Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las ultimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las ultimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las ultimas vulnerabilidades incorporadas al repositorio.

Vulnerabilidad en itsourcecode Online Tour and Travel Management System 1.0 (CVE-2025-8968)

Fecha de publicación:

14/08/2025

Idioma:

Español

Se identificó una vulnerabilidad en itsourcecode Online Tour and Travel Management System 1.0. Esta vulnerabilidad afecta a una funcionalidad desconocida del archivo /admin/disapprove_user.php. La manipulación del ID del argumento provoca una inyección SQL. El ataque puede ejecutarse en remoto. Se ha hecho público el exploit y puede que sea utilizado.

Gravedad CVSS v4.0: MEDIA

Última modificación:

18/08/2025

Vulnerabilidad en Cisco Secure FMC (CVE-2025-20301)

Fecha de publicación:

14/08/2025

Idioma:

Español

Una vulnerabilidad en la interfaz de administración web del software Cisco Secure FMC podría permitir que un atacante remoto autenticado y con pocos privilegios acceda a los archivos de resolución de problemas de un dominio diferente. Esta vulnerabilidad se debe a la omisión de comprobaciones de autorización. Un atacante podría explotar esta vulnerabilidad accediendo directamente a un archivo de resolución de problemas de un dominio diferente administrado en la misma instancia de Cisco Secure FMC. Una explotación exitosa podría permitir al atacante recuperar un archivo de resolución de problemas de un dominio diferente, lo que le permitiría acceder a información confidencial contenida en dicho archivo.

Gravedad CVSS v3.1: MEDIA

Última modificación:

25/08/2025

Vulnerabilidad en Cisco Secure FMC (CVE-2025-20302)

Fecha de publicación:

14/08/2025

Idioma:

Español

Una vulnerabilidad en la interfaz de administración web del software Cisco Secure FMC podría permitir que un atacante remoto, autenticado y con pocos privilegios, obtenga un informe generado desde un dominio diferente. Esta vulnerabilidad se debe a la falta de comprobaciones de autorización. Un atacante podría explotar esta vulnerabilidad accediendo directamente a un archivo de informe generado para un dominio diferente administrado en la misma instancia de Cisco Secure FMC. Una explotación exitosa podría permitir al atacante acceder a un informe generado previamente para un dominio diferente, lo que podría permitirle leer la actividad registrada en ese dominio.

Gravedad CVSS v3.1: MEDIA

Última modificación:

25/08/2025

Vulnerabilidad en Cisco Secure Firewall Management Center (CVE-2025-20306)

Fecha de publicación:

14/08/2025

Idioma:

Español

Una vulnerabilidad en la interfaz de administración web del software Cisco Secure Firewall Management Center (FMC) podría permitir que un atacante remoto autenticado con privilegios de administrador ejecute comandos arbitrarios en el sistema operativo subyacente. Esta vulnerabilidad se debe a una validación de entrada insuficiente de ciertos parámetros de solicitud HTTP que se envían a la interfaz de administración web. Un atacante podría explotar esta vulnerabilidad autenticándose en la interfaz y enviando una solicitud HTTP manipulada a un dispositivo afectado. Una explotación exitosa podría permitir al atacante ejecutar comandos como usuario root en el dispositivo afectado. Para explotar esta vulnerabilidad, un atacante necesitaría credenciales de administrador.

Gravedad CVSS v3.1: MEDIA

Última modificación:

25/08/2025

Vulnerabilidad en phome Empirebak 2010 (CVE-2025-50515)

Fecha de publicación:

14/08/2025

Idioma:

Español

Se descubrió un problema en phome Empirebak 2010 en ebak2008/upload/class/config.php que permitía a los atacantes ejecutar código arbitrario cuando se cargaba el archivo de configuración.

Gravedad CVSS v3.1: MEDIA

Última modificación:

15/08/2025

Vulnerabilidad en Python-Future 1.0.0 (CVE-2025-50817)

Fecha de publicación:

14/08/2025

Idioma:

Español

Una vulnerabilidad en el módulo Python-Future 1.0.0 permite la ejecución de código arbitrario mediante la importación involuntaria de un archivo llamado test.py. Al cargar el módulo, este importa automáticamente test.py, si está presente en el mismo directorio o en sys.path. Este comportamiento puede ser explotado por un atacante que pueda escribir archivos en el servidor, lo que permite la ejecución de código arbitrario.

Gravedad CVSS v3.1: MEDIA

Última modificación:

26/09/2025

Vulnerabilidad en Cisco Secure Firewall Adaptive Security Appliance y Secure Firewall Threat Defense (CVE-2025-20254)

Fecha de publicación:

14/08/2025

Idioma:

Español

Una vulnerabilidad en el módulo Intercambio de Claves de Internet Versión 2 (IKEv2) del software Cisco Secure Firewall Adaptive Security Appliance (ASA) y del software Secure Firewall Threat Defense (FTD) podría permitir que un atacante remoto no autenticado provoque una fuga de memoria, lo que resulta en una denegación de servicio (DoS). Esta vulnerabilidad se debe a un análisis incorrecto de paquetes IKEv2. Un atacante podría explotarla enviando un flujo continuo de paquetes IKEv2 manipulados a un dispositivo afectado. Una explotación exitosa podría permitir al atacante agotar parcialmente la memoria del sistema, lo que causaría inestabilidad, como la imposibilidad de establecer nuevas sesiones VPN IKEv2. Es necesario reiniciar el dispositivo manualmente para solucionar este problema.

