Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las ultimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las ultimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las ultimas vulnerabilidades incorporadas al repositorio.

Vulnerabilidad en ModSecurity (CVE-2025-54571)

Fecha de publicación:
06/08/2025
Idioma:
Español
ModSecurity es un motor de firewall de aplicaciones web (WAF) multiplataforma de código abierto para Apache, IIS y Nginx. En las versiones 2.9.11 y anteriores, un atacante puede anular el tipo de contenido de la respuesta HTTP, lo que podría causar diversos problemas según el escenario HTTP. Por ejemplo, hemos demostrado la posibilidad de XSS y la divulgación arbitraria del código fuente de scripts en la última versión de mod_security2. Este problema se ha corregido en la versión 2.9.12.
Gravedad CVSS v4.0: MEDIA
Última modificación:
03/11/2025

Vulnerabilidad en XWiki Platform (CVE-2025-32430)

Fecha de publicación:
06/08/2025
Idioma:
Español
XWiki Platform es una plataforma wiki genérica que ofrece servicios de ejecución para aplicaciones desarrolladas sobre ella. En las versiones 4.2-milestone-3 a 16.4.7, 16.5.0-rc-1 a 16.10.5 y 17.0.0-rc-1 a 17.2.2, dos plantillas contienen vulnerabilidades XSS reflejado, lo que permite a un atacante ejecutar código JavaScript malicioso en la sesión de la víctima al obligarla a visitar una URL controlada por el atacante. Esto permite al atacante realizar acciones arbitrarias utilizando los permisos de la víctima. Este problema se ha corregido en las versiones 16.4.8, 16.10.6 y 17.3.0-rc-1. Para solucionarlo, parchee manualmente el WAR con los mismos cambios que el parche original.
Gravedad CVSS v4.0: MEDIA
Última modificación:
02/09/2025

Vulnerabilidad en Concrete CMS (CVE-2025-8573)

Fecha de publicación:
05/08/2025
Idioma:
Español
Las versiones 9 a 9.4.2 de Concrete CMS son vulnerables a XSS almacenado desde la carpeta de inicio en la página del Panel de Miembros. La versión 8 no se vio afectada. Un administrador malicioso podría crear una carpeta maliciosa con XSS a la que se redirigiría a los usuarios al iniciar sesión. El equipo de seguridad de Concrete CMS otorgó a esta vulnerabilidad una puntuación de 2.0 en CVSS v.4.0 con el vector CVSS:4.0/AV:N/AC:H/AT:N/PR:H/UI:P/VC:L/VI:N/VA:N/SC:N/SI:N/SA:N. Gracias a sealldev por informar a través de HackerOne.
Gravedad CVSS v4.0: BAJA
Última modificación:
04/09/2025

Vulnerabilidad en Concrete CMS (CVE-2025-8571)

Fecha de publicación:
05/08/2025
Idioma:
Español
Concrete CMS 9 a 9.4.2 y versiones anteriores a la 8.5.21 son vulnerables a ataques de Cross-Site Scripting (XSS) reflejado en la página del panel de mensajes de conversación. La entrada no depurada podría provocar el robo de cookies o tokens de sesión, la desfiguración del contenido web, la redirección a sitios maliciosos y (si la víctima es administrador), la ejecución de acciones no autorizadas. El equipo de seguridad de Concrete CMS otorgó a esta vulnerabilidad una puntuación de 4.8 en CVSS v.4.0 con el vector CVSS:4.0/AV:N/AC:L/AT:N/PR:H/UI:P/VC:L/VI:L/VA:N/SC:N/SI:N/SA:N. Gracias a Fortbridge (https://fortbridge.co.uk/) por realizar una prueba de penetración y una evaluación de vulnerabilidades en Concrete CMS e informar de este problema.
Gravedad CVSS v4.0: MEDIA
Última modificación:
04/09/2025

Vulnerabilidad en SSCMS v7.3.1 (CVE-2025-52237)

Fecha de publicación:
05/08/2025
Idioma:
Español
Un problema en el componente /stl/actions/download?filePath de SSCMS v7.3.1 permite a los atacantes ejecutar un directory traversal.
Gravedad CVSS v3.1: MEDIA
Última modificación:
15/08/2025

Vulnerabilidad en RatPanel (CVE-2025-53534)

