Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las ultimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las ultimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las ultimas vulnerabilidades incorporadas al repositorio.

CVE-2025-30114

Fecha de publicación:
18/03/2025
Idioma:
Inglés
*** Pendiente de traducción *** An issue was discovered on the Forvia Hella HELLA Driving Recorder DR 820. Bypassing of Device Pairing can occur. The pairing mechanism relies solely on the connecting device's MAC address. By obtaining the MAC address through network scanning and spoofing it, an attacker can bypass the authentication process and gain full access to the dashcam's features without proper authorization.
Gravedad: Pendiente de análisis
Última modificación:
18/03/2025

CVE-2025-30115

Fecha de publicación:
18/03/2025
Idioma:
Inglés
*** Pendiente de traducción *** An issue was discovered on the Forvia Hella HELLA Driving Recorder DR 820. Default Credentials Cannot Be Changed. It uses a fixed default SSID and password ("qwertyuiop"), which cannot be modified by users. The SSID is continuously broadcast, allowing unauthorized access to the device network.
Gravedad: Pendiente de análisis
Última modificación:
18/03/2025

CVE-2025-30116

Fecha de publicación:
18/03/2025
Idioma:
Inglés
*** Pendiente de traducción *** An issue was discovered on the Forvia Hella HELLA Driving Recorder DR 820. Remotely Dumping of Video Footage and the Live Video Stream can occur. It allows remote attackers to access and download recorded video footage from the SD card via port 9091. Additionally, attackers can connect to port 9092 to stream the live video feed by bypassing the challenge-response authentication mechanism. This exposes sensitive location and personal data.
Gravedad: Pendiente de análisis
Última modificación:
18/03/2025

CVE-2025-30117

Fecha de publicación:
18/03/2025
Idioma:
Inglés
*** Pendiente de traducción *** An issue was discovered on the Forvia Hella HELLA Driving Recorder DR 820. Managing Settings and Obtaining Sensitive Data and Sabotaging the Car Battery can be performed by unauthorized parties. After bypassing the device pairing, an attacker can obtain sensitive user and vehicle information through the settings interface. Remote attackers can modify power management settings, disable recording, delete stored footage, and turn off battery protection, leading to potential denial-of-service conditions and vehicle battery drainage.
Gravedad: Pendiente de análisis
Última modificación:
18/03/2025

CVE-2025-2491

Fecha de publicación:
18/03/2025
Idioma:
Inglés
*** Pendiente de traducción *** A vulnerability classified as problematic has been found in Dromara ujcms 9.7.5. This affects the function update of the file /main/java/com/ujcms/cms/ext/web/backendapi/WebFileTemplateController.java of the component Edit Template File Page. The manipulation leads to cross site scripting. It is possible to initiate the attack remotely. The exploit has been disclosed to the public and may be used.
Gravedad CVSS v4.0: MEDIA
Última modificación:
18/03/2025

CVE-2025-30107

Fecha de publicación:
18/03/2025
Idioma:
Inglés
*** Pendiente de traducción *** On IROAD V9 devices, Managing Settings and Obtaining Sensitive Data and Sabotaging the Car Battery can be performed by unauthorized parties. A vulnerability in the dashcam's configuration management allows unauthorized users to modify settings, disable critical functions, and turn off battery protection, potentially causing physical damage to the vehicle.
Gravedad: Pendiente de análisis
Última modificación:
18/03/2025

CVE-2025-25580

Fecha de publicación:
18/03/2025
Idioma:
Inglés
*** Pendiente de traducción *** yimioa before v2024.07.04 was discovered to contain a SQL injection vulnerability via the listNameBySql() method at /xml/UserMapper.xml.
Gravedad: Pendiente de análisis
Última modificación:
18/03/2025

CVE-2025-25585

Fecha de publicación:
18/03/2025
Idioma:
Inglés
*** Pendiente de traducción *** Incorrect access control in the component /config/WebSecurityConfig.java of yimioa before v2024.07.04 allows unauthorized attackers to arbitrarily modify Administrator passwords.
Gravedad: Pendiente de análisis
Última modificación:
18/03/2025

CVE-2025-25590

Fecha de publicación:
18/03/2025
Idioma:
Inglés
*** Pendiente de traducción *** yimioa before v2024.07.04 was discovered to contain a SQL injection vulnerability via the component /mapper/xml/AddressDao.xml.
Gravedad: Pendiente de análisis
Última modificación:
18/03/2025

CVE-2024-49822

Fecha de publicación:
18/03/2025
Idioma:
Inglés
*** Pendiente de traducción *** IBM QRadar Advisor 1.0.0 through 2.6.5 is vulnerable to server-side request forgery (SSRF). This may allow an authenticated attacker to send unauthorized requests from the system, potentially leading to network enumeration or facilitating other attacks.
Gravedad CVSS v3.1: MEDIA
Última modificación:
18/03/2025

CVE-2024-44313

Fecha de publicación:
18/03/2025
Idioma:
Inglés
*** Pendiente de traducción *** TastyIgniter 3.7.6 contains an Incorrect Access Control vulnerability in the invoice() function within Orders.php which allows unauthorized users to access and generate invoices due to missing permission checks.
Gravedad: Pendiente de análisis
Última modificación:
18/03/2025

CVE-2024-44314

Fecha de publicación:
18/03/2025
Idioma:
Inglés
*** Pendiente de traducción *** TastyIgniter 3.7.6 contains an Incorrect Access Control vulnerability in the Orders Management System, allowing unauthorized users to update order statuses. The issue occurs in the index_onUpdateStatus() function within Orders.php, which fails to verify if the user has permission to modify an order's status. This flaw can be exploited remotely, leading to unauthorized order manipulation.
Gravedad: Pendiente de análisis
Última modificación:
18/03/2025