Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las ultimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las ultimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las ultimas vulnerabilidades incorporadas al repositorio.

Vulnerabilidad en MarkTwo (CVE-2025-51691)

Fecha de publicación:
13/08/2025
Idioma:
Español
La vulnerabilidad de Cross-Site Scripting (XSS) detectada en el commit e3a1d3f90cce4ea9c26efcbbf3a1cbfb9dcdb298 de MarkTwo (mayo de 2025) permite a un atacante remoto ejecutar código arbitrario mediante una entrada de script manipulado en la interfaz del editor. La aplicación no depura correctamente el Markdown proporcionado por el usuario antes de renderizarlo. Una explotación exitosa podría provocar el secuestro de sesión, el robo de credenciales o la ejecución de código arbitrario del lado del cliente en el contexto del navegador de la víctima.
Gravedad CVSS v3.1: MEDIA
Última modificación:
13/08/2025

Vulnerabilidad en BIG-IP LTM (CVE-2025-52585)

Fecha de publicación:
13/08/2025
Idioma:
Español
Cuando se configura un perfil SSL de cliente BIG-IP LTM en un servidor virtual con proxy de reenvío SSL habilitado y cifrados Diffie-Hellman anónimos (ADH) habilitados, las solicitudes no divulgadas pueden provocar la finalización del microkernel de gestión de tráfico (TMM). Nota: Las versiones de software que han alcanzado el fin del soporte técnico (EoTS) no se evalúan.
Gravedad CVSS v4.0: ALTA
Última modificación:
21/10/2025

Vulnerabilidad en makeplane plane 0.23.1 (CVE-2025-50251)

Fecha de publicación:
13/08/2025
Idioma:
Español
Vulnerabilidad de Server side request forgery (SSRF) en makeplane plane 0.23.1 a través de la recuperación de contraseña.
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
13/08/2025

Vulnerabilidad en SpatialReference.org (CVE-2025-50690)

Fecha de publicación:
13/08/2025
Idioma:
Español
Existe una vulnerabilidad de Cross-Site Scripting (XSS) en las versiones de SpatialReference.org (OSGeo/spatialreference.org) anteriores al 17/05/2025 (commit 2120adfa17ddd535bd0f539e6c4988fa3a2cb491). La vulnerabilidad se debe a un manejo inadecuado de la información introducida por el usuario en el parámetro de consulta de búsqueda. Un atacante puede manipular una URL específica con código JavaScript malicioso, que posteriormente se refleja y se ejecuta en el navegador de la víctima. Esta falla permite a un atacante ejecutar JavaScript arbitrario en la sesión de la víctima, lo que podría provocar secuestro de sesión, ataques de phishing, robo de datos o redirección a sitios maliciosos. El problema se expone en páginas de acceso público, lo que permite que un atacante no autenticado pueda explotarlo.
Gravedad CVSS v3.1: MEDIA
Última modificación:
13/08/2025

Vulnerabilidad en Netis WF2780 v2.2.35445 (CVE-2025-50635)

Fecha de publicación:
13/08/2025
Idioma:
Español
Se descubrió una vulnerabilidad de desreferencia de puntero nulo en Netis WF2780 v2.2.35445. La vulnerabilidad se encuentra en la función FUN_0048a728 del archivo cgitest.cgi. Los atacantes pueden activar esta vulnerabilidad controlando la variable CONTENT_LENGTH, lo que provoca el bloqueo del programa y, potencialmente, un ataque de denegación de servicio (DoS).
Gravedad CVSS v3.1: ALTA
Última modificación:
15/08/2025

Vulnerabilidad en BIG-IP APM (CVE-2025-46405)

Fecha de publicación:
13/08/2025
Idioma:
Español
Al configurar el acceso a la red en un servidor virtual BIG-IP APM, el tráfico no divulgado puede provocar la interrupción del microkernel de gestión de tráfico (TMM). Nota: Las versiones de software que han alcanzado el fin del soporte técnico (EoTS) no se evalúan.
Gravedad CVSS v4.0: ALTA
Última modificación:
21/10/2025

