Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las ultimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las ultimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las ultimas vulnerabilidades incorporadas al repositorio.

Vulnerabilidad en GitLab CE/EE (CVE-2025-0362)

Fecha de publicación:

10/04/2025

Idioma:

Español

Se ha descubierto un problema en GitLab CE/EE que afecta a todas las versiones desde la 7.7 hasta la 17.8.7, la 17.9 hasta la 17.9.6 y la 17.10 hasta la 17.10.4. Bajo ciertas condiciones, un atacante podría potencialmente engañar a los usuarios para que autoricen involuntariamente acciones confidenciales en su nombre.

Gravedad CVSS v3.1: MEDIA

Última modificación:

11/04/2025

Vulnerabilidad en MaxKB (Max Knowledge Base) (CVE-2025-32383)

Fecha de publicación:

10/04/2025

Idioma:

Español

MaxKB (Max Knowledge Base) es un sistema de preguntas y respuestas de base de conocimiento de código abierto basado en un modelo de lenguaje grande y generación aumentada por recuperación (RAG). Existe una vulnerabilidad de shell inverso en el módulo de la librería de funciones. La vulnerabilidad permite a los usuarios privilegiados crear un shell inverso. Esta vulnerabilidad se corrigió en v1.10.4-lts.

Gravedad CVSS v3.1: MEDIA

Última modificación:

11/04/2025

Vulnerabilidad en HedgeDoc (CVE-2025-32391)

Fecha de publicación:

10/04/2025

Idioma:

Español

HedgeDoc es una aplicación de notas de rebajas, colaborativa y en tiempo real, de código abierto. Antes de la versión 1.10.3, un archivo SVG malicioso cargado en HedgeDoc generaba la posibilidad de un XSS cuando se abría en una nueva pestaña en lugar de en el editor mismo. El XSS es posible aprovechando las capacidades JSONP de las incrustaciones de GitHub Gist. Solo las instancias con el backend de carga del sistema de archivos local o configuraciones especiales, donde las cargas se sirven desde el mismo dominio que HedgeDoc, son vulnerables. Esta vulnerabilidad se corrigió en 1.10.3. Cuando no es posible actualizar a HedgeDoc 1.10.3, los propietarios de instancias podrían agregar los siguientes encabezados para todas las rutas bajo /uploads como primera contramedida: Content-Disposition: attachment y Content-Security-Policy: default-src &#39;none&#39;. Además, se deben eliminar las URL externas en el atributo script-src del encabezado Content-Security-Policy.

Gravedad CVSS v3.1: MEDIA

Última modificación:

11/04/2025

Vulnerabilidad en Vite (CVE-2025-32395)

Fecha de publicación:

10/04/2025

Idioma:

Español

Vite es un framework frontend para javascript. Antes de 6.2.6, 6.1.5, 6.0.15, 5.4.18 y 4.5.13, el contenido de archivos arbitrarios se puede devolver al navegador si el servidor de desarrollo se ejecuta en Node o Bun. La especificación HTTP 1.1 (RFC 9112) no permite # en el destino de la solicitud. Aunque un atacante puede enviar dicha solicitud. Para aquellas solicitudes con una línea de solicitud no válida (incluye el objetivo de la solicitud), la especificación recomienda rechazarlas con 400 o 301. Lo mismo puede decirse de HTTP 2. En Node y Bun, esas solicitudes no se rechazan internamente y se pasan al área del usuario. Para esas solicitudes, el valor de http.IncomingMessage.url contiene #. Vite asumió que req.url no contendrá # al verificar server.fs.deny, permitiendo que ese tipo de solicitudes eviten la verificación. Solo se ven afectadas las aplicaciones que exponen explícitamente el servidor de desarrollo de Vite a la red (utilizando la opción de configuración --host o server.host) y que ejecutan el servidor de desarrollo de Vite en entornos de ejecución que no son Deno (por ejemplo, Node, Bun). Esta vulnerabilidad se corrigió en 6.2.6, 6.1.5, 6.0.15, 5.4.18 y 4.5.13.

