Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las ultimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las ultimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las ultimas vulnerabilidades incorporadas al repositorio.

Vulnerabilidad en ArcGIS Server de Esri (CVE-2025-67703)

Fecha de publicación:

31/12/2025

Idioma:

Español

Existe un problema de scripting entre sitios almacenado en Esri ArcGIS Server 11.4 y versiones anteriores en Windows y Linux que en algunas configuraciones permite a un atacante remoto no autenticado almacenar archivos que contienen código malicioso que podría ejecutarse en el contexto del navegador de una víctima.

Gravedad CVSS v3.1: MEDIA

Última modificación:

06/01/2026

Vulnerabilidad en Cowrie (CVE-2025-34469)

Fecha de publicación:

31/12/2025

Idioma:

Español

Las versiones de Cowrie anteriores a la 2.9.0 contienen una vulnerabilidad de falsificación de petición del lado del servidor (SSRF) en la implementación de shell emulado de wget y curl. En la configuración predeterminada del shell emulado, estas emulaciones de comandos realizan peticiones HTTP salientes reales a destinos proporcionados por el atacante. Dado que no se aplicaba ninguna limitación de velocidad de peticiones salientes, atacantes remotos no autenticados podían invocar repetidamente estos comandos para generar tráfico HTTP ilimitado hacia objetivos arbitrarios de terceros, permitiendo que el honeypot de Cowrie fuera abusado como un nodo de amplificación de denegación de servicio y enmascarando la verdadera dirección de origen del atacante detrás de la IP del honeypot.

Gravedad CVSS v4.0: MEDIA

Última modificación:

13/01/2026

Vulnerabilidad en RAGFlow (CVE-2025-69286)

Fecha de publicación:

31/12/2025

Idioma:

Español

RAGFlow es un motor RAG (Generación Aumentada por Recuperación) de código abierto. En versiones anteriores a la 0.22.0, el uso de un algoritmo de generación de claves inseguro en el proceso de generación de la clave API y del token beta (autenticación compartida de asistente/agente) permite que estos tokens sean mutuamente derivables. Específicamente, ambos tokens se generan utilizando el mismo &#39;URLSafeTimedSerializer&#39; con entradas predecibles, lo que permite a un usuario no autorizado que obtiene la URL compartida del asistente/agente derivar la clave API personal. Esto les otorga control total sobre la cuenta del propietario del asistente/agente. La versión 0.22.0 soluciona el problema.

Gravedad CVSS v4.0: ALTA

Última modificación:

06/01/2026

Vulnerabilidad en titra de kromitgmbh (CVE-2025-69288)

Fecha de publicación:

31/12/2025

Idioma:

Español

Titra es un software de seguimiento de tiempo de proyectos de código abierto. Antes de la versión 0.99.49, Titra permite a cualquier usuario administrador autenticado modificar la timeEntryRule en la base de datos. El valor es entonces pasado a un valor de NodeVM para ejecutarse como código. Sin sanitización, esto lleva a una Ejecución Remota de Código. La versión 0.99.49 corrige el problema.

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

13/01/2026

Vulnerabilidad en RAGFlow (CVE-2025-68700)

Fecha de publicación:

31/12/2025

Idioma:

Español

RAGFlow es un motor RAG (Generación Aumentada por Recuperación) de código abierto. En versiones anteriores a la 0.23.0, un usuario autenticado con bajos privilegios (cuenta de inicio de sesión normal) puede ejecutar comandos de sistema arbitrarios en el proceso del host del servidor a través del componente Canvas CodeExec del frontend, eludiendo completamente el aislamiento de la sandbox. Esto ocurre porque los datos no confiables (stdout) se analizan usando eval() sin filtrado ni sandboxing. El diseño previsto era &#39;convertir automáticamente los resultados de cadena en objetos Python&#39;, pero esto ejecuta efectivamente código controlado por el atacante. Los endpoints adicionales carecen de control de acceso o contienen lógica de permisos invertida, expandiendo significativamente la superficie de ataque y permitiendo la explotación encadenada. La versión 0.23.0 contiene un parche para el problema.

