Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las ultimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las ultimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las ultimas vulnerabilidades incorporadas al repositorio.

Vulnerabilidad en RevelaCode (CVE-2025-54428)

Fecha de publicación:

28/07/2025

Idioma:

Español

RevelaCode es un proyecto de tecnología religiosa basado en IA que decodifica versículos bíblicos, profecías y eventos globales en un lenguaje accesible. En versiones anteriores a la 1.0.1, una URI válida de MongoDB Atlas con nombre de usuario y contraseña integrados se envió accidentalmente al repositorio público. Esto podría permitir el acceso no autorizado a bases de datos de producción o de prueba, lo que podría provocar la exfiltración, modificación o eliminación de datos. Esto se solucionó en la versión 1.0.1. Las soluciones alternativas incluyen la rotación inmediata de las credenciales del usuario de la base de datos expuesta, el uso de un gestor de secretos (como Vault, Doppler, AWS Secrets Manager, etc.) en lugar de almacenar los secretos directamente en el código, o la auditoría de los registros de acceso recientes para detectar actividad sospechosa.

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

29/07/2025

Vulnerabilidad en Polkadot Frontier (CVE-2025-54429)

Fecha de publicación:

28/07/2025

Idioma:

Español

Polkadot Frontier es una capa de compatibilidad con Ethereum y EVM para Polkadot y Substrate. Existen varios tipos de direcciones de cuenta en Frontier, como contratos precompilados, contratos inteligentes y cuentas externas. Por seguridad, algunos mecanismos de EVM deberían ser inaccesibles para ciertos tipos de cuentas. Para que las precompilaciones sean invocables por contratos inteligentes, deben configurarse explícitamente como CallableByContract. Si esta configuración no está presente, la precompilación debería ser inaccesible a través de cuentas de contratos inteligentes. En commits anteriores a la 0822030, la implementación subyacente de CallableByContract que devolvía el tipo de dirección era incorrecta. Consideraba que la dirección del contrato que se ejecutaba bajo CREATE o CREATE2 era AddressType::EOA en lugar de la correcta AddressType::Contract. El problema solo afecta a los usuarios que usan implementaciones de precompilación personalizadas que utilizan AddressType::EOA y AddressType::Contract. No se puede explotar directamente en ninguna de las precompilaciones predefinidas de Frontier. Esto se solucionó en la versión 0822030.

Gravedad CVSS v4.0: MEDIA

Última modificación:

29/07/2025

Vulnerabilidad en Polkadot Frontier (CVE-2025-54426)

Fecha de publicación:

28/07/2025

Idioma:

Español

Polkadot Frontier es una capa de compatibilidad con Ethereum y EVM para Polkadot y Substrate. En versiones anteriores al commit 36f70d1, las precompilaciones Curve25519Add y Curve25519ScalarMul gestionaban incorrectamente las representaciones de puntos de Ristretto no válidas. En lugar de devolver un error, trataban silenciosamente los bytes de entrada no válidos como el elemento de identidad de Ristretto, lo que podía generar resultados criptográficos incorrectos. Esto se corrigió en el commit 36f70d1.

Gravedad CVSS v4.0: CRÍTICA

Última modificación:

29/07/2025

Vulnerabilidad en Node-SAML (CVE-2025-54419)

Fecha de publicación:

28/07/2025

Idioma:

Español

Una librería SAML independiente de ningún framework que se ejecuta en Node. En la versión 5.0.1, Node-SAML carga la aserción del documento de respuesta original (sin firmar). Esto difiere de las partes que se verifican al comprobar la firma. Esto permite a un atacante modificar los detalles de autenticación dentro de una aserción SAML válida. Por ejemplo, en un ataque es posible eliminar cualquier carácter del nombre de usuario de la aserción SAML. Para llevar a cabo el ataque, un atacante necesitaría un documento firmado válidamente por el proveedor de identidad (IdP). Esto se solucionó en la versión 5.1.0.

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

29/07/2025

Vulnerabilidad en Copyparty (CVE-2025-54423)

Fecha de publicación:

28/07/2025

Idioma:

Español

Copyparty es un servidor de archivos portátil. En versiones hasta la 1.18.4 incluida, un atacante no autenticado puede ejecutar código JavaScript arbitrario en el navegador de la víctima debido a una depuración incorrecta de las etiquetas multimedia en archivos de música, incluyendo archivos m3u. Esto se solucionó en la versión 1.18.5.

