Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las ultimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las ultimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las ultimas vulnerabilidades incorporadas al repositorio.

CVE-2019-25303

Fecha de publicación:
06/02/2026
Idioma:
Inglés
*** Pendiente de traducción *** TheJshen ContentManagementSystem 1.04 contains a SQL injection vulnerability that allows attackers to manipulate database queries through the 'id' GET parameter. Attackers can exploit boolean-based, time-based, and UNION-based SQL injection techniques to extract or manipulate database information by crafting malicious query payloads.
Gravedad CVSS v4.0: ALTA
Última modificación:
06/02/2026

CVE-2019-25304

Fecha de publicación:
06/02/2026
Idioma:
Inglés
*** Pendiente de traducción *** SecurOS Enterprise 10.2 contains an unquoted service path vulnerability in the SecurosCtrlService that allows local users to potentially execute code with elevated privileges. Attackers can exploit the unquoted path in C:\Program Files (x86)\ISS\SecurOS\ to insert malicious code that would execute with system-level permissions during service startup.
Gravedad CVSS v4.0: ALTA
Última modificación:
06/02/2026

CVE-2019-25266

Fecha de publicación:
06/02/2026
Idioma:
Inglés
*** Pendiente de traducción *** Wondershare Application Framework Service 2.4.3.231 contains an unquoted service path vulnerability that allows local attackers to potentially execute arbitrary code with elevated privileges. Attackers can exploit the unquoted service path by placing malicious executables in specific directory locations to hijack the service's execution context.
Gravedad CVSS v4.0: ALTA
Última modificación:
06/02/2026

CVE-2019-25292

Fecha de publicación:
06/02/2026
Idioma:
Inglés
*** Pendiente de traducción *** Alps HID Monitor Service 8.1.0.10 contains an unquoted service path vulnerability that allows local attackers to potentially execute arbitrary code with elevated privileges. Attackers can exploit the unquoted path in C:\Program Files\Apoint2K\HidMonitorSvc.exe to inject malicious executables and gain system-level access.
Gravedad CVSS v4.0: ALTA
Última modificación:
06/02/2026

CVE-2019-25293

Fecha de publicación:
06/02/2026
Idioma:
Inglés
*** Pendiente de traducción *** BlueStacks App Player 2.4.44.62.57 contains an unquoted service path vulnerability in the BstHdLogRotatorSvc service that allows local attackers to potentially execute arbitrary code. Attackers can exploit the unquoted path in C:\Program Files (x86)\Bluestacks\HD-LogRotatorService.exe to inject malicious executables and escalate privileges.
Gravedad CVSS v4.0: ALTA
Última modificación:
06/02/2026

CVE-2019-25294

Fecha de publicación:
06/02/2026
Idioma:
Inglés
*** Pendiente de traducción *** html5_snmp 1.11 contains a persistent cross-site scripting vulnerability that allows attackers to inject malicious scripts through the 'Remark' parameter in add_router_operation.php. Attackers can craft a POST request with a script payload in the Remark field to execute arbitrary JavaScript in victim browsers when the page is loaded.
Gravedad CVSS v4.0: MEDIA
Última modificación:
06/02/2026

CVE-2019-25298

Fecha de publicación:
06/02/2026
Idioma:
Inglés
*** Pendiente de traducción *** html5_snmp 1.11 contains multiple SQL injection vulnerabilities that allow attackers to manipulate database queries through Router_ID and Router_IP parameters. Attackers can exploit error-based, time-based, and union-based injection techniques to potentially extract or modify database information by sending crafted payloads.
Gravedad CVSS v4.0: ALTA
Última modificación:
06/02/2026

CVE-2026-2057

Fecha de publicación:
06/02/2026
Idioma:
Inglés
*** Pendiente de traducción *** A vulnerability was detected in SourceCodester Medical Center Portal Management System 1.0. This affects an unknown function of the file /login.php. The manipulation of the argument User results in sql injection. The attack can be executed remotely. The exploit is now public and may be used.
Gravedad CVSS v4.0: MEDIA
Última modificación:
06/02/2026

CVE-2025-13523

Fecha de publicación:
06/02/2026
Idioma:
Inglés
*** Pendiente de traducción *** Mattermost Confluence plugin version
Gravedad CVSS v3.1: ALTA
Última modificación:
06/02/2026

CVE-2026-1337

Fecha de publicación:
06/02/2026
Idioma:
Inglés
*** Pendiente de traducción *** Insufficient escaping of unicode characters in query log in Neo4j Enterprise and Community editions prior to 2026.01 can lead to XSS if the user opens the logs in a tool that treats them as HTML. There is no security impact on Neo4j products, but this advisory is released as a precaution to treat the logs as plain text if using versions prior to 2026.01.<br /> <br /> Proof of concept exploit:  https://github.com/JoakimBulow/CVE-2026-1337
Gravedad CVSS v4.0: BAJA
Última modificación:
06/02/2026

CVE-2026-2056

Fecha de publicación:
06/02/2026
Idioma:
Inglés
*** Pendiente de traducción *** A security vulnerability has been detected in D-Link DIR-605L and DIR-619L 2.06B01/2.13B01. The impacted element is an unknown function of the file /wan_connection_status.asp of the component DHCP Connection Status Handler. The manipulation leads to information disclosure. Remote exploitation of the attack is possible. The exploit has been disclosed publicly and may be used. This vulnerability only affects products that are no longer supported by the maintainer.
Gravedad CVSS v4.0: MEDIA
Última modificación:
06/02/2026

CVE-2025-13818

Fecha de publicación:
06/02/2026
Idioma:
Inglés
*** Pendiente de traducción *** Local privilege escalation vulnerability via insecure temporary batch file execution in ESET Management Agent
Gravedad CVSS v4.0: ALTA
Última modificación:
06/02/2026