Gravedad CVSS v4.0: ALTA

Última modificación:

06/01/2026

Vulnerabilidad en badaso de Uasoft (CVE-2025-15398)

Fecha de publicación:

31/12/2025

Idioma:

Español

Una vulnerabilidad de seguridad ha sido detectada en Uasoft badaso hasta 2.9.7. Afectada es la función forgetPassword del archivo src/Controllers/BadasoAuthController.php del componente Token Handler. Tal manipulación conduce a una recuperación de contraseña débil. El ataque puede ser ejecutado remotamente. Este ataque se caracteriza por alta complejidad. La explotabilidad se dice que es difícil. El exploit ha sido divulgado públicamente y puede ser usado. El proveedor fue contactado tempranamente sobre esta divulgación, pero no respondió de ninguna manera.

Gravedad CVSS v4.0: MEDIA

Última modificación:

14/01/2026

CVE-2023-7332

Fecha de publicación:

31/12/2025

Idioma:

Inglés

*** Pendiente de traducción *** PocketMine-MP versions prior to 4.18.1 contain an improper input validation vulnerability in inventory transaction handling. A remote attacker with a valid player session can request that the server drop more items than are available in the player&#39;s hotbar, triggering a server crash and resulting in denial of service.

Gravedad CVSS v4.0: ALTA

Última modificación:

02/01/2026

CVE-2023-7331

Fecha de publicación:

31/12/2025

Idioma:

Inglés

*** Pendiente de traducción *** A vulnerability was detected in PKrystian Full-Stack-Bank up to bf73a0179e3ff07c0d7dc35297cea0be0e5b1317. This vulnerability affects unknown code of the component User Handler. Performing manipulation results in sql injection. It is possible to initiate the attack remotely. This product is using a rolling release to provide continious delivery. Therefore, no version details for affected nor updated releases are available. The patch is named 25c9965a872c704f3a9475488dc5d3196902199a. It is suggested to install a patch to address this issue.

Gravedad CVSS v4.0: MEDIA

Última modificación:

02/01/2026

Vulnerabilidad en Easy Social de osuthorpe (CVE-2025-53235)

Fecha de publicación:

31/12/2025

Idioma:

Español

Neutralización incorrecta de la entrada durante la generación de páginas web (&#39;cross-site scripting&#39;) vulnerabilidad en osuthorpe Easy Social permite XSS Reflejado. Este problema afecta a Easy Social: desde n/a hasta 1.3.

Gravedad CVSS v3.1: ALTA

Última modificación:

20/01/2026

Vulnerabilidad en Gargoyle Router Management Utility de Gargoyle (CVE-2015-10145)

Fecha de publicación:

31/12/2025

Idioma:

Español

Las versiones 1.5.x de la utilidad de gestión de router Gargoyle contienen una vulnerabilidad de ejecución de comandos del sistema operativo autenticada en /utility/run_commands.sh. La aplicación no restringe o valida adecuadamente la entrada suministrada a través del parámetro &#39;commands&#39;, permitiendo a un atacante autenticado ejecutar comandos de shell arbitrarios en el sistema subyacente. La explotación exitosa puede resultar en el compromiso total del dispositivo, incluyendo acceso no autorizado a archivos del sistema y la ejecución de comandos controlados por el atacante.

Gravedad CVSS v4.0: ALTA

Última modificación:

29/01/2026

Vulnerabilidad en Worker para Elementor (CVE-2025-66144)

Fecha de publicación:

31/12/2025

Idioma:

Español

Vulnerabilidad de autorización faltante en merkulove Worker para Elementor permite la explotación de niveles de seguridad de control de acceso configurados incorrectamente. Este problema afecta a Worker para Elementor: desde n/a hasta 1.0.10.

Gravedad CVSS v3.1: MEDIA

Última modificación:

20/01/2026

Vulnerabilidad en Worker para WPBakery (CVE-2025-66145)

Fecha de publicación:

31/12/2025

Idioma:

Español

Vulnerabilidad por falta de autorización en merkulove Worker para WPBakery permite la explotación de niveles de seguridad de control de acceso configurados incorrectamente. Este problema afecta a Worker para WPBakery: desde n/a hasta 1.1.1.

Gravedad CVSS v3.1: MEDIA

Última modificación:

20/01/2026

Suscribirse a Vulnerabilidades