Fecha de publicación:
05/08/2025
Idioma:
Español
RatPanel es un panel de gestión de operaciones y mantenimiento de servidores. En las versiones 2.3.19 a 2.5.5, cuando un atacante obtiene la ruta de acceso del backend de RatPanel (incluyendo, entre otras, rutas predeterminadas débiles, ataques de fuerza bruta, etc.), puede ejecutar comandos del sistema o tomar el control de los hosts administrados por el panel sin iniciar sesión. Además de esta vulnerabilidad de ejecución remota de código (RCE), el código defectuoso también permite accesos no autorizados. RatPanel utiliza el middleware CleanPath, proporcionado por el paquete github.com/go-chi/chi, para limpiar las URL, pero este middleware no procesa r.URL.Path, lo que puede provocar la malinterpretación de las rutas. Esto se solucionó en la versión 2.5.6.
Gravedad CVSS v4.0: ALTA
Última modificación:
06/08/2025

Vulnerabilidad en Writebot AI Content Generator SaaS React Template (CVE-2025-52078)

Fecha de publicación:
05/08/2025
Idioma:
Español
Vulnerabilidad de carga de archivos en Writebot AI Content Generator SaaS React Template hasta 4.0.0, que permite a atacantes remotos obtener privilegios aumentados a través de una solicitud POST manipulada al endpoint /file-upload.
Gravedad CVSS v3.1: MEDIA
Última modificación:
05/08/2025

Vulnerabilidad en seacms (CVE-2025-50592)

Fecha de publicación:
05/08/2025
Idioma:
Español
Vulnerabilidad de Cross-Site Scripting en seacms anterior a 13.2 a través del parámetro vid en Upload/js/player/dmplayer/player.
Gravedad CVSS v3.1: MEDIA
Última modificación:
15/08/2025

Vulnerabilidad en Shopware 6 (CVE-2025-51541)

Fecha de publicación:
05/08/2025
Idioma:
Español
Existe una vulnerabilidad de cross-site scripting (XSS) almacenado en la interfaz de instalación de Shopware 6, ubicada en /recovery/install/database-configuration/. El campo c_database_schema no depura correctamente la información proporcionada por el usuario antes de mostrarla en el navegador, lo que permite a un atacante inyectar JavaScript malicioso. Esta vulnerabilidad puede explotarse mediante un ataque de Cross-Site Request Forgery (CSRF) debido a la ausencia de protección CSRF en la solicitud POST. Un atacante remoto no autenticado puede manipular una página web maliciosa que, al ser visitada por una víctima, almacena el payload de forma persistente en la configuración de la instalación. Como resultado, el payload se ejecuta cada vez que un usuario accede posteriormente a la página de instalación vulnerable, lo que provoca la ejecución persistente de código del lado del cliente.
Gravedad CVSS v3.1: MEDIA
Última modificación:
10/09/2025

Vulnerabilidad en KACE K1000 (CVE-2014-125113)

Fecha de publicación:
05/08/2025
Idioma:
Español
Existe una vulnerabilidad de carga de archivos sin restricciones en el dispositivo de administración del sistema Dell (adquirido por Quest) KACE K1000, versiones 5.0 a 5.3, 5.4 anteriores a 5.4.76849 y 5.5 anteriores a 5.5.90547, en el endpoint download_agent.php. Un atacante puede cargar archivos PHP arbitrarios en un directorio temporal accesible desde la web, que posteriormente se ejecutan al incluirlos en el código de backend que carga los archivos en rutas controladas por el atacante.
Gravedad CVSS v4.0: CRÍTICA
Última modificación:
05/08/2025

Vulnerabilidad en Sysax Multi-Server (CVE-2013-10065)

Fecha de publicación:
05/08/2025
Idioma:
Español
Existe una vulnerabilidad de denegación de servicio en Sysax Multi-Server versión 6.10 a través de su daemon SSH. Un paquete de intercambio de claves SSH especialmente manipulado puede provocar un fallo en el servicio, lo que resulta en una pérdida de disponibilidad. La falla se activa durante el procesamiento de datos de intercambio de claves malformados, incluyendo un byte no estándar (\x28) en lugar del delimitador de protocolo SSH esperado.
Gravedad CVSS v4.0: ALTA
Última modificación:
02/10/2025

Vulnerabilidad en Kordil EDMS v2.2.60rc3 (CVE-2013-10066)

Fecha de publicación:
05/08/2025
Idioma:
Español
Existe una vulnerabilidad de carga arbitraria de archivos sin autenticación en Kordil EDMS v2.2.60rc3. La aplicación expone un endpoint de carga (users_add.php) que permite a los atacantes subir archivos al directorio /userpictures/ sin autenticación. Esta vulnerabilidad permite la ejecución remota de código al cargar una carga PHP e invocarla mediante una solicitud HTTP directa.
Gravedad CVSS v4.0: CRÍTICA
Última modificación:
07/08/2025