Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

017 - Ir a la línea de ayuda en Ciberseguridad    Ir a Agenda     Ir a Sala de prensa     Ir a suscripción de boletines

Ir al buscador

Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las ultimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las ultimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las ultimas vulnerabilidades incorporadas al repositorio.

CVE-2025-67739
Fecha de publicación:
11/12/2025
Idioma:
Inglés
*** Pendiente de traducción *** In JetBrains TeamCity before 2025.11.2 improper repository URL validation could lead to local paths disclosure
Gravedad CVSS v3.1: BAJA
Última modificación:
23/12/2025

CVE-2025-67742
Fecha de publicación:
11/12/2025
Idioma:
Inglés
*** Pendiente de traducción *** In JetBrains TeamCity before 2025.11 path traversal was possible via file upload
Gravedad CVSS v3.1: BAJA
Última modificación:
15/12/2025

CVE-2025-67741
Fecha de publicación:
11/12/2025
Idioma:
Inglés
*** Pendiente de traducción *** In JetBrains TeamCity before 2025.11 stored XSS was possible via session attribute
Gravedad CVSS v3.1: MEDIA
Última modificación:
15/12/2025

CVE-2025-67740
Fecha de publicación:
11/12/2025
Idioma:
Inglés
*** Pendiente de traducción *** In JetBrains TeamCity before 2025.11 improper access control could expose GitHub App token's metadata
Gravedad CVSS v3.1: BAJA
Última modificación:
15/12/2025

CVE-2025-59803
Fecha de publicación:
11/12/2025
Idioma:
Inglés
*** Pendiente de traducción *** Foxit PDF Editor and Reader before 2025.2.1 allow signature spoofing via triggers. An attacker can embed triggers (e.g., JavaScript) in a PDF document that execute during the signing process. When a signer reviews the document, the content appears normal. However, once the signature is applied, the triggers modify content on other pages or optional content layers without explicit warning. This can cause the signed PDF to differ from what the signer saw, undermining the trustworthiness of the digital signature. The fixed versions are 2025.2.1, 14.0.1, and 13.2.1.
Gravedad CVSS v3.1: MEDIA
Última modificación:
15/12/2025

CVE-2025-59802
Fecha de publicación:
11/12/2025
Idioma:
Inglés
*** Pendiente de traducción *** Foxit PDF Editor and Reader before 2025.2.1 allow signature spoofing via OCG. When Optional Content Groups (OCG) are supported, the state property of an OCG is runtime-only and not included in the digital signature computation buffer. An attacker can leverage JavaScript or PDF triggers to dynamically change the visibility of OCG content after signing (Post-Sign), allowing the visual content of a signed PDF to be modified without invalidating the signature. This may result in a mismatch between the signed content and what the signer or verifier sees, undermining the trustworthiness of the digital signature. The fixed versions are 2025.2.1, 14.0.1, and 13.2.1.
Gravedad CVSS v3.1: ALTA
Última modificación:
18/12/2025

CVE-2025-55307
Fecha de publicación:
11/12/2025
Idioma:
Inglés
*** Pendiente de traducción *** An issue was discovered in Foxit PDF and Editor for Windows before 13.2 and 2025 before 2025.2. Opening a malicious PDF containing a crafted JavaScript call to search.query() with a crafted cDIPath parameter (e.g., "/") may cause an out-of-bounds read in internal path-parsing logic, potentially leading to information disclosure or memory corruption.
Gravedad CVSS v3.1: BAJA
Última modificación:
06/01/2026

CVE-2025-55308
Fecha de publicación:
11/12/2025
Idioma:
Inglés
*** Pendiente de traducción *** An issue was discovered in Foxit PDF and Editor for Windows before 13.2 and 2025 before 2025.2. A crafted PDF containing JavaScript that calls closeDoc() while internal objects are still in use can cause premature release of these objects. This use-after-free vulnerability may lead to memory corruption, potentially resulting in information disclosure when the PDF is opened.
Gravedad CVSS v3.1: MEDIA
Última modificación:
06/01/2026

CVE-2025-55309
Fecha de publicación:
11/12/2025
Idioma:
Inglés
*** Pendiente de traducción *** An issue was discovered in Foxit PDF and Editor for Windows and macOS before 13.2 and 2025 before 2025.2. A crafted PDF can contain JavaScript that attaches an OnBlur action on a form field that destroys an annotation. During user right-click interaction, the program's internal focus change handling prematurely releases the annotation object, resulting in a use-after-free vulnerability that may cause memory corruption or application crashes.
Gravedad CVSS v3.1: MEDIA
Última modificación:
06/01/2026

CVE-2025-55311
Fecha de publicación:
11/12/2025
Idioma:
Inglés
*** Pendiente de traducción *** An issue was discovered in Foxit PDF and Editor for Windows and macOS before 13.2 and 2025 before 2025.2. A crafted PDF can use JavaScript to alter annotation content and subsequently clear the file's modification status via JavaScript interfaces. This circumvents digital signature verification by hiding document modifications, allowing an attacker to mislead users about the document's integrity and compromise the trustworthiness of signed PDFs.
Gravedad CVSS v3.1: MEDIA
Última modificación:
07/01/2026

CVE-2025-55314
Fecha de publicación:
11/12/2025
Idioma:
Inglés
*** Pendiente de traducción *** An issue was discovered in Foxit PDF and Editor for Windows and macOS before 13.2 and 2025 before 2025.2. When pages in a PDF are deleted via JavaScript, the application may fail to properly update internal states. Subsequent annotation management operations assume these states are valid, causing dereference of invalid or released memory. This can lead to memory corruption, application crashes, and potentially allow an attacker to execute arbitrary code.
Gravedad CVSS v3.1: ALTA
Última modificación:
18/12/2025

CVE-2025-55313
Fecha de publicación:
11/12/2025
Idioma:
Inglés
*** Pendiente de traducción *** An issue was discovered in Foxit PDF and Editor for Windows and macOS before 13.2 and 2025 before 2025.2. They allow potential arbitrary code execution when processing crafted PDF files. The vulnerability stems from insufficient handling of memory allocation failures after assigning an extremely large value to a form field's charLimit property via JavaScript. This can result in memory corruption and may allow an attacker to execute arbitrary code by persuading a user to open a malicious file.
Gravedad CVSS v3.1: ALTA
Última modificación:
18/12/2025
Suscribirse a Vulnerabilidades