Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las ultimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las ultimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las ultimas vulnerabilidades incorporadas al repositorio.

Vulnerabilidad en ASR Microelectronics Co., Ltd. (CVE-2025-5072)

Fecha de publicación:
01/07/2025
Idioma:
Español
La vulnerabilidad de fuga de recursos en ASR180x, ASR190x en con_mgr permite la exposición de fuga de recursos. Este problema afecta a Falcon_Linux, Kestrel, Lapwing_Linux: antes de v1536.
Gravedad CVSS v3.1: MEDIA
Última modificación:
03/07/2025

Vulnerabilidad en Pilz GmbH & Co. KG (CVE-2025-41656)

Fecha de publicación:
01/07/2025
Idioma:
Español
Un atacante remoto no autenticado puede ejecutar comandos arbitrarios en los dispositivos afectados con altos privilegios porque la autenticación para el servidor Node_RED no está configurada de forma predeterminada.
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
03/07/2025

Vulnerabilidad en Pilz GmbH & Co. KG (CVE-2025-41648)

Fecha de publicación:
01/07/2025
Idioma:
Español
Un atacante remoto no autenticado puede eludir el inicio de sesión en la aplicación web de los dispositivos afectados, lo que permite acceder y cambiar todas las configuraciones disponibles de IndustrialPI.
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
03/07/2025

Vulnerabilidad en Opal Estate Pro – Property Management and Submission para WordPress (CVE-2025-6934)

Fecha de publicación:
01/07/2025
Idioma:
Español
El complemento Opal Estate Pro – Property Management and Submission para WordPress, utilizado por FullHouse - Real Estate Responsive WordPress Theme, es vulnerable a la escalada de privilegios en todas las versiones hasta la 1.7.5 incluida. Esto se debe a la falta de restricción de roles durante el registro en la función 'on_regiser_user'. Esto permite que atacantes no autenticados elijan arbitrariamente el rol asignado al registrarse, incluido el de Administrador.
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
03/07/2025

Vulnerabilidad en Konica Minolta bizhub 227 Multifunction (CVE-2025-6081)

Fecha de publicación:
01/07/2025
Idioma:
Español
Las credenciales de protección insuficiente en LDAP en las impresoras Konica Minolta bizhub 227 Multifunction, versión GCQ-Y3 o anterior, permiten que un atacante reconfigura el dispositivo objetivo para usar un servicio LDAP externo controlado por el atacante. Si se configura una contraseña LDAP en el dispositivo objetivo, el atacante puede forzar su autenticación en el servicio LDAP controlado por el atacante. Esto le permitirá capturar la contraseña en texto plano del servicio LDAP configurado.
Gravedad CVSS v3.1: MEDIA
Última modificación:
03/07/2025

Vulnerabilidad en ENS HX 10.0.4 (CVE-2025-5967)

Fecha de publicación:
01/07/2025
Idioma:
Español
Una vulnerabilidad de cross-site scripting almacenado en ENS HX 10.0.4 permite que un usuario malintencionado inyecte HTML arbitrario en el campo de nombre de escaneo de malware de ENS HX, lo que da como resultado la exposición de datos confidenciales.
Gravedad CVSS v4.0: MEDIA
Última modificación:
03/07/2025

Vulnerabilidad en Electron (CVE-2024-46993)

Fecha de publicación:
01/07/2025
Idioma:
Español
Electron es un framework de código abierto para desarrollar aplicaciones de escritorio multiplataforma con JavaScript, HTML y CSS. En versiones anteriores a la 28.3.2, 29.3.3 y 30.0.3, las funciones nativeImage.createFromPath() y nativeImage.createFromBuffer() invocan una función dependiente que es vulnerable a un desbordamiento de búfer en el montón. Un programa Electron que utilice cualquiera de las funciones afectadas es vulnerable a un desbordamiento de búfer si un atacante controla la altura, el ancho y el contenido de la imagen. Este problema se ha corregido en las versiones 28.3.2, 29.3.3 y 30.0.3. No existen soluciones alternativas.
Gravedad CVSS v4.0: MEDIA
Última modificación:
03/07/2025

