Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las ultimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las ultimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las ultimas vulnerabilidades incorporadas al repositorio.

CVE-2025-65233

Fecha de publicación:
17/12/2025
Idioma:
Inglés
*** Pendiente de traducción *** Reflected cross-site scripting (XSS) in SLiMS (slims9_bulian) before 9.6.0 via improper handling of $_SERVER['PHP_SELF' ] in index.php/sysconfig.inc.php, which allows remote attackers to execute arbitrary JavaScript in a victim's browser by supplying a crafted URL path.
Gravedad CVSS v3.1: MEDIA
Última modificación:
18/12/2025

CVE-2025-34436

Fecha de publicación:
17/12/2025
Idioma:
Inglés
*** Pendiente de traducción *** AVideo versions prior to 20.1 allow any authenticated user to upload files into directories belonging to other users due to an insecure direct object reference. The upload functionality verifies authentication but does not enforce ownership checks.
Gravedad CVSS v4.0: ALTA
Última modificación:
19/12/2025

CVE-2025-34437

Fecha de publicación:
17/12/2025
Idioma:
Inglés
*** Pendiente de traducción *** AVideo versions prior to 20.1 permit any authenticated user to upload comment images to videos owned by other users. The endpoint validates authentication but omits ownership checks, allowing attackers to perform unauthorized uploads to arbitrary video objects.
Gravedad CVSS v4.0: ALTA
Última modificación:
19/12/2025

CVE-2025-34438

Fecha de publicación:
17/12/2025
Idioma:
Inglés
*** Pendiente de traducción *** AVideo versions prior to 20.1 contain an insecure direct object reference vulnerability allowing users with upload permissions to modify the rotation metadata of any video. The endpoint verifies upload capability but fails to enforce ownership or management rights for the targeted video.
Gravedad CVSS v4.0: MEDIA
Última modificación:
19/12/2025

CVE-2025-34439

Fecha de publicación:
17/12/2025
Idioma:
Inglés
*** Pendiente de traducción *** AVideo versions prior to 20.1 are vulnerable to an open redirect flaw due to missing validation of the cancelUri parameter during user login. An attacker can craft a link to redirect users to arbitrary external sites, enabling phishing attacks.
Gravedad CVSS v4.0: MEDIA
Última modificación:
19/12/2025

CVE-2025-34440

Fecha de publicación:
17/12/2025
Idioma:
Inglés
*** Pendiente de traducción *** AVideo versions prior to 20.1 contain an open redirect vulnerability caused by insufficient validation of the siteRedirectUri parameter during user registration. Attackers can redirect users to external sites, facilitating phishing attacks.
Gravedad CVSS v4.0: MEDIA
Última modificación:
19/12/2025

CVE-2025-34441

Fecha de publicación:
17/12/2025
Idioma:
Inglés
*** Pendiente de traducción *** AVideo versions prior to 20.1 expose sensitive user information through an unauthenticated public API endpoint. Responses include emails, usernames, administrative status, and last login times, enabling user enumeration and privacy violations.
Gravedad CVSS v4.0: MEDIA
Última modificación:
19/12/2025

CVE-2025-34442

Fecha de publicación:
17/12/2025
Idioma:
Inglés
*** Pendiente de traducción *** AVideo versions prior to 20.1 disclose absolute filesystem paths via multiple public API endpoints. Returned metadata includes full server paths to media files, revealing underlying filesystem structure and facilitating more effective attack chains.
Gravedad CVSS v4.0: MEDIA
Última modificación:
19/12/2025

CVE-2025-14760

Fecha de publicación:
17/12/2025
Idioma:
Inglés
*** Pendiente de traducción *** Missing cryptographic key commitment in the AWS SDK for C++ may allow a user with write access to the S3 bucket to introduce a new EDK that decrypts to different plaintext when the encrypted data key is stored in an "instruction file" instead of S3&amp;#39;s metadata record.<br /> <br /> To mitigate this issue, upgrade AWS SDK for C++ to version 1.11.712 or later
Gravedad CVSS v4.0: MEDIA
Última modificación:
18/12/2025

CVE-2025-34434

Fecha de publicación:
17/12/2025
Idioma:
Inglés
*** Pendiente de traducción *** AVideo versions prior to 20.1 with the ImageGallery plugin enabled is vulnerable to unauthenticated file upload and deletion. Plugin endpoints responsible for managing gallery images fail to enforce authentication checks and do not validate ownership, allowing unauthenticated attackers to upload or delete images associated with any image-based video.
Gravedad CVSS v4.0: CRÍTICA
Última modificación:
19/12/2025

CVE-2025-34435

Fecha de publicación:
17/12/2025
Idioma:
Inglés
*** Pendiente de traducción *** AVideo versions prior to 20.1 are vulnerable to an insecure direct object reference (IDOR) that allows any authenticated user to delete media files belonging to other users. The affected endpoint validates authentication but fails to verify ownership or edit permissions for the targeted video.
Gravedad CVSS v4.0: ALTA
Última modificación:
19/12/2025

CVE-2025-14759

Fecha de publicación:
17/12/2025
Idioma:
Inglés
*** Pendiente de traducción *** Missing cryptographic key commitment in the Amazon S3 Encryption Client for .NET may allow a user with write access to the S3 bucket to introduce a new EDK that decrypts to different plaintext when the encrypted data key is stored in an "instruction file" instead of S3&amp;#39;s metadata record.<br /> <br /> To mitigate this issue, upgrade Amazon S3 Encryption Client for .NET to version 3.2.0 or later.
Gravedad CVSS v4.0: MEDIA
Última modificación:
18/12/2025