05.24_22.49.44_cob_b allows malicious users to change the device IMEI-number which allows for forging the identity of the device.
Gravedad: Pendiente de análisis
Última modificación:
06/02/2025
Suscribirse a Vulnerabilidades