Gravedad CVSS v4.0: MEDIA

Última modificación:

11/04/2025

Vulnerabilidad en ConnMan (CVE-2025-32743)

Fecha de publicación:

10/04/2025

Idioma:

Español

En ConnMan hasta la versión 1.44, la cadena de búsqueda en ns_resolv en dnsproxy.c puede ser NULL o una cadena vacía cuando el bit TC (truncado) está configurado en una respuesta DNS. Esto permite a los atacantes provocar una denegación de servicio (bloqueo de la aplicación) o posiblemente ejecutar código arbitrario, porque esos valores de búsqueda conducen a cálculos de longitud incorrectos y operaciones de memcpy incorrectas.

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

11/04/2025

Vulnerabilidad en GitLab CE/EE (CVE-2025-2469)

Fecha de publicación:

10/04/2025

Idioma:

Español

Se ha descubierto un problema en GitLab CE/EE que afecta a todas las versiones desde la 17.9 anterior a la 17.9.6 y desde la 17.10 anterior a la 17.10.4. Los datos de creación de perfiles en tiempo de ejecución de un servicio específico eran accesibles para usuarios no autenticados.

Gravedad CVSS v3.1: BAJA

Última modificación:

11/04/2025

Vulnerabilidad en Code Astro Internet Banking System 2.0.0 (CVE-2025-29017)

Fecha de publicación:

10/04/2025

Idioma:

Español

Existe una vulnerabilidad de ejecución remota de código (RCE) en Code Astro Internet Banking System 2.0.0 debido a una validación de carga de archivos incorrecta en el parámetro profile_pic dentro de pages_view_client.php.

Gravedad CVSS v3.1: ALTA

Última modificación:

30/04/2025

Vulnerabilidad en sqlite v.3.49.0 (CVE-2025-29088)

Fecha de publicación:

10/04/2025

Idioma:

Español

Un problema en sqlite v.3.49.0 permite que un atacante provoque una denegación de servicio a través del componente SQLITE_DBCONFIG_LOOKASIDE

Gravedad CVSS v3.1: MEDIA

Última modificación:

30/04/2025

Vulnerabilidad en IBM Sterling Control Center (CVE-2023-42007)

Fecha de publicación:

10/04/2025

Idioma:

Español

IBM Sterling Control Center 6.2.1, 6.3.1 y 6.4.0 es vulnerable a cross-site scripting. Esta vulnerabilidad permite a los usuarios insertar código JavaScript arbitrario en la interfaz de usuario web, alterando así la funcionalidad prevista y pudiendo llegar a revelar credenciales dentro de una sesión confiable.

Gravedad CVSS v3.1: MEDIA

Última modificación:

11/04/2025

Vulnerabilidad en IBM Sterling Control Center (CVE-2023-43035)

Fecha de publicación:

10/04/2025

Idioma:

Español

IBM Sterling Control Center 6.2.1, 6.3.1 y 6.4.0 permiten almacenar localmente páginas web para que otro usuario del sistema pueda leerlas.

Gravedad CVSS v3.1: MEDIA

Última modificación:

11/04/2025

Vulnerabilidad en IBM Maximo Application Suite 8.11 y 9.0 (CVE-2023-43037)

Fecha de publicación:

10/04/2025

Idioma:

Español

IBM Maximo Application Suite 8.11 y 9.0 podrían permitir que un usuario autenticado realice acciones no autorizadas debido a una validación de entrada incorrecta.

Gravedad CVSS v3.1: MEDIA

Última modificación:

08/07/2025

Vulnerabilidad en Silverstripe Elemental (CVE-2025-25197)

Fecha de publicación:

10/04/2025

Idioma:

Español

Silverstripe Elemental extiende un tipo de página para intercambiar el área de contenido por una lista de elementos manejables para componer una página en lugar de un solo campo de texto. Un bloque elemental puede incluir un payload XSS, que se puede ejecutar al ver el informe "Bloques de contenido en uso". La vulnerabilidad es específica de ese informe y es resultado de un fallo en la conversión de datos antes de incluirlos en el campo de la cuadrícula. Esta vulnerabilidad se corrigió en 5.3.12.

Gravedad CVSS v3.1: MEDIA

Última modificación:

11/04/2025

Suscribirse a Vulnerabilidades