Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las ultimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las ultimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las ultimas vulnerabilidades incorporadas al repositorio.

Vulnerabilidad en Mastodon (CVE-2025-54879)

Fecha de publicación:

06/08/2025

Idioma:

Español

Mastodon es un servidor de red social gratuito y de código abierto basado en ActivityPub Mastodon, que facilita la configuración LDAP para la autenticación. En las versiones 3.1.5 a 4.2.24, 4.3.0 a 4.3.11 y 4.4.0 a 4.4.3, el sistema de limitación de velocidad de Mastodon presenta un error crítico de configuración: la limitación basada en correo electrónico para los correos de confirmación verifica incorrectamente la ruta de restablecimiento de contraseña en lugar de la de confirmación, lo que desactiva los límites por correo electrónico para las solicitudes de confirmación. Esto permite a los atacantes eludir las limitaciones de velocidad rotando las direcciones IP y enviar correos de confirmación ilimitados a cualquier dirección, ya que solo permanece activa una limitación débil basada en IP (25 solicitudes cada 5 minutos). Esta vulnerabilidad permite ataques de denegación de servicio que pueden saturar las colas de correo y facilitar el acoso a los usuarios mediante correos de confirmación no deseados. Esto se ha corregido en las versiones 4.2.24, 4.3.11 y 4.4.3.

Gravedad CVSS v3.1: MEDIA

Última modificación:

06/08/2025

Vulnerabilidad en Fiber (CVE-2025-54801)

Fecha de publicación:

06/08/2025

Idioma:

Español

Fiber es un framework web inspirado en Express y escrito en Go. En las versiones 2.52.8 y anteriores, al usar Ctx.BodyParser de Fiber para analizar datos de formulario que contienen una clave numérica grande que representa el índice de un segmento (p. ej., test.18446744073704), la aplicación se bloquea debido a una asignación de segmento fuera de los límites en el decodificador de esquema subyacente. La causa principal es que el decodificador intenta asignar un segmento con una longitud de idx + 1 sin validar si el índice se encuentra dentro de un rango seguro o razonable. Si el idx es excesivamente grande, se produce un desbordamiento de enteros o un agotamiento de memoria, lo que provoca un pánico o un bloqueo. Esto se solucionó en la versión 2.52.9.

Gravedad CVSS v4.0: ALTA

Última modificación:

07/08/2025

Vulnerabilidad en react-native-bottom-tabs (CVE-2025-54594)

Fecha de publicación:

06/08/2025

Idioma:

Español

react-native-bottom-tabs es una librería de pestañas inferiores nativas para React Native. En las versiones 0.9.2 y anteriores, el flujo de trabajo del repositorio de GitHub Actions, github/workflows/release-canary.yml, utilizaba incorrectamente el desencadenador de eventos pull_request_target, lo que permitía la ejecución de código no confiable de una solicitud de extracción bifurcada en un contexto privilegiado. Un atacante podría crear una solicitud de extracción que contuviera un script de preinstalación malicioso en el archivo package.json y luego activar el flujo de trabajo vulnerable publicando un comentario específico (!canary). Esto permitía la ejecución de código arbitrario, lo que conducía a la exfiltración de secretos sensibles como GITHUB_TOKEN y NPM_TOKEN, y podría haber permitido a un atacante enviar código malicioso al repositorio o publicar paquetes comprometidos en el registro de NPM. Existe un commit de remediación que elimina github/workflows/release-canary.yml, pero aún no se ha publicado una versión con esta corrección.

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

06/08/2025

Vulnerabilidad en XWiki Platform (CVE-2025-54124)

Fecha de publicación:

06/08/2025

Idioma:

Español

XWiki Platform es una plataforma wiki genérica que ofrece servicios de ejecución para aplicaciones desarrolladas sobre ella. En las versiones 9.8-rc-1 a 16.4.6, 16.5.0-rc-1 a 16.10.4 y 17.0.0-rc-1 a 17.1.0 de XWiki Platform Legacy Old Core y XWiki Platform Old Core, cualquier usuario con permisos de edición puede crear una XClass con una propiedad de lista de base de datos que haga referencia a una propiedad de contraseña. Al añadir un objeto de esa XClass, se muestra el contenido de esa propiedad de contraseña. En la práctica, con una configuración de permisos estándar, cualquier usuario con una cuenta en la wiki puede acceder a los hashes de contraseñas de todos los usuarios y, posiblemente, a otras propiedades de contraseñas (con almacenamiento en hashes o sin formato) que se encuentren en páginas visibles para el usuario. Este problema se ha corregido en las versiones 16.4.7, 16.10.5 y 17.2.0-rc-1.

Gravedad CVSS v4.0: ALTA

Última modificación:

06/08/2025

Vulnerabilidad en XWiki Platform (CVE-2025-54125)

Fecha de publicación:

06/08/2025

Idioma:

Español

XWiki Platform es una plataforma wiki genérica que ofrece servicios de ejecución para aplicaciones desarrolladas sobre ella. En las versiones 1.1 a 16.4.6, 16.5.0-rc-1 a 16.10.4 y 17.0.0-rc-1 a 17.1.0 de XWiki Platform Legacy Old Core y XWiki Platform Old Core, la exportación XML de una página en XWiki, que puede ser activada por cualquier usuario con permisos de visualización añadiendo ?xpage=xml a la URL, incluye propiedades de contraseña y correo electrónico almacenadas en un documento que no se denominan contraseña ni correo electrónico. Esto se solucionó en las versiones 16.4.7, 16.10.5 y 17.2.0-rc-1. Para solucionar este problema, se puede eliminar el archivo templates/xml.vm del WAR implementado si no se necesita el XML. No hay ninguna función en XWiki que dependa de la exportación XML.

