Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las ultimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las ultimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las ultimas vulnerabilidades incorporadas al repositorio.

CVE-2025-8421

Fecha de publicación:
12/11/2025
Idioma:
Inglés
*** Pendiente de traducción *** An improper default permission vulnerability was reported in Lenovo Dock Manager that, under certain conditions during installation, could allow an authenticated local user to redirect log files with elevated privileges.
Gravedad CVSS v4.0: MEDIA
Última modificación:
12/11/2025

CVE-2025-8485

Fecha de publicación:
12/11/2025
Idioma:
Inglés
*** Pendiente de traducción *** An improper permissions vulnerability was reported in Lenovo App Store that could allow a local authenticated user to execute code with elevated privileges during installation of an application.
Gravedad CVSS v4.0: ALTA
Última modificación:
12/11/2025

CVE-2025-46427

Fecha de publicación:
12/11/2025
Idioma:
Inglés
*** Pendiente de traducción *** Dell SmartFabric OS10 Software, versions prior to 10.6.1.0, contain an Improper Neutralization of Special Elements used in a Command ('Command Injection') vulnerability. A low privileged attacker with remote access could potentially exploit this vulnerability, leading to Command execution.
Gravedad CVSS v3.1: ALTA
Última modificación:
12/11/2025

CVE-2025-46428

Fecha de publicación:
12/11/2025
Idioma:
Inglés
*** Pendiente de traducción *** Dell SmartFabric OS10 Software, versions prior to 10.6.1.0, contain an Improper Neutralization of Special Elements used in a Command ('Command Injection') vulnerability. A low privileged attacker with remote access could potentially exploit this vulnerability, leading to Code execution.
Gravedad CVSS v3.1: ALTA
Última modificación:
12/11/2025

CVE-2025-27368

Fecha de publicación:
12/11/2025
Idioma:
Inglés
*** Pendiente de traducción *** IBM OpenPages 9.0 and 9.1 is vulnerable to information disclosure of sensitive information due to a weaker than expected security for certain REST end points used by the user interface of OpenPages. An authenticated user is able to obtain certain information about system metadata for areas beyond what the user is intended to view.
Gravedad CVSS v3.1: MEDIA
Última modificación:
12/11/2025

CVE-2025-13059

Fecha de publicación:
12/11/2025
Idioma:
Inglés
*** Pendiente de traducción *** A weakness has been identified in SourceCodester Alumni Management System 1.0. The impacted element is an unknown function of the file /manage_career.php. This manipulation of the argument ID causes sql injection. Remote exploitation of the attack is possible. The exploit has been made available to the public and could be exploited.
Gravedad CVSS v4.0: MEDIA
Última modificación:
12/11/2025

CVE-2025-13060

Fecha de publicación:
12/11/2025
Idioma:
Inglés
*** Pendiente de traducción *** A security vulnerability has been detected in SourceCodester Survey Application System 1.0. This affects an unknown function of the file /view_survey.php. Such manipulation of the argument ID leads to sql injection. The attack can be executed remotely. The exploit has been disclosed publicly and may be used.
Gravedad CVSS v4.0: MEDIA
Última modificación:
12/11/2025

CVE-2025-12047

Fecha de publicación:
12/11/2025
Idioma:
Inglés
*** Pendiente de traducción *** A vulnerability was reported in the Lenovo Scanner pro application during an internal security assessment that, under certain circumstances, could allow an attacker on the same logical network to disclose sensitive user files from the application.
Gravedad CVSS v4.0: MEDIA
Última modificación:
12/11/2025

CVE-2025-12048

Fecha de publicación:
12/11/2025
Idioma:
Inglés
*** Pendiente de traducción *** An arbitrary file upload vulnerability was reported in the Lenovo Scanner Pro client during an internal security assessment that could allow remote code execution or unauthorized control of the affected system.
Gravedad CVSS v4.0: ALTA
Última modificación:
12/11/2025

CVE-2025-10495

Fecha de publicación:
12/11/2025
Idioma:
Inglés
*** Pendiente de traducción *** A potential vulnerability was reported in the Lenovo PC Manager, Lenovo App Store, Lenovo Browser, and Lenovo Legion Zone client applications that, under certain conditions, could allow an attacker on the same logical network to execute arbitrary code.
Gravedad CVSS v4.0: ALTA
Última modificación:
12/11/2025

CVE-2024-48829

Fecha de publicación:
12/11/2025
Idioma:
Inglés
*** Pendiente de traducción *** Dell SmartFabric OS10 Software, versions prior to 10.6.1.0, contain an Improper Control of Generation of Code ('Code Injection') vulnerability. A high privileged attacker with local access could potentially exploit this vulnerability, leading to Code execution.
Gravedad CVSS v3.1: MEDIA
Última modificación:
12/11/2025

CVE-2025-64099

Fecha de publicación:
12/11/2025
Idioma:
Inglés
*** Pendiente de traducción *** Open Access Management (OpenAM) is an access management solution. In versions prior to 16.0.0, if the "claims_parameter_supported" parameter is activated, it is possible, thanks to the "oidc-claims-extension.groovy" script, to inject the value of one's choice into a claim contained in the id_token or in the user_info. In the request of an authorize function, a claims parameter containing a JSON file can be injected. This JSON file allows attackers to customize the claims returned by the "id_token" and "user_info" files. This allows for a very wide range of vulnerabilities depending on how clients use claims. For example, if some clients rely on an email field to identify a user, an attacker can choose the email address they want, and therefore assume any identity they choose. Version 16.0.0 fixes the issue.
Gravedad CVSS v4.0: ALTA
Última modificación:
12/11/2025