Vulnerabilidad en tiny-secp256k1 (CVE-2024-49364)

Fecha de publicación:
01/07/2025
Idioma:
Español
tiny-secp256k1 es un contenedor nativo/JS de tiny secp256k1. Antes de la versión 1.1.7, se podía extraer una clave privada al firmar un objeto JSON malicioso que se pudiera convertir en cadena, cuando el paquete de búfer era global Búffer. Esto solo afecta a entornos donde require('búfer') es el paquete de búfer de NPM. La comprobación de Buffer.isBuffer se puede omitir, lo que resulta en la reutilización de k para diferentes mensajes, lo que conlleva la extracción de la clave privada de un único mensaje no válido (y de un segundo para el que se podría obtener cualquier mensaje/firma, por ejemplo, uno previamente conocido como válido). Este problema se ha corregido en la versión 1.1.7.
Gravedad CVSS v4.0: ALTA
Última modificación:
03/07/2025

Vulnerabilidad en tiny-secp256k1 (CVE-2024-49365)

Fecha de publicación:
01/07/2025
Idioma:
Español
tiny-secp256k1 es un pequeño contenedor nativo/JS para secp256k1. Antes de la versión 1.1.7, se podía crear un mensaje malicioso que se pudiera convertir en cadena JSON al pasar por verify() cuando el paquete de búfer es global Búfer. Esto solo afecta a entornos donde require('búfer') es el paquete de búfer de NPM. Se puede omitir la comprobación de Buffer.isBuffer, lo que provoca que se acepten objetos extraños como mensaje, y estos mensajes podrían engañar a verify() para que devuelva valores verdaderos falsos positivos. Este problema se ha corregido en la versión 1.1.7.
Gravedad CVSS v4.0: ALTA
Última modificación:
03/07/2025

Vulnerabilidad en TOTOLINK A702R 4.0.0-B20230721.1521 (CVE-2025-6940)

Fecha de publicación:
01/07/2025
Idioma:
Español
Se encontró una vulnerabilidad clasificada como crítica en TOTOLINK A702R 4.0.0-B20230721.1521. Esta vulnerabilidad afecta una funcionalidad desconocida del archivo /boafrm/formParentControl del componente HTTP POST Request Handler. La manipulación del argumento submit-url provoca un desbordamiento del búfer. El ataque puede ejecutarse en remoto. Se ha hecho público el exploit y puede que sea utilizado.
Gravedad CVSS v4.0: ALTA
Última modificación:
07/07/2025

Vulnerabilidad en TOTOLINK A3002RU 3.0.0-B20230809.1615 (CVE-2025-6939)

Fecha de publicación:
01/07/2025
Idioma:
Español
Se ha detectado una vulnerabilidad crítica en TOTOLINK A3002RU 3.0.0-B20230809.1615. La vulnerabilidad afecta a una función desconocida del archivo /boafrm/formWlSiteSurvey del componente HTTP POST Request Handler. La manipulación del argumento "submit-url" provoca un desbordamiento del búfer. El ataque puede ejecutarse en remoto. Se ha hecho público el exploit y puede que sea utilizado.
Gravedad CVSS v4.0: ALTA
Última modificación:
07/07/2025

Vulnerabilidad en Janssen Project (CVE-2025-53003)

Fecha de publicación:
01/07/2025
Idioma:
Español
Janssen Project es una plataforma de gestión de identidades y accesos (IAM) de código abierto. Antes de la versión 1.8.0, la API de configuración devolvía resultados sin verificación de alcance. Esto presentaba una amplia área de ataque interna que exponía todo tipo de información del IDP, incluyendo clientes, usuarios, scripts, etc. Este problema se solucionó en la versión 1.8.0. Una solución alternativa a esta vulnerabilidad consiste en que los usuarios bifurquen y compilen la API de configuración, y la parcheen en sus sistemas después del commit 92eea4d.
Gravedad CVSS v4.0: ALTA
Última modificación:
03/07/2025