Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

017 - Ir a la línea de ayuda en Ciberseguridad    Ir a Agenda     Ir a Sala de prensa     Ir a suscripción de boletines

Ir al buscador

Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las ultimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las ultimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las ultimas vulnerabilidades incorporadas al repositorio.

CVE-2025-34306
Fecha de publicación:
28/10/2025
Idioma:
Inglés
*** Pendiente de traducción *** IPFire versions prior to 2.29 (Core Update 198) contain a stored cross-site scripting (XSS) vulnerability that allows an authenticated attacker to inject arbitrary JavaScript code through the pienumber parameter when updating the default firewall IP search values. When a user updates these defaults, the application issues an HTTP POST request to /cgi-bin/logs.cgi/firewalllogip.dat with the default number of IPs in the pienumber parameter. The value of this parameter is stored and later rendered in the web interface without proper sanitation or encoding, allowing injected scripts to execute in the context of other users who view the affected page.
Gravedad CVSS v4.0: MEDIA
Última modificación:
03/11/2025

CVE-2025-34307
Fecha de publicación:
28/10/2025
Idioma:
Inglés
*** Pendiente de traducción *** IPFire versions prior to 2.29 (Core Update 198) contain a stored cross-site scripting (XSS) vulnerability that allows an authenticated attacker to inject arbitrary JavaScript code through the pienumber parameter when updating the firewall country search defaults. When a user updates the default values for the firewall country search, the application issues an HTTP POST request to /cgi-bin/logs.cgi/firewalllogcountry.dat and the default number of countries to display is provided in the pienumber parameter. The value of this parameter is stored and later rendered in the web interface without proper sanitation or encoding, allowing injected scripts to execute in the context of other users who view the affected firewall country search settings.
Gravedad CVSS v4.0: MEDIA
Última modificación:
03/11/2025

CVE-2025-53855
Fecha de publicación:
28/10/2025
Idioma:
Inglés
*** Pendiente de traducción *** An out-of-bounds write vulnerability exists in the XML parser functionality of GCC Productions Inc. Fade In 4.2.0. A specially crafted .fadein file can lead to an out-of-bounds write. An attacker can provide a malicious file to trigger this vulnerability.
Gravedad CVSS v3.1: ALTA
Última modificación:
03/11/2025

CVE-2025-53814
Fecha de publicación:
28/10/2025
Idioma:
Inglés
*** Pendiente de traducción *** A use-after-free vulnerability exists in the XML parser functionality of GCC Productions Inc. Fade In 4.2.0. A specially crafted .xml file can lead to heap-based memory corruption. An attacker can provide a malicious file to trigger this vulnerability.
Gravedad CVSS v3.1: ALTA
Última modificación:
03/11/2025

CVE-2025-12380
Fecha de publicación:
28/10/2025
Idioma:
Inglés
*** Pendiente de traducción *** Starting with Firefox 142, it was possible for a compromised child process to trigger a use-after-free in the GPU or browser process using WebGPU-related IPC calls. This may have been usable to escape the child process sandbox. This vulnerability affects Firefox
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
30/10/2025

CVE-2025-12390
Fecha de publicación:
28/10/2025
Idioma:
Inglés
*** Pendiente de traducción *** A flaw was found in Keycloak. In Keycloak where a user can accidentally get access to another user's session if both use the same device and browser. This happens because Keycloak sometimes reuses session identifiers and doesn’t clean up properly during logout when browser cookies are missing. As a result, one user may receive tokens that belong to another user.
Gravedad CVSS v3.1: MEDIA
Última modificación:
13/11/2025

CVE-2025-12103
Fecha de publicación:
28/10/2025
Idioma:
Inglés
*** Pendiente de traducción *** A flaw was found in Red Hat Openshift AI Service. The TrustyAI component is granting all service accounts and users on a cluster permissions to get, list, watch any pod in any namespace on the cluster.<br /> <br /> TrustyAI is creating a role `trustyai-service-operator-lmeval-user-role` and a CRB `trustyai-service-operator-default-lmeval-user-rolebinding` which is being applied to `system:authenticated` making it so that every single user or service account can get a list of pods running in any namespace on the cluster <br /> <br /> Additionally users can access all `persistentvolumeclaims` and `lmevaljobs`
Gravedad CVSS v3.1: MEDIA
Última modificación:
12/11/2025

CVE-2025-1036
Fecha de publicación:
28/10/2025
Idioma:
Inglés
*** Pendiente de traducción *** Command injection vulnerability exists in the “Logging” page of the web-based configuration utility. An authenticated user with low privileged network access for the configuration utility can execute arbitrary commands on the underlying OS to obtain root SSH access to the TropOS 4th Gen device.
Gravedad CVSS v4.0: ALTA
Última modificación:
30/10/2025

CVE-2025-1037
Fecha de publicación:
28/10/2025
Idioma:
Inglés
*** Pendiente de traducción *** By making minor configuration changes to the TropOS 4th Gen device, an authenticated user with the ability to run user level shell commands can enable access via secure shell (SSH) to an unrestricted root shell. This is possible through abuse of a particular set of scripts and executables that allow for certain commands to be run as root from an unprivileged context.
Gravedad CVSS v4.0: ALTA
Última modificación:
30/10/2025

CVE-2025-1038
Fecha de publicación:
28/10/2025
Idioma:
Inglés
*** Pendiente de traducción *** The “Diagnostics Tools” page of the web-based configuration utility does not properly validate user-controlled input, allowing an authenticated user with high privileges to inject commands into the command shell of the TropOS 4th Gen device. The injected commands can be exploited to execute several set-uid (SUID) applications to ultimately gain root access to the TropOS device.
Gravedad CVSS v4.0: ALTA
Última modificación:
30/10/2025

CVE-2025-40075
Fecha de publicación:
28/10/2025
Idioma:
Inglés
*** Pendiente de traducción *** In the Linux kernel, the following vulnerability has been resolved:<br /> <br /> tcp_metrics: use dst_dev_net_rcu()<br /> <br /> Replace three dst_dev() with a lockdep enabled helper.
Gravedad: Pendiente de análisis
Última modificación:
30/10/2025

CVE-2025-40076
Fecha de publicación:
28/10/2025
Idioma:
Inglés
*** Pendiente de traducción *** In the Linux kernel, the following vulnerability has been resolved:<br /> <br /> PCI: rcar-host: Pass proper IRQ domain to generic_handle_domain_irq()<br /> <br /> Starting with commit dd26c1a23fd5 ("PCI: rcar-host: Switch to<br /> msi_create_parent_irq_domain()"), the MSI parent IRQ domain is NULL because<br /> the object of type struct irq_domain_info passed to:<br /> <br /> msi_create_parent_irq_domain() -&gt;<br /> irq_domain_instantiate()() -&gt;<br /> __irq_domain_instantiate()<br /> <br /> has no reference to the parent IRQ domain. Using msi-&gt;domain-&gt;parent as an<br /> argument for generic_handle_domain_irq() leads to below error:<br /> <br /> "Unable to handle kernel NULL pointer dereference at virtual address"<br /> <br /> This error was identified while switching the upcoming RZ/G3S PCIe host<br /> controller driver to msi_create_parent_irq_domain() (which was using a<br /> similar pattern to handle MSIs (see link section)), but it was not tested<br /> on hardware using the pcie-rcar-host controller driver due to lack of<br /> hardware.<br /> <br /> [mani: reworded subject and description]
Gravedad: Pendiente de análisis
Última modificación:
30/10/2025
Suscribirse a Vulnerabilidades