Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las ultimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las ultimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las ultimas vulnerabilidades incorporadas al repositorio.

CVE-2025-59948

Fecha de publicación:

29/09/2025

Idioma:

Inglés

*** Pendiente de traducción *** FreshRSS is a free, self-hostable RSS aggregator. Versions 1.26.3 and below do not sanitize certain event handler attributes in feed content, so by finding a page that renders feed entries without CSP, it is possible to execute an XSS payload. The Allow API access authentication setting needs to be enabled by the instance administrator beforehand for the attack to work as it relies on api/query.php. An account takeover is possible by sending a change password request via the XSS payload / setting UserJS for persistence / stealing the autofill password / displaying a phishing page with a spoofed URL using history.replaceState()<br /> If the victim is an administrator, the attacker can also perform administrative actions. This issue is fixed in version 1.27.0.

Gravedad CVSS v3.1: MEDIA

Última modificación:

03/10/2025

CVE-2025-59937

Fecha de publicación:

29/09/2025

Idioma:

Inglés

*** Pendiente de traducción *** go-mail is a comprehensive library for sending mails with Go. In versions 0.7.0 and below, due to incorrect handling of the mail.Address values when a sender- or recipient address is passed to the corresponding MAIL FROM or RCPT TO commands of the SMTP client, there is a possibility of wrong address routing or even ESMTP parameter smuggling. For successful exploitation, it is required that the user&#39;s code allows for arbitrary mail address input (i. e. through a web form or similar). If only static mail addresses are used (i. e. in a config file) and the mail addresses in use do not consist of quoted local parts, this should not affect users. This issue is fixed in version 0.7.1

Gravedad CVSS v4.0: ALTA

Última modificación:

16/10/2025

CVE-2025-59940

Fecha de publicación:

29/09/2025

Idioma:

Inglés

*** Pendiente de traducción *** mkdocs-include-markdown-plugin is an Mkdocs Markdown includer plugin. In versions 7.1.7 and below, there is a vulnerability where unvalidated input can collide with substitution placeholders. This issue is fixed in version 7.1.8.

Gravedad CVSS v3.1: MEDIA

Última modificación:

02/10/2025

CVE-2025-43817

Fecha de publicación:

29/09/2025

Idioma:

Inglés

*** Pendiente de traducción *** Multiple reflected cross-site scripting (XSS) vulnerabilities in Liferay Portal 7.4.3.74 through 7.4.3.111, and Liferay DXP 2023.Q4.0 through 2023.Q4.6, 2023.Q3.1 through 2023.Q3.8, and 7.4 update 74 through update 92 allow remote attackers to inject arbitrary web script or HTML via the `redirect` parameter to (1) Announcements, or (2) Alerts.

Gravedad CVSS v4.0: MEDIA

Última modificación:

11/12/2025

CVE-2025-43813

Fecha de publicación:

29/09/2025

Idioma:

Inglés

*** Pendiente de traducción *** Possible path traversal vulnerability and denial-of-service in the ComboServlet in Liferay Portal 7.4.0 through 7.4.3.107, and older unsupported versions, and Liferay DXP 2023.Q4.0 through 2023.Q4.4, 2023.Q3.1 through 2023.Q3.8, 7.4 GA through update 92, 7.3 GA through update 35, and older unsupported versions allows remote attackers to access arbitrary CSS and JSS files and load the files multiple times via the query string in a URL.

Gravedad CVSS v4.0: MEDIA

Última modificación:

11/12/2025

CVE-2025-43812

Fecha de publicación:

29/09/2025

Idioma:

Inglés

*** Pendiente de traducción *** Cross-site scripting (XSS) vulnerability in web content template in Liferay Portal 7.4.3.4 through 7.4.3.111, and Liferay DXP 2023.Q4.0 through 2023.Q4.4, 2023.Q3.1 through 2023.Q3.8, and 7.4 GA through update 92 allows remote authenticated users to inject arbitrary web script or HTML via a crafted payload injected into a web content structure&#39;s Name text field

Gravedad CVSS v4.0: MEDIA

Última modificación:

11/12/2025

CVE-2025-36245

Fecha de publicación:

29/09/2025

Idioma:

Inglés

*** Pendiente de traducción *** IBM InfoSphere 11.7.0.0 through 11.7.1.6 Information Server could allow an authenticated user to execute arbitrary commands with elevated privileges on the system due to improper validation of user supplied input.

Gravedad CVSS v3.1: ALTA

Última modificación:

18/10/2025

CVE-2025-54592

Fecha de publicación:

29/09/2025

Idioma:

Inglés

*** Pendiente de traducción *** FreshRSS is a free, self-hostable RSS aggregator. Versions 1.26.3 and below do not properly terminate the session during logout. After a user logs out, the session cookie remains active and unchanged. The unchanged cookie could be reused by an attacker if a new session were to be started. This failure to invalidate the session can lead to session hijacking and fixation vulnerabilities. This issue is fixed in version 1.27.0

Gravedad CVSS v4.0: ALTA

Última modificación:

03/10/2025

CVE-2025-54875

Fecha de publicación:

29/09/2025

Idioma:

Inglés

*** Pendiente de traducción *** FreshRSS is a free, self-hostable RSS aggregator. In versions 1.16.0 and above through 1.26.3, an unprivileged attacker can create a new admin user when registration is enabled through the use of a hidden field used only in the user management admin page, new_user_is_admin. This is fixed in version 1.27.0.

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

03/10/2025

CVE-2025-57769

Fecha de publicación:

29/09/2025

Idioma:

Inglés

*** Pendiente de traducción *** FreshRSS is a free, self-hostable RSS aggregator. Versions 1.26.3 and below contain a vulnerability where a specially crafted page can trick a user into executing arbitrary JS code or promoting a user in FreshRSS by obscuring UI elements in iframes. If embedding an authenticated iframe is possible, this may lead to privilege escalation via obscuring the promote user button in the admin UI or XSS by tricking the user to drag content into the UserJS text area. This is fixed in version 1.27.0

Gravedad CVSS v4.0: MEDIA

Última modificación:

03/10/2025

CVE-2025-59163

Fecha de publicación:

29/09/2025

Idioma:

Inglés

*** Pendiente de traducción *** vet is an open source software supply chain security tool. Versions 1.12.4 and below are vulnerable to a DNS rebinding attack due to lack of HTTP Host and Origin header validation. Data from the vet scan sqlite3 database may be exposed to remote attackers when vet is used as an MCP server in SSE mode with default ports through the sqlite3 query MCP tool. This issue is fixed in version 1.12.5.

Gravedad CVSS v4.0: BAJA

Última modificación:

02/10/2025

CVE-2025-43820

Fecha de publicación:

29/09/2025

Idioma:

Inglés

*** Pendiente de traducción *** Multiple cross-site scripting (XSS) vulnerabilities in the Calendar widget when inviting users to a event in Liferay Portal 7.4.3.35 through 7.4.3.110, and Liferay DXP 2023.Q4.0 through 2023.Q4.4, 2023.Q3.1 through 2023.Q3.6, 7.4 update 35 through update 92, and 7.3 update 25 through update 35 allow remote attackers to inject arbitrary web script or HTML via a crafted payload injected into a user’s (1) First Name, (2) Middle text, or (3) Last Name text fields.

Gravedad CVSS v4.0: MEDIA

Última modificación:

11/12/2025

Suscribirse a Vulnerabilidades