Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las ultimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las ultimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las ultimas vulnerabilidades incorporadas al repositorio.

Vulnerabilidad en linlinjava litemall (CVE-2025-8753)

Fecha de publicación:
09/08/2025
Idioma:
Español
Se ha detectado una vulnerabilidad, clasificada como crítica, en linlinjava litemall hasta la versión 1.8.0. Este problema afecta a la función "delete" del archivo /admin/storage/delete del componente File Handler. La manipulación de la clave del argumento provoca un path traversal. El ataque puede ejecutarse en remoto. Se ha hecho público el exploit y puede que sea utilizado.
Gravedad CVSS v4.0: MEDIA
Última modificación:
11/09/2025

Vulnerabilidad en DiLink 3.0 (CVE-2025-7020)

Fecha de publicación:
09/08/2025
Idioma:
Español
Existe una vulnerabilidad de implementación incorrecta del cifrado en la función de volcado de registros del sistema del sistema operativo DiLink 3.0 de BYD (por ejemplo, en el modelo ATTO3). Un atacante con acceso físico al vehículo puede eludir el cifrado de los volcados de registros en el almacenamiento de la unidad de Infotainment del vehículo (IVI). Esto le permite acceder y leer registros del sistema que contienen datos confidenciales, como información de identificación personal (PII) y datos de ubicación. Esta vulnerabilidad se introdujo en un parche destinado a corregir CVE-2024-54728.
Gravedad CVSS v4.0: MEDIA
Última modificación:
11/08/2025

Vulnerabilidad en wangzhixuan spring-shiro-training (CVE-2025-8752)

Fecha de publicación:
09/08/2025
Idioma:
Español
Se encontró una vulnerabilidad en wangzhixuan spring-shiro-training hasta 94812c1fd8f7fe796c931f4984ff1aa0671ab562. Se ha declarado crítica. Esta vulnerabilidad afecta a código desconocido del archivo /role/add. La manipulación provoca la inyección de comandos. El ataque puede iniciarse en remoto. Se ha hecho público el exploit y puede que sea utilizado. Este producto utiliza un sistema de entrega continua con versiones continuas. Por lo tanto, no se dispone de detalles de las versiones afectadas ni de las versiones actualizadas.
Gravedad CVSS v4.0: MEDIA
Última modificación:
16/09/2025

Vulnerabilidad en Protected Total WebShield Extension (CVE-2025-8751)

Fecha de publicación:
09/08/2025
Idioma:
Español
Se encontró una vulnerabilidad en Protected Total WebShield Extension hasta la versión 3.2.0 de Chrome. Se ha clasificado como problemática. Afecta a una parte desconocida del componente Block Page. La manipulación del argumento Category provoca cross site scripting. El ataque puede ejecutarse en remoto. Es un ataque de complejidad bastante alta. Parece difícil de explotar. Se ha hecho público el exploit y puede que sea utilizado. Se contactó al proveedor con antelación para informarle sobre esta divulgación, pero no respondió.
Gravedad CVSS v4.0: BAJA
Última modificación:
16/09/2025

Vulnerabilidad en macrozheng mall (CVE-2025-8750)

Fecha de publicación:
09/08/2025
Idioma:
Español
Se ha detectado una vulnerabilidad en macrozheng mall hasta la versión 1.0.3, clasificada como problemática. Esta vulnerabilidad afecta la función Upload del archivo /minio/upload del componente Add Product Page. La manipulación del argumento File provoca ataques de cross site scripting. El ataque puede ejecutarse en remoto. Se ha hecho público el exploit y puede que sea utilizado. Se contactó al proveedor con antelación para informarle sobre esta divulgación, pero no respondió.
Gravedad CVSS v4.0: MEDIA
Última modificación:
02/09/2025

Vulnerabilidad en GNU libopts (CVE-2025-8746)

Fecha de publicación:
09/08/2025
Idioma:
Español
Se encontró una vulnerabilidad clasificada como problemática en GNU libopts hasta la versión 27.6. La función __strstr_sse2 se ve afectada. La manipulación provoca corrupción de memoria. Se requiere acceso local para abordar este ataque. Se ha hecho público el exploit y puede que sea utilizado. Este problema se informó inicialmente al proyecto tcpreplay, pero el responsable del código explica que este "error parece estar en libopts, que es una librería externa". Esta vulnerabilidad solo afecta a los productos que ya no reciben soporte del fabricante.
Gravedad CVSS v4.0: MEDIA
Última modificación:
16/09/2025

Vulnerabilidad en Liferay Portal y Liferay DXP (CVE-2025-4581)