Gravedad CVSS v4.0: ALTA

Última modificación:

06/08/2025

Vulnerabilidad en ModSecurity (CVE-2025-54571)

Fecha de publicación:

06/08/2025

Idioma:

Español

ModSecurity es un motor de firewall de aplicaciones web (WAF) multiplataforma de código abierto para Apache, IIS y Nginx. En las versiones 2.9.11 y anteriores, un atacante puede anular el tipo de contenido de la respuesta HTTP, lo que podría causar diversos problemas según el escenario HTTP. Por ejemplo, hemos demostrado la posibilidad de XSS y la divulgación arbitraria del código fuente de scripts en la última versión de mod_security2. Este problema se ha corregido en la versión 2.9.12.

Gravedad CVSS v4.0: MEDIA

Última modificación:

06/08/2025

Vulnerabilidad en XWiki Platform (CVE-2025-32430)

Fecha de publicación:

06/08/2025

Idioma:

Español

XWiki Platform es una plataforma wiki genérica que ofrece servicios de ejecución para aplicaciones desarrolladas sobre ella. En las versiones 4.2-milestone-3 a 16.4.7, 16.5.0-rc-1 a 16.10.5 y 17.0.0-rc-1 a 17.2.2, dos plantillas contienen vulnerabilidades XSS reflejado, lo que permite a un atacante ejecutar código JavaScript malicioso en la sesión de la víctima al obligarla a visitar una URL controlada por el atacante. Esto permite al atacante realizar acciones arbitrarias utilizando los permisos de la víctima. Este problema se ha corregido en las versiones 16.4.8, 16.10.6 y 17.3.0-rc-1. Para solucionarlo, parchee manualmente el WAR con los mismos cambios que el parche original.

Gravedad CVSS v4.0: MEDIA

Última modificación:

06/08/2025

Vulnerabilidad en Concrete CMS (CVE-2025-8573)

Fecha de publicación:

05/08/2025

Idioma:

Español

Las versiones 9 a 9.4.2 de Concrete CMS son vulnerables a XSS almacenado desde la carpeta de inicio en la página del Panel de Miembros. La versión 8 no se vio afectada. Un administrador malicioso podría crear una carpeta maliciosa con XSS a la que se redirigiría a los usuarios al iniciar sesión. El equipo de seguridad de Concrete CMS otorgó a esta vulnerabilidad una puntuación de 2.0 en CVSS v.4.0 con el vector CVSS:4.0/AV:N/AC:H/AT:N/PR:H/UI:P/VC:L/VI:N/VA:N/SC:N/SI:N/SA:N. Gracias a sealldev por informar a través de HackerOne.

Gravedad CVSS v4.0: BAJA

Última modificación:

11/08/2025

Vulnerabilidad en Concrete CMS (CVE-2025-8571)

Fecha de publicación:

05/08/2025

Idioma:

Español

Concrete CMS 9 a 9.4.2 y versiones anteriores a la 8.5.21 son vulnerables a ataques de Cross-Site Scripting (XSS) reflejado en la página del panel de mensajes de conversación. La entrada no depurada podría provocar el robo de cookies o tokens de sesión, la desfiguración del contenido web, la redirección a sitios maliciosos y (si la víctima es administrador), la ejecución de acciones no autorizadas. El equipo de seguridad de Concrete CMS otorgó a esta vulnerabilidad una puntuación de 4.8 en CVSS v.4.0 con el vector CVSS:4.0/AV:N/AC:L/AT:N/PR:H/UI:P/VC:L/VI:L/VA:N/SC:N/SI:N/SA:N. Gracias a Fortbridge (https://fortbridge.co.uk/) por realizar una prueba de penetración y una evaluación de vulnerabilidades en Concrete CMS e informar de este problema.

Gravedad CVSS v4.0: MEDIA

Última modificación:

06/08/2025

Vulnerabilidad en RatPanel (CVE-2025-53534)

Fecha de publicación:

05/08/2025

Idioma:

Español

RatPanel es un panel de gestión de operaciones y mantenimiento de servidores. En las versiones 2.3.19 a 2.5.5, cuando un atacante obtiene la ruta de acceso del backend de RatPanel (incluyendo, entre otras, rutas predeterminadas débiles, ataques de fuerza bruta, etc.), puede ejecutar comandos del sistema o tomar el control de los hosts administrados por el panel sin iniciar sesión. Además de esta vulnerabilidad de ejecución remota de código (RCE), el código defectuoso también permite accesos no autorizados. RatPanel utiliza el middleware CleanPath, proporcionado por el paquete github.com/go-chi/chi, para limpiar las URL, pero este middleware no procesa r.URL.Path, lo que puede provocar la malinterpretación de las rutas. Esto se solucionó en la versión 2.5.6.

Gravedad CVSS v4.0: ALTA

Última modificación:

06/08/2025

Vulnerabilidad en SSCMS v7.3.1 (CVE-2025-52237)

Fecha de publicación:

05/08/2025

Idioma:

Español

Un problema en el componente /stl/actions/download?filePath de SSCMS v7.3.1 permite a los atacantes ejecutar un directory traversal.

Gravedad CVSS v3.1: MEDIA

Última modificación:

06/08/2025

Vulnerabilidad en Writebot AI Content Generator SaaS React Template (CVE-2025-52078)

Fecha de publicación:

05/08/2025

Idioma:

Español

Vulnerabilidad de carga de archivos en Writebot AI Content Generator SaaS React Template hasta 4.0.0, que permite a atacantes remotos obtener privilegios aumentados a través de una solicitud POST manipulada al endpoint /file-upload.

Gravedad CVSS v3.1: MEDIA

Última modificación:

05/08/2025

Suscribirse a Vulnerabilidades