Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las ultimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las ultimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las ultimas vulnerabilidades incorporadas al repositorio.

CVE-2025-61106

Fecha de publicación:

28/10/2025

Idioma:

Inglés

*** Pendiente de traducción *** FRRouting/frr from v4.0 through v10.4.1 was discovered to contain a NULL pointer dereference via the show_vty_ext_pref_pref_sid function at ospf_ext.c. This vulnerability allows attackers to cause a Denial of Service (DoS) via a crafted OSPF packet.

Gravedad CVSS v3.1: ALTA

Última modificación:

31/10/2025

CVE-2025-61104

Fecha de publicación:

28/10/2025

Idioma:

Inglés

*** Pendiente de traducción *** FRRouting/frr from v4.0 through v10.4.1 was discovered to contain a NULL pointer dereference via the show_vty_unknown_tlv function at ospf_ext.c. This vulnerability allows attackers to cause a Denial of Service (DoS) via a crafted OSPF packet.

Gravedad CVSS v3.1: ALTA

Última modificación:

31/10/2025

CVE-2025-34318

Fecha de publicación:

28/10/2025

Idioma:

Inglés

*** Pendiente de traducción *** IPFire versions prior to 2.29 (Core Update 198) contain a stored cross-site scripting (XSS) vulnerability that allows an authenticated attacker to inject arbitrary JavaScript code through the TLS_HOSTNAME, UPSTREAM_USER, UPSTREAM_PASSWORD, ADMIN_MAIL_ADDRESS, and ADMIN_PASSWORD parameters when adding a new DNS entry. When a user adds a DNS entry, the application issues an HTTP POST request to /cgi-bin/dns.cgi and these values are provided in the corresponding parameters. The values are stored and later rendered in the web interface without proper sanitation or encoding, allowing injected scripts to execute in the context of other users who view the affected DNS configuration.

Gravedad CVSS v4.0: MEDIA

Última modificación:

30/10/2025

CVE-2025-61043

Fecha de publicación:

28/10/2025

Idioma:

Inglés

*** Pendiente de traducción *** An out-of-bounds read vulnerability has been discovered in Monkey&#39;s Audio 11.31, specifically in the CAPECharacterHelper::GetUTF16FromUTF8 function. The issue arises from improper handling of the length of the input UTF-8 string, causing the function to read past the memory boundary. This vulnerability may result in a crash or expose sensitive data.

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

30/10/2025

CVE-2025-61103

Fecha de publicación:

28/10/2025

Idioma:

Inglés

*** Pendiente de traducción *** FRRouting/frr from v4.0 through v10.4.1 was discovered to contain a NULL pointer dereference via the show_vty_ext_link_lan_adj_sid function at ospf_ext.c. This vulnerability allows attackers to cause a Denial of Service (DoS) via a crafted OSPF packet.

Gravedad CVSS v3.1: ALTA

Última modificación:

31/10/2025

CVE-2025-36085

Fecha de publicación:

28/10/2025

Idioma:

Inglés

*** Pendiente de traducción *** IBM Concert 1.0.0 through 2.0.0 Software is vulnerable to server-side request forgery (SSRF). This may allow an authenticated attacker to send unauthorized requests from the system, potentially leading to network enumeration or facilitating other attacks.

Gravedad CVSS v3.1: MEDIA

Última modificación:

31/10/2025

CVE-2025-36083

Fecha de publicación:

28/10/2025

Idioma:

Inglés

*** Pendiente de traducción *** IBM Concert Software <br /> <br /> 1.0.0 through 2.0.0 could allow a local user to obtain sensitive information from buffers due to improper clearing of heap memory before release.

Gravedad CVSS v3.1: MEDIA

Última modificación:

31/10/2025

CVE-2025-36081

Fecha de publicación:

28/10/2025

Idioma:

Inglés

*** Pendiente de traducción *** IBM Concert Software<br /> <br /> 1.0.0 through 2.0.0 could allow a user to modify system logs due to improper neutralization of log input.

Gravedad CVSS v3.1: MEDIA

Última modificación:

31/10/2025

CVE-2025-34317

Fecha de publicación:

28/10/2025

Idioma:

Inglés

*** Pendiente de traducción *** IPFire versions prior to 2.29 (Core Update 198) contain a stored cross-site scripting (XSS) vulnerability that allows an authenticated attacker to inject arbitrary JavaScript code through the TLS_HOSTNAME parameter when adding a new DNS entry. When a user adds a DNS entry, the application issues an HTTP POST request to /cgi-bin/dns.cgi and the TLS hostname is provided in the TLS_HOSTNAME parameter. The value of this parameter is stored and later rendered in the web interface without proper sanitation or encoding, allowing injected scripts to execute in the context of other users who view the affected DNS configuration.

Gravedad CVSS v4.0: MEDIA

Última modificación:

03/11/2025

CVE-2025-34308

Fecha de publicación:

28/10/2025

Idioma:

Inglés

*** Pendiente de traducción *** IPFire versions prior to 2.29 (Core Update 198) contain a stored cross-site scripting (XSS) vulnerability that allows an authenticated attacker to inject arbitrary JavaScript code through the UPDATE_VALUE parameter when updating the default time synchronization settings. When the default values displayed on the Time Server page are updated, the application issues an HTTP POST request to /cgi-bin/time.cgi, and the synchronization value is provided in the UPDATE_VALUE parameter. The value of this parameter is stored and later rendered in the web interface without proper sanitation or encoding, allowing injected scripts to execute in the context of other users who view the affected Time Server configuration page.

Gravedad CVSS v4.0: MEDIA

Última modificación:

03/11/2025

CVE-2025-34309

Fecha de publicación:

28/10/2025

Idioma:

Inglés

*** Pendiente de traducción *** IPFire versions prior to 2.29 (Core Update 198) contain a stored cross-site scripting (XSS) vulnerability that allows an authenticated attacker to inject arbitrary JavaScript code through the SERVICE, LOGIN, and PASSWORD parameters when creating or editing a Dynamic DNS host. When a new Dynamic DNS host is added, the application issues an HTTP POST request to /cgi-bin/ddns.cgi and saves the values of the LOGIN, PASSWORD, and SERVICE parameters. The SERVICE value is displayed after the host entry is created, and the LOGIN and PASSWORD values are displayed when that host entry is edited. The values of these parameters are stored and later rendered in the web interface without proper sanitation or encoding, allowing injected scripts to execute in the context of other users who view or edit the affected Dynamic DNS entries.

Gravedad CVSS v4.0: MEDIA

Última modificación:

03/11/2025

CVE-2025-34310

Fecha de publicación:

28/10/2025

Idioma:

Inglés

*** Pendiente de traducción *** IPFire versions prior to 2.29 (Core Update 198) contain a stored cross-site scripting (XSS) vulnerability that allows an authenticated attacker to inject arbitrary JavaScript code through the INC_SPD, OUT_SPD, DEFCLASS_INC, and DEFCLASS_OUT parameters when updating Quality of Service (QoS) settings. When a user updates speeds or classes, the application issues an HTTP POST request to /cgi-bin/qos.cgi and the values for incoming/outgoing speeds and default classes are provided in the INC_SPD, OUT_SPD, DEFCLASS_INC, and DEFCLASS_OUT parameters. The values of these parameters are stored and later rendered in the web interface without proper sanitation or encoding, allowing injected scripts to execute in the context of other users who view the affected QoS entries.

Gravedad CVSS v4.0: MEDIA

Última modificación:

03/11/2025

Suscribirse a Vulnerabilidades