Vulnerabilidad en MacOS F5 VPN (CVE-2025-48500)

Fecha de publicación:
13/08/2025
Idioma:
Español
Existe una vulnerabilidad de falta de comprobación de integridad de archivos en el instalador del cliente de navegador MacOS F5 VPN, que podría permitir que un atacante local autenticado con acceso al sistema de archivos local lo reemplace con un instalador de paquetes malicioso. Nota: Las versiones de software que han alcanzado el fin del soporte técnico (EoTS) no se evalúan.
Gravedad CVSS v4.0: ALTA
Última modificación:
21/10/2025

Vulnerabilidad en ImageMagick (CVE-2025-55160)

Fecha de publicación:
13/08/2025
Idioma:
Español
ImageMagick es un software gratuito y de código abierto que se utiliza para editar y manipular imágenes digitales. En versiones anteriores a la 6.9.13-27 y la 7.1.2-1, existía un comportamiento indefinido (desajuste de tipo de función) en la retrollamada de clonación del árbol de despliegue. Esto provocaba una interrupción determinista en UBSan (ataque de denegación de servicio en compilaciones depuradoras), sin fallos en compilaciones no depuradas. Este problema se ha corregido en las versiones 6.9.13-27 y 7.1.2-1.
Gravedad CVSS v3.1: MEDIA
Última modificación:
15/08/2025

Vulnerabilidad en ImageMagick (CVE-2025-55154)

Fecha de publicación:
13/08/2025
Idioma:
Español
ImageMagick es un software gratuito y de código abierto que se utiliza para editar y manipular imágenes digitales. En versiones anteriores a la 6.9.13-27 y la 7.1.2-1, los cálculos de tamaño ampliado en ReadOneMNGIMage (en coders/png.c) no eran seguros y podían desbordarse, lo que provocaba corrupción de memoria. Este problema se ha corregido en las versiones 6.9.13-27 y 7.1.2-1.
Gravedad CVSS v3.1: ALTA
Última modificación:
03/11/2025

Vulnerabilidad en Apache Tomcat (CVE-2025-55668)

Fecha de publicación:
13/08/2025
Idioma:
Español
Vulnerabilidad de fijación de sesión en Apache Tomcat mediante una válvula de reescritura. Este problema afecta a Apache Tomcat: de 11.0.0-M1 a 11.0.7, de 10.1.0-M1 a 10.1.41, y de 9.0.0.M1 a 9.0.105. Las versiones anteriores al final de su vida útil también pueden verse afectadas. Se recomienda actualizar a las versiones 11.0.8, 10.1.42 o 9.0.106, que solucionan el problema.
Gravedad CVSS v3.1: MEDIA
Última modificación:
04/11/2025

Vulnerabilidad en Cherry Studio (CVE-2025-54382)

Fecha de publicación:
13/08/2025
Idioma:
Español
Cherry Studio es un cliente de escritorio compatible con múltiples proveedores LLM. En la versión 1.5.1, existe una vulnerabilidad de ejecución remota de código (RCE) en la plataforma Cherry Studio al conectarse a servidores MCP streamableHttp. El problema surge debido a la confianza implícita del servidor en los endpoints de redirección de autenticación OAuth y a la imposibilidad de depurar correctamente la URL. Este problema se ha corregido en la versión 1.5.2.
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
13/08/2025

Vulnerabilidad en OMERO.web (CVE-2025-54791)

Fecha de publicación:
13/08/2025
Idioma:
Español
OMERO.web ofrece una infraestructura de cliente y complementos web. Antes de la versión 5.29.2, si se producía un error al restablecer la contraseña de un usuario con la opción "Olvidé mi contraseña" en OMERO.web, el mensaje de error que se mostraba en la página web podía revelar información sobre el usuario. Este problema se ha corregido en la versión 5.29.2. Una solución alternativa consiste en deshabilitar la opción "Olvidé mi contraseña" en OMERO.web mediante la propiedad de configuración omero.web.show_forgot_password.
Gravedad CVSS v3.1: MEDIA
Última modificación:
23/09/2025