Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las ultimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las ultimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las ultimas vulnerabilidades incorporadas al repositorio.

Vulnerabilidad en Gestion de tarifs para WordPress (CVE-2025-7662)

Fecha de publicación:

15/08/2025

Idioma:

Español

El complemento Gestion de tarifs para WordPress es vulnerable a la inyección SQL mediante los shortcodes "tarif" e "intitule" en todas las versiones hasta la 1.4 incluida, debido a un escape insuficiente del parámetro proporcionado por el usuario y a la falta de preparación de la consulta SQL existente. Esto permite a atacantes autenticados, con acceso de colaborador o superior, añadir consultas SQL adicionales a las consultas ya existentes, que pueden utilizarse para extraer información confidencial de la base de datos.

Gravedad CVSS v3.1: MEDIA

Última modificación:

15/08/2025

Vulnerabilidad en elink – Embed Content para WordPress (CVE-2025-7507)

Fecha de publicación:

15/08/2025

Idioma:

Español

El complemento elink – Embed Content para WordPress es vulnerable a redirecciones maliciosas en todas las versiones hasta la 1.1.0 incluida. Esto se debe a que el complemento no restringe las URL que se pueden proporcionar mediante el shortcode de elink. Esto permite que atacantes autenticados, con acceso de colaborador o superior, proporcionen un archivo HTML que puede utilizarse para redirigir a los usuarios a un dominio malicioso.

Gravedad CVSS v3.1: MEDIA

Última modificación:

15/08/2025

Vulnerabilidad en Assistant for NextGEN Gallery para WordPress (CVE-2025-7641)

Fecha de publicación:

15/08/2025

Idioma:

Español

El complemento Assistant for NextGEN Gallery para WordPress es vulnerable a la eliminación arbitraria de directorios debido a una validación insuficiente de la ruta de archivo en el endpoint REST /wp-json/nextgenassistant/v1.0.0/control en todas las versiones hasta la 1.0.9 incluida. Esto permite que atacantes no autenticados eliminen directorios arbitrarios en el servidor, lo que puede causar una pérdida total de disponibilidad.

Gravedad CVSS v3.1: ALTA

Última modificación:

15/08/2025

Vulnerabilidad en Radius Blocks para WordPress (CVE-2025-5844)

Fecha de publicación:

15/08/2025

Idioma:

Español

El complemento Radius Blocks para WordPress es vulnerable a Cross-Site Scripting almacenado a través del parámetro &#39;subHeadingTagName&#39; en todas las versiones hasta la 2.2.1 incluida, debido a una depuración de entrada y un escape de salida insuficientes. Esto permite a atacantes autenticados, con acceso de colaborador o superior, inyectar scripts web arbitrarios en las páginas que se ejecutarán al acceder un usuario a una página inyectada.

Gravedad CVSS v3.1: MEDIA

Última modificación:

15/08/2025

Vulnerabilidad en SourceCodester Online Bank Management System (CVE-2025-9022)

Fecha de publicación:

15/08/2025

Idioma:

Español

Se identificó una vulnerabilidad en SourceCodester Online Bank Management System hasta la versión 1.0. Este problema afecta a un procesamiento desconocido del archivo /bank/statements.php. La manipulación del argumento "email" provoca una inyección SQL. El ataque puede ejecutarse en remoto.

Gravedad CVSS v4.0: MEDIA

Última modificación:

21/08/2025

Vulnerabilidad en PX4-Autopilot (CVE-2025-9020)

Fecha de publicación:

15/08/2025

Idioma:

Español

Se encontró una vulnerabilidad en PX4-Autopilot hasta la versión 1.15.4. Este problema afecta a la función MavlinkReceiver::handle_message_serial_control del archivo src/modules/mavlink/mavlink_receiver.cpp del componente Mavlink Shell Closing Handler. La manipulación del argumento _mavlink_shell provoca use after free. Un ataque debe abordarse localmente. Es un ataque de complejidad bastante alta. Parece difícil de explotar. El identificador del parche es 4395d4f00c49b888f030f5b43e2a779f1fa78708. Se recomienda aplicar un parche para solucionar este problema.

