Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

017 - Ir a la línea de ayuda en Ciberseguridad    Ir a Agenda     Ir a Sala de prensa     Ir a suscripción de boletines

Ir al buscador

Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las ultimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las ultimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las ultimas vulnerabilidades incorporadas al repositorio.

CVE-2025-7453
Fecha de publicación:
11/07/2025
Idioma:
Inglés
*** Pendiente de traducción *** A vulnerability was found in saltbo zpan up to 1.6.5/1.7.0-beta2. It has been rated as problematic. This issue affects the function NewToken of the file zpan/internal/app/service/token.go of the component JSON Web Token Handler. The manipulation with the input 123 leads to use of hard-coded password. The attack may be initiated remotely. The complexity of an attack is rather high. The exploitation is known to be difficult. The exploit has been disclosed to the public and may be used.
Gravedad CVSS v4.0: MEDIA
Última modificación:
11/07/2025

CVE-2025-30403
Fecha de publicación:
11/07/2025
Idioma:
Inglés
*** Pendiente de traducción *** A heap-buffer-overflow vulnerability is possible in mvfst via a specially crafted message during a QUIC session. This issue affects mvfst versions prior to v2025.07.07.00.
Gravedad CVSS v3.1: ALTA
Última modificación:
11/07/2025

CVE-2013-3307
Fecha de publicación:
11/07/2025
Idioma:
Inglés
*** Pendiente de traducción *** Linksys E1000 devices through 2.1.02, E1200 devices before 2.0.05, and E3200 devices through 1.0.04 allow OS command injection via shell metacharacters in the apply.cgi ping_ip parameter on TCP port 52000.
Gravedad CVSS v3.1: ALTA
Última modificación:
11/07/2025

CVE-2025-53642
Fecha de publicación:
11/07/2025
Idioma:
Inglés
*** Pendiente de traducción *** haxcms-nodejs and haxcms-php are backends for HAXcms. The logout function within the application does not terminate a user's session or clear their cookies. Additionally, the application issues a refresh token when logging out. This vulnerability is fixed in 11.0.6.
Gravedad CVSS v3.1: MEDIA
Última modificación:
11/07/2025

CVE-2025-7452
Fecha de publicación:
11/07/2025
Idioma:
Inglés
*** Pendiente de traducción *** A vulnerability was found in kone-net go-chat up to f9e58d0afa9bbdb31faf25e7739da330692c4c63. It has been declared as critical. This vulnerability affects the function GetFile of the file go-chat/api/v1/file_controller.go of the component Endpoint. The manipulation of the argument fileName leads to path traversal. The attack can be initiated remotely. The exploit has been disclosed to the public and may be used. This product is using a rolling release to provide continious delivery. Therefore, no version details for affected nor updated releases are available.
Gravedad CVSS v4.0: MEDIA
Última modificación:
11/07/2025

CVE-2025-53641
Fecha de publicación:
11/07/2025
Idioma:
Inglés
*** Pendiente de traducción *** Postiz is an AI social media scheduling tool. From 1.45.1 to 1.62.3, the Postiz frontend application allows an attacker to inject arbitrary HTTP headers into the middleware pipeline. This flaw enables a server-side request forgery (SSRF) condition, which can be exploited to initiate unauthorized outbound requests from the server hosting the Postiz application. This vulnerability is fixed in 1.62.3.
Gravedad CVSS v3.1: ALTA
Última modificación:
11/07/2025

CVE-2025-30402
Fecha de publicación:
11/07/2025
Idioma:
Inglés
*** Pendiente de traducción *** A heap-buffer-overflow vulnerability in the loading of ExecuTorch methods can cause the runtime to crash and potentially result in code execution or other undesirable effects. This issue affects ExecuTorch prior to commit 93b1a0c15f7eda49b2bc46b5b4c49557b4e9810f
Gravedad CVSS v3.1: ALTA
Última modificación:
11/07/2025

CVE-2025-7450
Fecha de publicación:
11/07/2025
Idioma:
Inglés
*** Pendiente de traducción *** A vulnerability was found in letseeqiji gorobbs up to 1.0.8. It has been classified as critical. This affects the function ResetUserAvatar of the file controller/api/v1/user.go of the component API. The manipulation of the argument filename leads to path traversal. It is possible to initiate the attack remotely. The exploit has been disclosed to the public and may be used.
Gravedad CVSS v4.0: MEDIA
Última modificación:
11/07/2025

CVE-2025-47963
Fecha de publicación:
11/07/2025
Idioma:
Inglés
*** Pendiente de traducción *** No cwe for this issue in Microsoft Edge (Chromium-based) allows an unauthorized attacker to perform spoofing over a network.
Gravedad CVSS v3.1: MEDIA
Última modificación:
11/07/2025

CVE-2025-47964
Fecha de publicación:
11/07/2025
Idioma:
Inglés
*** Pendiente de traducción *** Microsoft Edge (Chromium-based) Spoofing Vulnerability
Gravedad CVSS v3.1: MEDIA
Última modificación:
11/07/2025

CVE-2025-47182
Fecha de publicación:
11/07/2025
Idioma:
Inglés
*** Pendiente de traducción *** Improper input validation in Microsoft Edge (Chromium-based) allows an authorized attacker to bypass a security feature locally.
Gravedad CVSS v3.1: MEDIA
Última modificación:
11/07/2025

CVE-2025-45582
Fecha de publicación:
11/07/2025
Idioma:
Inglés
*** Pendiente de traducción *** GNU Tar through 1.35 allows file overwrite via directory traversal in crafted TAR archives, with a certain two-step process. First, the victim must extract an archive that contains a ../ symlink to a critical directory. Second, the victim must extract an archive that contains a critical file, specified via a relative pathname that begins with the symlink name and ends with that critical file's name. Here, the extraction follows the symlink and overwrites the critical file. This bypasses the protection mechanism of "Member name contains '..'" that would occur for a single TAR archive that attempted to specify the critical file via a ../ approach. For example, the first archive can contain "x -> ../../../../../home/victim/.ssh" and the second archive can contain x/authorized_keys. This can affect server applications that automatically extract any number of user-supplied TAR archives, and were relying on the blocking of traversal. This can also affect software installation processes in which "tar xf" is run more than once (e.g., when installing a package can automatically install two dependencies that are set up as untrusted tarballs instead of official packages).
Gravedad CVSS v3.1: MEDIA
Última modificación:
11/07/2025
Suscribirse a Vulnerabilidades