Gravedad CVSS v3.1: MEDIA

Última modificación:

15/08/2025

Vulnerabilidad en Cisco Secure Firewall Adaptive Security Appliance y Cisco Secure Firewall Threat Defense (CVE-2025-20263)

Fecha de publicación:

14/08/2025

Idioma:

Español

Una vulnerabilidad en la interfaz de servicios web del software Cisco Secure Firewall Adaptive Security Appliance (ASA) y del software Cisco Secure Firewall Threat Defense (FTD) podría permitir que un atacante remoto no autenticado provoque un desbordamiento de búfer en un sistema afectado. Esta vulnerabilidad se debe a comprobaciones de los límites insuficientes para datos específicos que se proporcionan a la interfaz de servicios web de un sistema afectado. Un atacante podría explotar esta vulnerabilidad enviando una solicitud HTTP manipulada al sistema afectado. Una explotación exitosa podría permitir al atacante provocar un desbordamiento de búfer en el sistema afectado, lo que podría provocar la recarga del sistema y provocar una denegación de servicio (DoS).

Gravedad CVSS v3.1: ALTA

Última modificación:

15/08/2025

Vulnerabilidad en Cisco Secure Firewall Management Center (CVE-2025-20265)

Fecha de publicación:

14/08/2025

Idioma:

Español

Una vulnerabilidad en la implementación del subsistema RADIUS del software Cisco Secure Firewall Management Center (FMC) podría permitir que un atacante remoto no autenticado inyecte comandos de shell arbitrarios que son ejecutados por el dispositivo. Esta vulnerabilidad se debe a una gestión inadecuada de la entrada del usuario durante la fase de autenticación. Un atacante podría explotar esta vulnerabilidad enviando una entrada manipulada al introducir credenciales que se autenticarán en el servidor RADIUS configurado. Una explotación exitosa podría permitir al atacante ejecutar comandos con un alto nivel de privilegios. Nota: Para explotar esta vulnerabilidad, el software Cisco Secure FMC debe estar configurado para la autenticación RADIUS para la interfaz de administración web, la administración SSH o ambas.

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

16/08/2025

Vulnerabilidad en Cisco Secure Firewall Threat Defense (CVE-2025-20268)

Fecha de publicación:

14/08/2025

Idioma:

Español

Una vulnerabilidad en la función VPN de acceso remoto (RA) basado en geolocalización del software Cisco Secure Firewall Threat Defense (FTD) podría permitir que un atacante remoto no autenticado eluda las políticas configuradas para permitir o denegar conexiones HTTP según un país o región. Esta vulnerabilidad existe porque la URL no se analiza completamente. Un atacante podría explotar esta vulnerabilidad enviando una conexión HTTP manipulada a través del dispositivo objetivo. Una explotación exitosa podría permitir al atacante eludir las políticas configuradas y obtener acceso a una red donde la conexión debería haber sido denegada.

Gravedad CVSS v3.1: MEDIA

Última modificación:

15/08/2025

Vulnerabilidad en Cisco Secure Firewall ASA y Secure FTD (CVE-2025-20243)

Fecha de publicación:

14/08/2025

Idioma:

Español

Una vulnerabilidad en los servidores web de administración y VPN del software Cisco Secure Firewall ASA y del software Secure FTD podría permitir que un atacante remoto no autenticado provoque la recarga inesperada del dispositivo, lo que resulta en una denegación de servicio (DoS). Esta vulnerabilidad se debe a una validación incorrecta de la información proporcionada por el usuario en una interfaz con servicios web VPN. Un atacante podría explotar esta vulnerabilidad enviando solicitudes HTTP manipuladas a un servidor web específico en un dispositivo afectado. Una explotación exitosa podría permitir al atacante provocar una denegación de servicio (DoS) al recargar el dispositivo.

Gravedad CVSS v3.1: ALTA

Última modificación:

15/08/2025

Vulnerabilidad en Cisco Secure Firewall Adaptive Security Appliance y Cisco Secure Firewall Threat Defense (CVE-2025-20244)

Fecha de publicación:

14/08/2025

Idioma:

Español

Una vulnerabilidad en el servicio VPN SSL de acceso remoto para el software Cisco Secure Firewall Adaptive Security Appliance (ASA) y el software Cisco Secure Firewall Threat Defense (FTD) podría permitir que un atacante remoto autenticado como usuario de VPN reinicie el dispositivo inesperadamente, lo que resulta en una denegación de servicio (DoS). Esta vulnerabilidad se debe a una comprobación de errores incompleta al analizar el valor de un campo de encabezado HTTP. Un atacante podría explotar esta vulnerabilidad enviando una solicitud HTTP manipulada a un servicio VPN SSL de acceso remoto específico en un dispositivo afectado. Una explotación exitosa podría permitir al atacante provocar una denegación de servicio (DoS), lo que provocaría la recarga del dispositivo afectado.

Gravedad CVSS v3.1: ALTA

Última modificación:

15/08/2025

Suscribirse a Vulnerabilidades