Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las ultimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las ultimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las ultimas vulnerabilidades incorporadas al repositorio.

Vulnerabilidad en ENS HX 10.0.4 (CVE-2025-5967)

Fecha de publicación:
01/07/2025
Idioma:
Español
Una vulnerabilidad de cross-site scripting almacenado en ENS HX 10.0.4 permite que un usuario malintencionado inyecte HTML arbitrario en el campo de nombre de escaneo de malware de ENS HX, lo que da como resultado la exposición de datos confidenciales.
Gravedad CVSS v4.0: MEDIA
Última modificación:
03/07/2025

Vulnerabilidad en Electron (CVE-2024-46993)

Fecha de publicación:
01/07/2025
Idioma:
Español
Electron es un framework de código abierto para desarrollar aplicaciones de escritorio multiplataforma con JavaScript, HTML y CSS. En versiones anteriores a la 28.3.2, 29.3.3 y 30.0.3, las funciones nativeImage.createFromPath() y nativeImage.createFromBuffer() invocan una función dependiente que es vulnerable a un desbordamiento de búfer en el montón. Un programa Electron que utilice cualquiera de las funciones afectadas es vulnerable a un desbordamiento de búfer si un atacante controla la altura, el ancho y el contenido de la imagen. Este problema se ha corregido en las versiones 28.3.2, 29.3.3 y 30.0.3. No existen soluciones alternativas.
Gravedad CVSS v4.0: MEDIA
Última modificación:
03/07/2025

Vulnerabilidad en tiny-secp256k1 (CVE-2024-49364)

Fecha de publicación:
01/07/2025
Idioma:
Español
tiny-secp256k1 es un contenedor nativo/JS de tiny secp256k1. Antes de la versión 1.1.7, se podía extraer una clave privada al firmar un objeto JSON malicioso que se pudiera convertir en cadena, cuando el paquete de búfer era global Búffer. Esto solo afecta a entornos donde require('búfer') es el paquete de búfer de NPM. La comprobación de Buffer.isBuffer se puede omitir, lo que resulta en la reutilización de k para diferentes mensajes, lo que conlleva la extracción de la clave privada de un único mensaje no válido (y de un segundo para el que se podría obtener cualquier mensaje/firma, por ejemplo, uno previamente conocido como válido). Este problema se ha corregido en la versión 1.1.7.
Gravedad CVSS v4.0: ALTA
Última modificación:
03/07/2025

Vulnerabilidad en tiny-secp256k1 (CVE-2024-49365)

Fecha de publicación:
01/07/2025
Idioma:
Español
tiny-secp256k1 es un pequeño contenedor nativo/JS para secp256k1. Antes de la versión 1.1.7, se podía crear un mensaje malicioso que se pudiera convertir en cadena JSON al pasar por verify() cuando el paquete de búfer es global Búfer. Esto solo afecta a entornos donde require('búfer') es el paquete de búfer de NPM. Se puede omitir la comprobación de Buffer.isBuffer, lo que provoca que se acepten objetos extraños como mensaje, y estos mensajes podrían engañar a verify() para que devuelva valores verdaderos falsos positivos. Este problema se ha corregido en la versión 1.1.7.
Gravedad CVSS v4.0: ALTA
Última modificación:
03/07/2025

Vulnerabilidad en TOTOLINK A702R 4.0.0-B20230721.1521 (CVE-2025-6940)

Fecha de publicación:
01/07/2025
Idioma:
Español
Se encontró una vulnerabilidad clasificada como crítica en TOTOLINK A702R 4.0.0-B20230721.1521. Esta vulnerabilidad afecta una funcionalidad desconocida del archivo /boafrm/formParentControl del componente HTTP POST Request Handler. La manipulación del argumento submit-url provoca un desbordamiento del búfer. El ataque puede ejecutarse en remoto. Se ha hecho público el exploit y puede que sea utilizado.
Gravedad CVSS v4.0: ALTA
Última modificación:
07/07/2025

Vulnerabilidad en TOTOLINK A3002RU 3.0.0-B20230809.1615 (CVE-2025-6939)

Fecha de publicación:
01/07/2025
Idioma:
Español
Se ha detectado una vulnerabilidad crítica en TOTOLINK A3002RU 3.0.0-B20230809.1615. La vulnerabilidad afecta a una función desconocida del archivo /boafrm/formWlSiteSurvey del componente HTTP POST Request Handler. La manipulación del argumento "submit-url" provoca un desbordamiento del búfer. El ataque puede ejecutarse en remoto. Se ha hecho público el exploit y puede que sea utilizado.
Gravedad CVSS v4.0: ALTA
Última modificación:
07/07/2025

Vulnerabilidad en Janssen Project (CVE-2025-53003)