Gravedad CVSS v3.1: MEDIA

Última modificación:

29/07/2025

Vulnerabilidad en PHPGurukul Online Course Registration v3.1 (CVE-2025-50485)

Fecha de publicación:

28/07/2025

Idioma:

Español

La invalidación de sesión incorrecta en el componente /crm/change-password.php de PHPGurukul Online Course Registration v3.1 permite a los atacantes ejecutar un ataque de secuestro de sesión.

Gravedad CVSS v3.1: ALTA

Última modificación:

29/07/2025

Vulnerabilidad en PHPGurukul Car Rental Project v3.0 (CVE-2025-50486)

Fecha de publicación:

28/07/2025

Idioma:

Español

La invalidación de sesión incorrecta en el componente /carrental/update-password.php de PHPGurukul Car Rental Project v3.0 a los atacantes ejecutar un ataque de secuestro de sesión.

Gravedad CVSS v3.1: ALTA

Última modificación:

29/07/2025

Vulnerabilidad en PowerStick Wave Dual-Band Wifi Extender V1.0 (CVE-2025-29534)

Fecha de publicación:

28/07/2025

Idioma:

Español

Una vulnerabilidad de ejecución remota de código autenticado en PowerStick Wave Dual-Band Wifi Extender V1.0 permite a un atacante con credenciales válidas ejecutar comandos arbitrarios con privilegios de root. El problema se debe a una depuración insuficiente de la entrada proporcionada por el usuario en el ejecutable /cgi-bin/cgi_vista.cgi, que se pasa a una llamada de función a nivel de sistema.

Gravedad CVSS v3.1: ALTA

Última modificación:

29/07/2025

Vulnerabilidad en Podman (CVE-2025-8283)

Fecha de publicación:

28/07/2025

Idioma:

Español

Se encontró una vulnerabilidad en el paquete netavark, una pila de red para contenedores utilizados con Podman. Debido a la eliminación del dominio de búsqueda dns.podman, netavark podría devolver servidores externos si se envía un registro A/AAAA válido como respuesta. Al crear un contenedor con un nombre determinado, este se usará como nombre de host del contenedor. Dado que el dominio de búsqueda de Podman ya no se agrega, el contenedor utiliza el archivo resolv.conf del host y el solucionador DNS intentará buscar en los dominios de búsqueda que contiene. Si uno de los dominios contiene el mismo nombre de host que el contenedor en ejecución, la conexión se redireccionará a servidores externos inesperados.

Gravedad CVSS v3.1: BAJA

Última modificación:

29/07/2025

Vulnerabilidad en CPython (CVE-2025-8194)

Fecha de publicación:

28/07/2025

Idioma:

Español

Existe un defecto en el módulo "tarfile" de CPython que afecta a las API de extracción y enumeración de entradas de "TarFile". La implementación de tar procesaba archivos tar con desplazamientos negativos sin errores, lo que resultaba en un bucle infinito y un bloqueo durante el análisis de archivos tar manipulados con fines maliciosos. Esta vulnerabilidad se puede mitigar incluyendo el siguiente parche después de importar el módulo "tarfile": import tarfile def _block_patched(self, count): if count &lt; 0: # pragma: no cover raise tarfile.InvalidHeaderError("invalid offset") return _block_patched._orig_block(self, count) _block_patched._orig_block = tarfile.TarInfo._block tarfile.TarInfo._block = _block_patched

Gravedad CVSS v3.1: ALTA

Última modificación:

29/07/2025

Vulnerabilidad en PHPGurukul Small CRM v3.0 (CVE-2025-50484)

Fecha de publicación:

28/07/2025

Idioma:

Español

La invalidación de sesión incorrecta en el componente /crm/change-password.php de PHPGurukul Small CRM v3.0 permite a los atacantes ejecutar un ataque de secuestro de sesión.

Gravedad CVSS v3.1: ALTA

Última modificación:

29/07/2025

Vulnerabilidad en PHPGurukul Blood Bank &amp; Donor Management System v2.4 (CVE-2025-50487)

Fecha de publicación:

28/07/2025

Idioma:

Español

La invalidación de sesión incorrecta en el componente /bbdms/change-password.php de PHPGurukul Blood Bank &amp; Donor Management System v2.4 permite a los atacantes ejecutar un ataque de secuestro de sesión.

Gravedad CVSS v3.1: ALTA

Última modificación:

29/07/2025