Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las ultimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las ultimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las ultimas vulnerabilidades incorporadas al repositorio.

CVE-2025-13058

Fecha de publicación:

12/11/2025

Idioma:

Inglés

*** Pendiente de traducción *** A security flaw has been discovered in soerennb eXtplorer up to 2.1.15. The affected element is an unknown function of the component Filename Handler. The manipulation results in cross site scripting. The attack may be launched remotely. The patch is identified as 002def70b985f7012586df2c44368845bf405ab3. Applying a patch is advised to resolve this issue.

Gravedad CVSS v4.0: MEDIA

Última modificación:

02/01/2026

CVE-2025-12047

Fecha de publicación:

12/11/2025

Idioma:

Inglés

*** Pendiente de traducción *** A vulnerability was reported in the Lenovo Scanner pro application during an internal security assessment that, under certain circumstances, could allow an attacker on the same logical network to disclose sensitive user files from the application.

Gravedad CVSS v4.0: MEDIA

Última modificación:

14/11/2025

CVE-2025-12048

Fecha de publicación:

12/11/2025

Idioma:

Inglés

*** Pendiente de traducción *** An arbitrary file upload vulnerability was reported in the Lenovo Scanner Pro client during an internal security assessment that could allow remote code execution or unauthorized control of the affected system.

Gravedad CVSS v4.0: ALTA

Última modificación:

14/11/2025

CVE-2025-10495

Fecha de publicación:

12/11/2025

Idioma:

Inglés

*** Pendiente de traducción *** A potential vulnerability was reported in the Lenovo PC Manager, Lenovo App Store, Lenovo Browser, and Lenovo Legion Zone client applications that, under certain conditions, could allow an attacker on the same logical network to execute arbitrary code.

Gravedad CVSS v4.0: ALTA

Última modificación:

14/11/2025

CVE-2024-48829

Fecha de publicación:

12/11/2025

Idioma:

Inglés

*** Pendiente de traducción *** Dell SmartFabric OS10 Software, versions prior to 10.6.1.0, contain an Improper Control of Generation of Code (&#39;Code Injection&#39;) vulnerability. A high privileged attacker with local access could potentially exploit this vulnerability, leading to Code execution.

Gravedad CVSS v3.1: MEDIA

Última modificación:

17/11/2025

CVE-2025-64099

Fecha de publicación:

12/11/2025

Idioma:

Inglés

*** Pendiente de traducción *** Open Access Management (OpenAM) is an access management solution. In versions prior to 16.0.0, if the "claims_parameter_supported" parameter is activated, it is possible, thanks to the "oidc-claims-extension.groovy" script, to inject the value of one&#39;s choice into a claim contained in the id_token or in the user_info. In the request of an authorize function, a claims parameter containing a JSON file can be injected. This JSON file allows attackers to customize the claims returned by the "id_token" and "user_info" files. This allows for a very wide range of vulnerabilities depending on how clients use claims. For example, if some clients rely on an email field to identify a user, an attacker can choose the email address they want, and therefore assume any identity they choose. Version 16.0.0 fixes the issue.

Gravedad CVSS v4.0: ALTA

Última modificación:

14/11/2025

CVE-2025-61667

Fecha de publicación:

12/11/2025

Idioma:

Inglés

*** Pendiente de traducción *** The Datadog Agent collects events and metrics from hosts and sends them to Datadog. A vulnerability within the Datadog Linux Host Agent versions 7.65.0 through 7.70.2 exists due to insufficient permissions being set on the `opt/datadog-agent/python-scripts/__pycache__` directory during installation. Code in this directory is only run by the Agent during Agent install/upgrades. This could allow an attacker with local access to modify files in this directory, which would then subsequently be run when the Agent is upgraded, resulting in local privilege escalation. This issue requires local access to the host and a valid low privilege account to be vulnerable. Note that this vulnerability only impacts the Linux Host Agent. Other variations of the Agent including the container, kubernetes, windows host and other agents are not impacted. Version 7.71.0 contains a patch for the issue.

Gravedad CVSS v4.0: ALTA

Última modificación:

14/11/2025

CVE-2025-63679

Fecha de publicación:

12/11/2025

Idioma:

Inglés

*** Pendiente de traducción *** free5gc v4.1.0 and before is vulnerable to Buffer Overflow. When AMF receives an UplinkRANConfigurationTransfer NGAP message from a gNB, the AMF process crashes.

Gravedad CVSS v3.1: ALTA

Última modificación:

31/12/2025

CVE-2025-63929

Fecha de publicación:

12/11/2025

Idioma:

Inglés

*** Pendiente de traducción *** A null pointer dereference vulnerability exists in airpig2011 IEC104 thru Commit be6d841 (2019-07-08). When multiple threads enqueue elements concurrently via IEC10X_PrioEnQueue, the function may dereference a null or freed queue pointer, resulting in a segmentation fault and potential denial-of-service.

Gravedad CVSS v3.1: ALTA

Última modificación:

14/01/2026

CVE-2025-63927

Fecha de publicación:

12/11/2025

Idioma:

Inglés

*** Pendiente de traducción *** A heap-use-after-free vulnerability exists in airpig2011 IEC104 thru Commit be6d841 (2019-07-08). During multi-threaded client execution, the function Iec10x_Scheduled can access memory that has already been freed, potentially causing program crashes or undefined behavior. This may be exploited to trigger a denial-of-service or memory corruption.

Gravedad CVSS v3.1: MEDIA

Última modificación:

14/01/2026

CVE-2025-60646

Fecha de publicación:

12/11/2025

Idioma:

Inglés

*** Pendiente de traducción *** A stored cross-site scripting (XSS) in the Business Line Management module of Xxl-api v1.3.0 attackers to execute arbitrary web scripts or HTML via injecting a crafted payload into the Name parameter.

Gravedad CVSS v3.1: MEDIA

Última modificación:

03/12/2025

CVE-2025-57310

Fecha de publicación:

12/11/2025

Idioma:

Inglés

*** Pendiente de traducción *** A Cross-Site Request Forgery (CSRF) vulnerability in Salmen2/Simple-Faucet-Script v1.07 via crafted POST request to admin.php?p=ads&c=1 allowing attackers to execute arbitrary code.

Gravedad CVSS v3.1: ALTA

Última modificación:

31/12/2025

Suscribirse a Vulnerabilidades