Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las ultimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las ultimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las ultimas vulnerabilidades incorporadas al repositorio.

CVE-2025-58700

Fecha de publicación:

04/09/2025

Idioma:

Inglés

*** Pendiente de traducción *** Rejected reason: Not used

Gravedad: Pendiente de análisis

Última modificación:

04/09/2025

CVE-2025-58701

Fecha de publicación:

04/09/2025

Idioma:

Inglés

*** Pendiente de traducción *** Rejected reason: Not used

Gravedad: Pendiente de análisis

Última modificación:

04/09/2025

CVE-2025-6085

Fecha de publicación:

04/09/2025

Idioma:

Inglés

*** Pendiente de traducción *** The Make Connector plugin for WordPress is vulnerable to arbitrary file uploads due to misconfigured file type validation in the &#39;upload_media&#39; function in all versions up to, and including, 1.5.10. This makes it possible for authenticated attackers, with Administrator-level access and above, to upload arbitrary files on the affected site&#39;s server which may make remote code execution possible.

Gravedad CVSS v3.1: ALTA

Última modificación:

04/09/2025

CVE-2025-6984

Fecha de publicación:

04/09/2025

Idioma:

Inglés

*** Pendiente de traducción *** The langchain-ai/langchain project, specifically the EverNoteLoader component, is vulnerable to XML External Entity (XXE) attacks due to insecure XML parsing. The affected version is 0.3.63. The vulnerability arises from the use of etree.iterparse() without disabling external entity references, which can lead to sensitive information disclosure. An attacker could exploit this by crafting a malicious XML payload that references local files, potentially exposing sensitive data such as /etc/passwd.

Gravedad CVSS v3.1: ALTA

Última modificación:

04/09/2025

CVE-2025-58171

Fecha de publicación:

04/09/2025

Idioma:

Inglés

*** Pendiente de traducción *** Rejected reason: This CVE is a duplicate of another CVE.

Gravedad: Pendiente de análisis

Última modificación:

04/09/2025

CVE-2025-58064

Fecha de publicación:

04/09/2025

Idioma:

Inglés

*** Pendiente de traducción *** CKEditor 5 is a modern JavaScript rich-text editor with an MVC architecture. ckeditor5 and ckeditor5-clipboard versions 46.0.0 through 46.0.2 and 44.2.0 through 45.2.1 contain a Cross-Site Scripting (XSS) vulnerability. Ability to exploit could be triggered by a specific user action (leading to unauthorized JavaScript code execution) if the attacker managed to insert a malicious content into the editor, which might happen with a very specific editor configuration. This vulnerability affects installations where the editor configuration meets one of the following criteria: the HTML embed plugin is enabled, or there is a custom plugin introducing an editable element where view RawElement is enabled. This issue is fixed in versions 45.2.2 and 46.0.3 of both ckeditor5 and ckeditor5-clipboard.

Gravedad CVSS v4.0: BAJA

Última modificación:

04/09/2025

CVE-2025-58355

Fecha de publicación:

04/09/2025

Idioma:

Inglés

*** Pendiente de traducción *** Soft Serve is a self-hostable Git server for the command line. In versions 0.9.1 and below, attackers can create or override arbitrary files with uncontrolled data through its SSH API. This issue is fixed in version 0.10.0.

Gravedad CVSS v3.1: ALTA

Última modificación:

04/09/2025

CVE-2025-58357

Fecha de publicación:

04/09/2025

Idioma:

Inglés

*** Pendiente de traducción *** 5ire is a cross-platform desktop artificial intelligence assistant and model context protocol client. Version 0.13.2 contains a vulnerability in the chat page&#39;s script gadgets that enables content injection attacks through multiple vectors: malicious prompt injection pages, compromised MCP servers, and exploited tool integrations. This is fixed in version 0.14.0.

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

04/09/2025

CVE-2025-58358

Fecha de publicación:

04/09/2025

Idioma:

Inglés

*** Pendiente de traducción *** Markdownify is a Model Context Protocol server for converting almost anything to Markdown. Versions below 0.0.2 contain a command injection vulnerability, caused by the unsanitized use of input parameters within a call to child_process.exec, enabling an attacker to inject arbitrary system commands. Successful exploitation can lead to remote code execution under the server process&#39;s privileges. The server constructs and executes shell commands using unvalidated user input directly within command-line strings. This introduces the possibility of shell metacharacter injection (|, >, &&, etc.). This issue is fixed in version 0.0.2.

Gravedad CVSS v3.1: ALTA

Última modificación:

04/09/2025

CVE-2025-58057

Fecha de publicación:

04/09/2025

Idioma:

Inglés

*** Pendiente de traducción *** Netty is an asynchronous event-driven network application framework for rapid development of maintainable high performance protocol servers & clients. In netty-codec-compression versions 4.1.124.Final and below, and netty-codec versions 4.2.4.Final and below, when supplied with specially crafted input, BrotliDecoder and certain other decompression decoders will allocate a large number of reachable byte buffers, which can lead to denial of service. BrotliDecoder.decompress has no limit in how often it calls pull, decompressing data 64K bytes at a time. The buffers are saved in the output list, and remain reachable until OOM is hit. This is fixed in versions 4.1.125.Final of netty-codec and 4.2.5.Final of netty-codec-compression.

Gravedad CVSS v4.0: MEDIA

Última modificación:

08/09/2025

CVE-2025-43772

Fecha de publicación:

04/09/2025

Idioma:

Inglés

*** Pendiente de traducción *** Kaleo Forms Admin in Liferay Portal 7.0.0 through 7.4.3.4, and Liferay DXP 7.4 GA, 7.3 GA through update 27, and older unsupported versions does not restrict the saving of request parameters in the portlet session, which allows remote attackers to consume system memory leading to denial-of-service (DoS) conditions via crafted HTTP request.

Gravedad CVSS v4.0: ALTA

Última modificación:

04/09/2025