Fecha de publicación:
01/07/2025
Idioma:
Español
Janssen Project es una plataforma de gestión de identidades y accesos (IAM) de código abierto. Antes de la versión 1.8.0, la API de configuración devolvía resultados sin verificación de alcance. Esto presentaba una amplia área de ataque interna que exponía todo tipo de información del IDP, incluyendo clientes, usuarios, scripts, etc. Este problema se solucionó en la versión 1.8.0. Una solución alternativa a esta vulnerabilidad consiste en que los usuarios bifurquen y compilen la API de configuración, y la parcheen en sus sistemas después del commit 92eea4d.
Gravedad CVSS v4.0: ALTA
Última modificación:
03/07/2025

Vulnerabilidad en Sunshine (CVE-2025-53095)

Fecha de publicación:
01/07/2025
Idioma:
Español
Sunshine es un servidor de streaming de juegos autoalojado para Moonlight. Antes de la versión 2025.628.4510, la interfaz web de Sunshine carecía de protección contra ataques de Cross-Site Request Forgery (CSRF). Esta vulnerabilidad permite a un atacante crear una página web maliciosa que, al ser visitada por un usuario autenticado, puede desencadenar acciones no deseadas dentro de la aplicación Sunshine en nombre de dicho usuario. En concreto, dado que la aplicación ejecuta comandos del sistema operativo por diseño, este problema puede explotarse para abusar de la función "Preparación de comandos", lo que permite a un atacante inyectar comandos arbitrarios que se ejecutarán con privilegios de administrador al iniciar una aplicación. Este problema se ha corregido en la versión 2025.628.4510.
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
03/07/2025

Vulnerabilidad en Sunshine (CVE-2025-53096)

Fecha de publicación:
01/07/2025
Idioma:
Español
Sunshine es un servidor de streaming de juegos autoalojado para Moonlight. Antes de la versión 2025.628.4510, la interfaz web de Sunshine carecía de protección contra ataques de clickjacking. Esta vulnerabilidad permite a un atacante integrar la interfaz de Sunshine en un sitio web malicioso mediante un iframe invisible o camuflado. Si se engaña a un usuario para que interactúe (uno o varios clics) con la página maliciosa mientras está autenticado, podría realizar acciones dentro de la aplicación Sunshine sin su consentimiento. Este problema se ha corregido en la versión 2025.628.4510.
Gravedad CVSS v3.1: MEDIA
Última modificación:
03/07/2025

Vulnerabilidad en code-projects Simple Pizza Ordering System 1.0 (CVE-2025-6938)

Fecha de publicación:
01/07/2025
Idioma:
Español
Se encontró una vulnerabilidad en code-projects Simple Pizza Ordering System 1.0. Se ha clasificado como crítica. Este problema afecta a un procesamiento desconocido del archivo /editcus.php. La manipulación del ID del argumento provoca una inyección SQL. El ataque puede ejecutarse en remoto. Se ha hecho público el exploit y puede que sea utilizado.
Gravedad CVSS v4.0: MEDIA
Última modificación:
07/07/2025

Vulnerabilidad en Electron (CVE-2024-46992)

Fecha de publicación:
01/07/2025
Idioma:
Español
Electron es un framework de código abierto para escribir aplicaciones de escritorio multiplataforma con JavaScript, HTML y CSS. Desde la versión 30.0.0-alpha.1 hasta la anterior a la 30.0.5 y desde la 31.0.0-alpha.1 hasta la anterior a la 31.0.0-beta.1, Electron es vulnerable a una omisión de integridad ASAR. Esto solo afecta a las apps que tienen habilitados los fusibles embeddedAsarIntegrityValidation y onlyLoadAppFromAsar. Las apps sin estos fusibles habilitados no se ven afectadas. Este problema es específico de Windows; las apps que usan estos fusibles en macOS no se ven afectadas. En concreto, este problema solo se puede explotar si la app se inicia desde un sistema de archivos al que el atacante tiene acceso de escritura, es decir, la capacidad de editar archivos dentro del paquete .app en macOS, contra el cual se supone que estos fusibles protegen. Este problema se ha corregido en las versiones 30.0.5 y 31.0.0-beta.1. No existen soluciones alternativas.
Gravedad CVSS v3.1: ALTA
Última modificación:
03/07/2025

Vulnerabilidad en IBM System Storage Virtualization Engine (CVE-2025-36056)

Fecha de publicación:
01/07/2025
Idioma:
Español
IBM System Storage Virtualization Engine TS7700 3957 VED R5.4 8.54.2.17, R6.0 8.60.0.115, 3948 VED R5.4 8.54.2.17, R6.0 8.60.0.115 y 3948 VEF R6.0 8.60.0.115 son vulnerables a ataques de cross-site scripting. Esta vulnerabilidad permite a un usuario autenticado incrustar código JavaScript arbitrario en la interfaz web, alterando así la funcionalidad prevista, lo que podría provocar la divulgación de credenciales en una sesión de confianza.
Gravedad CVSS v3.1: MEDIA
Última modificación:
03/07/2025