Gravedad CVSS v4.0: BAJA

Última modificación:

15/08/2025

Vulnerabilidad en SourceCodester Online Bank Management System (CVE-2025-9021)

Fecha de publicación:

15/08/2025

Idioma:

Español

Se detectó una vulnerabilidad en SourceCodester Online Bank Management System hasta la versión 1.0. Esta vulnerabilidad afecta al código desconocido del archivo /bank/transfer.php. La manipulación del argumento "email" provoca una inyección SQL. El ataque puede ejecutarse en remoto.

Gravedad CVSS v4.0: MEDIA

Última modificación:

21/08/2025

Vulnerabilidad en WP Table Builder – WordPress Table Plugin para WordPress (CVE-2025-8604)

Fecha de publicación:

15/08/2025

Idioma:

Español

El complemento WP Table Builder – WordPress Table Plugin para WordPress es vulnerable a Cross-Site Scripting almacenado a través del shortcode wptb del complemento en todas las versiones hasta la 2.0.12 incluida, debido a una depuración de entrada insuficiente y al escape de salida en los atributos proporcionados por el usuario. Esto permite a atacantes autenticados, con acceso de colaborador o superior, inyectar scripts web arbitrarios en las páginas que se ejecutarán al acceder un usuario a una página inyectada.

Gravedad CVSS v3.1: MEDIA

Última modificación:

15/08/2025

Vulnerabilidad en Essential Addons for Elementor – Popular Elementor Templates &amp; Widgets para WordPress (CVE-2025-8451)

Fecha de publicación:

15/08/2025

Idioma:

Español

El complemento Essential Addons for Elementor – Popular Elementor Templates &amp; Widgets para WordPress es vulnerable a Cross-Site Scripting almacenado basadas en DOM a través del parámetro &#39;data-gallery-items&#39; en todas las versiones hasta la 6.2.2 incluida, debido a una depuración de entrada y un escape de salida insuficientes. Esto permite a atacantes autenticados, con acceso de colaborador o superior, inyectar scripts web arbitrarios en las páginas que se ejecutarán al acceder un usuario a una página inyectada.

Gravedad CVSS v3.1: MEDIA

Última modificación:

15/08/2025

Vulnerabilidad en tcpreplay 4.5.1 (CVE-2025-9019)

Fecha de publicación:

15/08/2025

Idioma:

Español

Se ha encontrado una vulnerabilidad en tcpreplay 4.5.1. Esta vulnerabilidad afecta a la función mask_cidr6 del archivo cidr.c del componente tcpprep. La manipulación provoca un desbordamiento de búfer basado en el montón. El ataque puede ejecutarse en remoto. Es un ataque de complejidad bastante alta. Parece difícil de explotar. Se ha hecho público el exploit y puede que sea utilizado. El investigador puede reproducirlo con la última versión oficial 4.5.1 y la rama maestra actual. El responsable del código no puede reproducirlo para la versión 4.5.2-beta1. En su respuesta, el responsable explica que «en ese caso, se trata de un duplicado corregido en la versión 4.5.2».

Gravedad CVSS v4.0: BAJA

Última modificación:

15/08/2025

Vulnerabilidad en Mechrevo Control Center GX V2 5.56.51.48 (CVE-2025-9016)

Fecha de publicación:

15/08/2025

Idioma:

Español

Se identificó una vulnerabilidad en Mechrevo Control Center GX V2 5.56.51.48. Esta afecta a una parte desconocida del archivo C:\Program Files\OEM\????????\AiStoneService\MyControlCenter\Command del componente PowerShell Script Handler. La manipulación genera una ruta de búsqueda incontrolada. Se requiere acceso local para este ataque. Es un ataque de complejidad bastante alta. Parece difícil de explotar. Se ha hecho público el exploit y puede que sea utilizado.

Gravedad CVSS v4.0: ALTA

Última modificación:

15/08/2025

Vulnerabilidad en PHPGurukul Zoo Management System 2.1 (CVE-2025-9017)

Fecha de publicación:

15/08/2025

Idioma:

Español

Se ha encontrado una vulnerabilidad en PHPGurukul Zoo Management System 2.1. Esta vulnerabilidad afecta al código desconocido del archivo /admin/add-foreigner-ticket.php. La manipulación del argumento visitorname provoca ataques de cross site scripting. El ataque puede ejecutarse en remoto. Se ha hecho público el exploit y puede que sea utilizado.

Gravedad CVSS v4.0: MEDIA

Última modificación:

21/08/2025