Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las ultimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las ultimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las ultimas vulnerabilidades incorporadas al repositorio.

CVE-2025-68161

Fecha de publicación:

18/12/2025

Idioma:

Inglés

*** Pendiente de traducción *** The Socket Appender in Apache Log4j Core versions 2.0-beta9 through 2.25.2 does not perform TLS hostname verification of the peer certificate, even when the verifyHostName https://logging.apache.org/log4j/2.x/manual/appenders/network.html#SslConfiguration-attr-verifyHostName configuration attribute or the log4j2.sslVerifyHostName https://logging.apache.org/log4j/2.x/manual/systemproperties.html#log4j2.sslVerifyHostName system property is set to true. This issue may allow a man-in-the-middle attacker to intercept or redirect log traffic under the following conditions: * The attacker is able to intercept or redirect network traffic between the client and the log receiver. * The attacker can present a server certificate issued by a certification authority trusted by the Socket Appender’s configured trust store (or by the default Java trust store if no custom trust store is configured). Users are advised to upgrade to Apache Log4j Core version 2.25.3, which addresses this issue. As an alternative mitigation, the Socket Appender may be configured to use a private or restricted trust root to limit the set of trusted certificates.

Gravedad CVSS v4.0: MEDIA

Última modificación:

20/01/2026

CVE-2025-63951

Fecha de publicación:

18/12/2025

Idioma:

Inglés

*** Pendiente de traducción *** An insecure deserialization vulnerability exists in the rss-mp3.php script of the MiczFlor RPi-Jukebox-RFID project through commit 4b2334f0ae0e87c0568876fc41c48c38aa9a7014 (2025-10-07). The &#39;rss&#39; GET parameter receives data that is passed directly to the unserialize() function without validation. This allows a remote, unauthenticated attacker to inject arbitrary PHP objects, causing the application to process them and leading to errors or a denial of service.

Gravedad CVSS v3.1: ALTA

Última modificación:

31/12/2025

CVE-2025-63950

Fecha de publicación:

18/12/2025

Idioma:

Inglés

*** Pendiente de traducción *** An insecure deserialization vulnerability exists in the download.php script of the to3k Twittodon application through commit b1c58a7d1dc664b38deb486ca290779621342c0b (2023-02-28). The &#39;obj&#39; parameter receives base64-encoded data that is passed directly to the unserialize() function without validation. This allows a remote, unauthenticated attacker to inject arbitrary PHP objects, leading to a denial of service.

Gravedad CVSS v3.1: ALTA

Última modificación:

31/12/2025

CVE-2025-63949

Fecha de publicación:

18/12/2025

Idioma:

Inglés

*** Pendiente de traducción *** A Reflected Cross-Site Scripting (XSS) vulnerability in yohanawi Hotel Management System (commit 87e004a) allows a remote attacker to execute arbitrary web script via the &#39;error&#39; parameter in pages/room.php.

Gravedad CVSS v3.1: MEDIA

Última modificación:

31/12/2025

CVE-2025-63948

Fecha de publicación:

18/12/2025

Idioma:

Inglés

*** Pendiente de traducción *** A SQL Injection vulnerability exists in phpMsAdmin version 2.2 in the database_mode.php file. An attacker can execute arbitrary SQL commands via the dbname parameter, potentially leading to information disclosure or database manipulation.

Gravedad CVSS v3.1: MEDIA

Última modificación:

31/12/2025

CVE-2025-63947

Fecha de publicación:

18/12/2025

Idioma:

Inglés

*** Pendiente de traducción *** A Reflected Cross-Site Scripting (XSS) vulnerability exists in phpMsAdmin version 2.2 in the database_mode.php file. An attacker can execute arbitrary web script or HTML via the dbname parameter after a user is authenticated.

Gravedad CVSS v3.1: MEDIA

Última modificación:

06/01/2026

CVE-2025-62002

Fecha de publicación:

18/12/2025

Idioma:

Inglés

*** Pendiente de traducción *** BullWall Ransomware Containment considers the number of files modified to trigger detection. An authenticated attacker could encrypt a single (possibly large) file without triggering detection if thresholds are configured to require multiple file changes. The number of files to trigger detection can be configured by the user. Versions 4.6.0.0, 4.6.0.6, 4.6.0.7, and 4.6.1.4 are affected. Other versions may also be affected.

Gravedad CVSS v4.0: MEDIA

Última modificación:

15/01/2026

CVE-2025-62003

Fecha de publicación:

18/12/2025

Idioma:

Inglés

*** Pendiente de traducción *** BullWall Server Intrusion Protection has a noticeable configuration-dependent delay before the MFA check for RDP connections. A remote, authenticated attacker can potentially bypass detection during this delay. Versions 4.6.0.0, 4.6.0.6, 4.6.0.7, and 4.6.1.4 are affected. Other versions may also be affected.

Gravedad CVSS v4.0: ALTA

Última modificación:

15/01/2026

CVE-2025-62004

Fecha de publicación:

18/12/2025

Idioma:

Inglés

*** Pendiente de traducción *** BullWall Server Intrusion Protection (SIP) services are initialized after login services during system startup. A local, authenticated attacker can log in after boot and before SIP MFA is running. The SIP services do not retroactively enforce MFA or disconnect sessions that were not subject to SIP MFA. Versions 4.6.0.0, 4.6.0.6, 4.6.0.7, and 4.6.1.4 are affected. Other versions mayy also be affected. BullWall plans to improve detection method documentation.

Gravedad CVSS v4.0: ALTA

Última modificación:

15/01/2026

CVE-2025-53710

Fecha de publicación:

18/12/2025

Idioma:

Inglés

*** Pendiente de traducción *** Due to a product misconfiguration in certain deployment types, it was possible from different pods in the same namespace to communicate with each other. This issue resulted in bypass of access control due to the presence of a vulnerable endpoint in Foundry Container Service that executed user-controlled commands locally.

Gravedad CVSS v3.1: ALTA

Última modificación:

19/12/2025

CVE-2025-46268

Fecha de publicación:

18/12/2025

Idioma:

Inglés

*** Pendiente de traducción *** Advantech WebAccess/SCADA is vulnerable to SQL injection, which may allow an attacker to execute arbitrary SQL commands.

Gravedad CVSS v4.0: MEDIA

Última modificación:

31/12/2025

CVE-2025-62000

Fecha de publicación:

18/12/2025

Idioma:

Inglés

*** Pendiente de traducción *** BullWall Ransomware Containment may not always detect an encrypted file. This issue affects a specific file inspection method that evaluates file content based on header bytes. An authenticated attacker could encrypt files, preserving the first four bytes and preventing this particular method from triggering. The affected product implements additional integrity-based detection mechanisms capable of identifying file corruption or encryption for some common file extensions independent of header bytes. As a result, this vulnerability does not represent a complete bypass of ransomware detection, but a limitation of one detection method when evaluated independently. Versions 4.6.0.0, 4.6.0.6, 4.6.0.7, and 4.6.1.4 are affected. Other versions may also be affected. BullWall plans to improve detection method documentation.

Gravedad CVSS v4.0: MEDIA

Última modificación:

14/01/2026

Suscribirse a Vulnerabilidades