Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las ultimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las ultimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las ultimas vulnerabilidades incorporadas al repositorio.

Vulnerabilidad en Mattermost Confluence (CVE-2025-44004)

Fecha de publicación:
11/08/2025
Idioma:
Español
La versión <1.5.0 del complemento Mattermost Confluence no puede verificar la autorización del usuario en la instancia de Mattermost, lo que permite a los atacantes crear una suscripción de canal sin la autorización adecuada a través de una llamada API al endpoint de creación de suscripción de canal.
Gravedad CVSS v3.1: ALTA
Última modificación:
25/09/2025

Vulnerabilidad en Mattermost Confluence (CVE-2025-48731)

Fecha de publicación:
11/08/2025
Idioma:
Español
La versión <1.5.0 del complemento Mattermost Confluence no puede verificar el acceso del usuario al espacio Confluence, lo que permite a los atacantes editar una suscripción para un espacio Confluence para el que el usuario no tiene acceso a través del endpoint de edición de suscripción.
Gravedad CVSS v3.1: MEDIA
Última modificación:
25/09/2025

Vulnerabilidad en Omnissa Workspace ONE UEM (CVE-2025-25229)

Fecha de publicación:
11/08/2025
Idioma:
Español
Omnissa Workspace ONE UEM contiene una vulnerabilidad de Server-Side Request Forgery (SSRF). Un atacante con privilegios de usuario podría acceder a información interna restringida del sistema, lo que podría permitir la enumeración de recursos internos de la red.
Gravedad CVSS v3.1: MEDIA
Última modificación:
12/08/2025

Vulnerabilidad en ABB Aspect (CVE-2025-53187)

Fecha de publicación:
11/08/2025
Idioma:
Español
Vulnerabilidad de control inadecuado de generación de código ('Inyección de código') en ABB ASPECT. Este problema afecta a ASPECT: anteriores a <3.08.04-s01.
Gravedad CVSS v4.0: CRÍTICA
Última modificación:
04/09/2025

Vulnerabilidad en Cherry Studio (CVE-2025-54063)

Fecha de publicación:
11/08/2025
Idioma:
Español
Cherry Studio es un cliente de escritorio compatible con múltiples proveedores LLM. Desde la versión 1.4.8 hasta la 1.5.0, existe una vulnerabilidad de ejecución remota de código con un solo clic mediante el manejo personalizado de URL. Un atacante puede explotarla alojando un sitio web malicioso o insertando una URL especialmente manipulado en cualquier sitio web. Si la víctima hace clic en el enlace del exploit en su navegador, se activa el manejador de URL personalizado de la aplicación, lo que provoca la ejecución remota de código en su equipo. Este problema se ha corregido en la versión 1.5.1.
Gravedad CVSS v3.1: ALTA
Última modificación:
11/08/2025

Vulnerabilidad en Omnissa Workspace ONE UEM (CVE-2025-25231)

Fecha de publicación:
11/08/2025
Idioma:
Español
Omnissa Workspace ONE UEM contiene una vulnerabilidad de path traversal de contexto secundario. Un atacante malicioso podría acceder a información confidencial enviando solicitudes GET manipuladas (de solo lectura) a endpoints de API restringidos.
Gravedad CVSS v3.1: ALTA
Última modificación:
11/08/2025

Vulnerabilidad en YugabyteDB Anywhere (CVE-2025-8866)

Fecha de publicación:
11/08/2025
Idioma:
Español
El servidor web YugabyteDB Anywhere no aplica correctamente la autenticación para el endpoint de la API /metamaster/universe. Un atacante no autenticado podría explotar esta vulnerabilidad para obtener información de configuración de red del servidor, incluyendo direcciones IP privadas y públicas, y registros DNS.
Gravedad CVSS v4.0: MEDIA
Última modificación:
11/08/2025

Vulnerabilidad en ModelCache para LLM (CVE-2025-45146)

Fecha de publicación:
11/08/2025
Idioma:
Español
Se descubrió que ModelCache para LLM hasta la versión v0.2.0 contenía una vulnerabilidad de deserialización a través del componente /manager/data_manager.py. Esta vulnerabilidad permite a los atacantes ejecutar código arbitrario mediante el suministro de datos manipulados.
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
17/10/2025

Vulnerabilidad en kernel de Linux (CVE-2025-38499)

Fecha de publicación:
11/08/2025
Idioma:
Español
En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: clone_private_mnt(): asegurar que el llamador tenga CAP_SYS_ADMIN en los usuarios correctos. Lo que queremos es verificar que clone no exponga algo oculto por un montaje que no podamos deshacer. "No se puede deshacer" puede ser el resultado de MNT_LOCKED en un hijo, pero también puede provenir de la falta de derechos de administrador en los usuarios del espacio de nombres al que pertenece el montaje. clone_private_mnt() comprueba lo primero, pero no lo segundo. Hay varias comprobaciones de CAP_SYS_ADMIN bastante confusas en varios usuarios durante el montaje, especialmente con la nueva API de montaje; tienen diferentes propósitos y, en el caso de clone_private_mnt(), generalmente, aunque no siempre, cubren la comprobación faltante mencionada anteriormente.
Gravedad: Pendiente de análisis
Última modificación:
03/11/2025

Vulnerabilidad en YugabyteDB (CVE-2025-8865)

Fecha de publicación:
11/08/2025
Idioma:
Español
El servidor de tabletas YugabyteDB presenta una falla en el manejo de consultas YCQL que puede provocar una desreferencia de puntero nulo al procesar ciertas entradas malformadas. Un atacante autenticado podría aprovechar esta falla para bloquear el servidor de tabletas YCQL y provocar una denegación de servicio.
Gravedad CVSS v4.0: MEDIA
Última modificación:
11/08/2025

Vulnerabilidad en code-projects eBlog Site 1.0 (CVE-2025-8859)

Fecha de publicación:
11/08/2025
Idioma:
Español
Se identificó una vulnerabilidad en code-projects eBlog Site 1.0. Esta vulnerabilidad afecta a una funcionalidad desconocida del archivo /native/admin/save-slider.php del componente File Upload Module. Esta manipulación permite la carga sin restricciones. El ataque puede ejecutarse en remoto. Se ha hecho público el exploit y puede que sea utilizado.
Gravedad CVSS v4.0: MEDIA
Última modificación:
23/10/2025

Vulnerabilidad en PhpTax (CVE-2012-10037)

Fecha de publicación:
11/08/2025
Idioma:
Español
La versión 0.8 de PhpTax contiene una vulnerabilidad de ejecución remota de código en drawimage.php. El parámetro GET de pfilez se pasa de forma insegura a la función exec() sin depuración. Un atacante remoto puede inyectar comandos de shell arbitrarios, lo que provoca la ejecución de código en el contexto del servidor web. No se requiere autenticación.
Gravedad CVSS v4.0: CRÍTICA
Última modificación:
11/08/2025