Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

017 - Ir a la línea de ayuda en Ciberseguridad    Ir a Agenda     Ir a Sala de prensa     Ir a suscripción de boletines

Ir al buscador

Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las últimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las últimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las últimas vulnerabilidades incorporadas al repositorio.

CVE-2018-25391
Fecha de publicación:
29/05/2026
Idioma:
Inglés
*** Pendiente de traducción *** HaPe PKH 1.1 fails to enforce authorization on its record deletion endpoints, allowing unauthenticated attackers to delete arbitrary records by sending a crafted request that specifies the target record's id. The admin/modul/mod_pengurus/aksi_pengurus.php (module=pengurus&act=hapus) and admin/modul/mod_update/aksi_update.php (module=update&act=hapus) endpoints process deletions without verifying the requester's privileges, enabling removal of pengurus (administrator) and update records.
Gravedad CVSS v4.0: ALTA
Última modificación:
29/05/2026

CVE-2018-25392
Fecha de publicación:
29/05/2026
Idioma:
Inglés
*** Pendiente de traducción *** MaxOn ERP Software 8.x-9.x contains an SQL injection vulnerability that allows authenticated users to execute arbitrary SQL queries through the nomor, user, and jenis parameters in the log_activity function. Attackers can send POST requests to /index.php/user/log_activity with malicious SQL code in these parameters to extract sensitive database information including version and database names.
Gravedad CVSS v4.0: ALTA
Última modificación:
29/05/2026

CVE-2018-25393
Fecha de publicación:
29/05/2026
Idioma:
Inglés
*** Pendiente de traducción *** Navigate CMS 2.8.5 contains a path traversal vulnerability that allows authenticated users to download arbitrary files by injecting directory traversal sequences in the id parameter. Attackers can send GET requests to navigate_download.php with path traversal payloads ../../../cfg/globals.php to access sensitive configuration files and system files outside the intended directory.
Gravedad CVSS v4.0: ALTA
Última modificación:
29/05/2026

CVE-2018-25394
Fecha de publicación:
29/05/2026
Idioma:
Inglés
*** Pendiente de traducción *** Kados R10 GreenBee contains an SQL injection vulnerability that allows unauthenticated attackers to execute arbitrary SQL queries by injecting malicious code through the release_id parameter of boards_buttons/update_release.php. The release_id value is concatenated directly into SQL statements without sanitization, allowing attackers to send a crafted GET request with a UNION-based payload to extract sensitive database information including the current user, database name, and DBMS version.
Gravedad CVSS v4.0: ALTA
Última modificación:
29/05/2026

CVE-2018-25395
Fecha de publicación:
29/05/2026
Idioma:
Inglés
*** Pendiente de traducción *** Kados R10 GreenBee contains an SQL injection vulnerability that allows unauthenticated attackers to execute arbitrary SQL queries by injecting malicious code through the feature_id parameter of boards_buttons/update_feature.php. The feature_id value is concatenated directly into SQL statements without sanitization, allowing attackers to send a crafted GET request with a UNION-based payload to extract sensitive database information including the current user, database name, and DBMS version.
Gravedad CVSS v4.0: ALTA
Última modificación:
29/05/2026

CVE-2018-25382
Fecha de publicación:
29/05/2026
Idioma:
Inglés
*** Pendiente de traducción *** Zechat 1.5 contains an SQL injection vulnerability that allows unauthenticated attackers to extract database information by injecting SQL code through the uname parameter. Attackers can send crafted requests to profile.php with UNION-based SQL injection payloads to retrieve table names, column names, and sensitive data from the information_schema database.
Gravedad CVSS v4.0: ALTA
Última modificación:
29/05/2026

CVE-2018-25383
Fecha de publicación:
29/05/2026
Idioma:
Inglés
*** Pendiente de traducción *** Free MP3 CD Ripper 2.8 contains a stack-based buffer overflow vulnerability in WMA file processing that allows local attackers to bypass DEP protection via structured exception handling manipulation. Attackers can craft a malicious WMA file that triggers the overflow when loaded through the Convert function, enabling execution of arbitrary code through ROP chain gadgets and shellcode injection.
Gravedad CVSS v4.0: ALTA
Última modificación:
29/05/2026

CVE-2018-25384
Fecha de publicación:
29/05/2026
Idioma:
Inglés
*** Pendiente de traducción *** Wikidforum 2.20 contains a cross-site scripting vulnerability that allows authenticated attackers to inject malicious scripts by submitting crafted HTML in the reply_text parameter. Attackers can post comments containing JavaScript code through the rpc.php endpoint that executes in other users' browsers when viewing forum replies.
Gravedad CVSS v4.0: MEDIA
Última modificación:
29/05/2026

CVE-2018-25385
Fecha de publicación:
29/05/2026
Idioma:
Inglés
*** Pendiente de traducción *** E-Registrasi Pencak Silat 18.10 contains an SQL injection vulnerability that allows unauthenticated attackers to execute arbitrary SQL queries by injecting malicious code through the id_partai parameter. Attackers can send GET requests to monitor_nilai.php with crafted SQL payloads in the id_partai parameter to extract sensitive database information including admin credentials and user data.
Gravedad CVSS v4.0: ALTA
Última modificación:
29/05/2026

CVE-2018-25386
Fecha de publicación:
29/05/2026
Idioma:
Inglés
*** Pendiente de traducción *** HaPe PKH 1.1 contains multiple SQL injection vulnerabilities in admin/media.php that allow attackers to manipulate database queries by injecting SQL code through the 'id' parameter. An unauthenticated attacker can exploit the desa module (module=desa&act=hapus), while authenticated users can exploit the pengurus, fasilitas, and kelompok modules (for example act=print, act=editpengurus, act=editfasilitas, and act=editkelompok). Successful exploitation allows extraction of sensitive database information including the current user, database name, and DBMS version.
Gravedad CVSS v4.0: ALTA
Última modificación:
29/05/2026

CVE-2018-25387
Fecha de publicación:
29/05/2026
Idioma:
Inglés
*** Pendiente de traducción *** HaPe PKH 1.1 contains a cross-site request forgery vulnerability that allows attackers to change administrator passwords by submitting forged requests to the user update endpoint. Attackers can craft malicious forms targeting the aksi_user.php script with parameters like id_user, password, and level to modify admin credentials without authentication.
Gravedad CVSS v4.0: MEDIA
Última modificación:
29/05/2026

CVE-2018-25388
Fecha de publicación:
29/05/2026
Idioma:
Inglés
*** Pendiente de traducción *** HaPe PKH 1.1 contains an arbitrary file upload vulnerability that allows authenticated attackers to upload malicious files by bypassing file type validation. Attackers can upload PHP files through multiple endpoints including aksi_foto.php, aksi_user.php, and aksi_kecamatan.php to execute arbitrary code on the server.
Gravedad CVSS v4.0: ALTA
Última modificación:
29/05/2026
Suscribirse a Vulnerabilidades