Fecha de publicación:
09/08/2025
Idioma:
Español
Liferay Portal 7.4.0 a 7.4.3.132 y Liferay DXP 2025.Q1.0 a 2025.Q1.4, 2024.Q4.0 a 2024.Q4.7, 2024.Q3.1 a 2024.Q3.13, 2024.Q2.0 a 2024.Q2.13, 2024.Q1.1 a 2024.Q1.15, 7.4 GA a la actualización 92, permiten una vulnerabilidad SSRF ciega de preautenticación en portal-settings-authentication-opensso-web debido a la validación incorrecta de las URL proporcionadas por el usuario. Un atacante puede explotar este problema para forzar al servidor a realizar solicitudes HTTP arbitrarias a sistemas internos, lo que podría provocar la enumeración de la red interna o una mayor explotación.
Gravedad CVSS v4.0: MEDIA
Última modificación:
11/08/2025

Vulnerabilidad en Liferay Portal y Liferay DXP (CVE-2025-4655)

Fecha de publicación:
09/08/2025
Idioma:
Español
La vulnerabilidad SSRF en las plantillas FreeMarker en Liferay Portal versiones 7.4.0 a 7.4.3.132 y Liferay DXP versiones 2025.Q1.0 a 2025.Q1.5, versiones 2024.Q4.0 a 2024.Q4.7, versiones 2024.Q3.1 a 2024.Q3.13, versiones 2024.Q2.0 a 2024.Q2.13, versiones 2024.Q1.1 a 2024.Q1.15 y 7.4 GA hasta la actualización 92 permite a los editores de plantillas eludir las validaciones de acceso a través de URL manipuladas.
Gravedad CVSS v4.0: BAJA
Última modificación:
11/08/2025

Vulnerabilidad en Weee RICEPO 6.17.77 (CVE-2025-8745)

Fecha de publicación:
09/08/2025
Idioma:
Español
Se ha detectado una vulnerabilidad clasificada como problemática en la aplicación Weee RICEPO 6.17.77 para Android. Este problema afecta a un procesamiento desconocido del archivo AndroidManifest.xml del componente com.ricepo.app. Esta manipulación provoca la exportación incorrecta de componentes de la aplicación Android. Es necesario abordar un ataque localmente. Se ha hecho público el exploit y puede que sea utilizado. Se contactó al proveedor con antelación para informarle sobre esta divulgación, pero no respondió.
Gravedad CVSS v4.0: MEDIA
Última modificación:
16/09/2025

Vulnerabilidad en IDENTIFICADOR NO VÁLIDO (CVE-2025-8771)

Fecha de publicación:
09/08/2025
Idioma:
Español
Razón rechazado: ** Rechazo ** No use este número de candidato. Consultids: ninguno. Razón: este candidato fue retirado por su CNA. Una investigación adicional mostró que no era un problema de seguridad. Notas: Esto afecta una característica legítima. La causa del problema es una configuración de base de datos insegura establecida por el usuario.
Gravedad: Pendiente de análisis
Última modificación:
09/08/2025

Vulnerabilidad en OpenBao (CVE-2025-55003)

Fecha de publicación:
09/08/2025
Idioma:
Español
OpenBao existe para proporcionar una solución de software que permite gestionar, almacenar y distribuir datos confidenciales, como secretos, certificados y claves. En las versiones 2.3.1 y anteriores, el sistema de autenticación multifactor (MFA) de inicio de sesión de OpenBao permite aplicar la MFA mediante contraseñas de un solo uso basadas en tiempo (TOTP). Gracias a la normalización aplicada por la librería TOTP subyacente, se aceptaron códigos que podían contener espacios en blanco. Estos espacios en blanco podían eludir la limitación de velocidad interna del método de MFA y permitir la reutilización de códigos de MFA existentes. Este problema se solucionó en la versión 2.3.2. Para solucionarlo, el uso de cuotas de limitación de velocidad puede limitar la capacidad de un atacante para explotar esta vulnerabilidad: https://openbao.org/api-docs/system/rate-limit-quotas/.
Gravedad CVSS v3.1: MEDIA
Última modificación:
12/08/2025

Vulnerabilidad en Frappe Learning (CVE-2025-55006)

Fecha de publicación:
09/08/2025
Idioma:
Español
Frappe Learning es un sistema de aprendizaje que ayuda a los usuarios a estructurar su contenido. En las versiones 2.33.0 y anteriores, la función de carga de imágenes no depuraba adecuadamente los archivos SVG subidos. Esto permitía a los usuarios subir archivos SVG con JavaScript incrustado u otro contenido potencialmente malicioso. Los archivos SVG maliciosos podían usarse para ejecutar scripts arbitrarios en el contexto de otros usuarios. Se prevé una solución para este problema en la versión 2.34.0.
Gravedad CVSS v3.1: MEDIA
Última modificación:
06/10/2025