Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las ultimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las ultimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las ultimas vulnerabilidades incorporadas al repositorio.

CVE-2025-64762

Fecha de publicación:

21/11/2025

Idioma:

Inglés

*** Pendiente de traducción *** The AuthKit library for Next.js provides convenient helpers for authentication and session management using WorkOS & AuthKit with Next.js. In authkit-nextjs version 2.11.0 and below, authenticated responses do not defensively apply anti-caching headers. In environments where CDN caching is enabled, this can result in session tokens being included in cached responses and subsequently served to multiple users. Next.js applications deployed on Vercel are unaffected unless they manually enable CDN caching by setting cache headers on authenticated paths. Patched in authkit-nextjs 2.11.1, which applies anti-caching headers to all responses behind authentication.

Gravedad CVSS v4.0: ALTA

Última modificación:

21/11/2025

CVE-2025-62164

Fecha de publicación:

21/11/2025

Idioma:

Inglés

*** Pendiente de traducción *** vLLM is an inference and serving engine for large language models (LLMs). From versions 0.10.2 to before 0.11.1, a memory corruption vulnerability could lead to a crash (denial-of-service) and potentially remote code execution (RCE), exists in the Completions API endpoint. When processing user-supplied prompt embeddings, the endpoint loads serialized tensors using torch.load() without sufficient validation. Due to a change introduced in PyTorch 2.8.0, sparse tensor integrity checks are disabled by default. As a result, maliciously crafted tensors can bypass internal bounds checks and trigger an out-of-bounds memory write during the call to to_dense(). This memory corruption can crash vLLM and potentially lead to code execution on the server hosting vLLM. This issue has been patched in version 0.11.1.

Gravedad CVSS v3.1: ALTA

Última modificación:

21/11/2025

CVE-2025-62372

Fecha de publicación:

21/11/2025

Idioma:

Inglés

*** Pendiente de traducción *** vLLM is an inference and serving engine for large language models (LLMs). From version 0.5.5 to before 0.11.1, users can crash the vLLM engine serving multimodal models by passing multimodal embedding inputs with correct ndim but incorrect shape (e.g. hidden dimension is wrong), regardless of whether the model is intended to support such inputs (as defined in the Supported Models page). This issue has been patched in version 0.11.1.

Gravedad CVSS v4.0: ALTA

Última modificación:

21/11/2025

CVE-2025-62426

Fecha de publicación:

21/11/2025

Idioma:

Inglés

*** Pendiente de traducción *** vLLM is an inference and serving engine for large language models (LLMs). From version 0.5.5 to before 0.11.1, the /v1/chat/completions and /tokenize endpoints allow a chat_template_kwargs request parameter that is used in the code before it is properly validated against the chat template. With the right chat_template_kwargs parameters, it is possible to block processing of the API server for long periods of time, delaying all other requests. This issue has been patched in version 0.11.1.

Gravedad CVSS v3.1: MEDIA

Última modificación:

21/11/2025

CVE-2025-64751

Fecha de publicación:

21/11/2025

Idioma:

Inglés

*** Pendiente de traducción *** OpenFGA is a high-performance and flexible authorization/permission engine built for developers and inspired by Google Zanzibar. OpenFGA v1.4.0 to v1.11.0 ( openfga-0.1.34

Gravedad CVSS v4.0: MEDIA

Última modificación:

21/11/2025

CVE-2025-64755

Fecha de publicación:

21/11/2025

Idioma:

Inglés

*** Pendiente de traducción *** Claude Code is an agentic coding tool. Prior to version 2.0.31, due to an error in sed command parsing, it was possible to bypass the Claude Code read-only validation and write to arbitrary files on the host system. This issue has been patched in version 2.0.31.

Gravedad CVSS v4.0: ALTA

Última modificación:

21/11/2025

CVE-2025-13485

Fecha de publicación:

21/11/2025

Idioma:

Inglés

*** Pendiente de traducción *** A security flaw has been discovered in itsourcecode Online File Management System 1.0. This issue affects some unknown processing of the file /ajax.php?action=login. The manipulation of the argument Username results in sql injection. The attack may be launched remotely. The exploit has been released to the public and may be exploited.

Gravedad CVSS v4.0: MEDIA

Última modificación:

21/11/2025

CVE-2025-62459

Fecha de publicación:

20/11/2025

Idioma:

Inglés

*** Pendiente de traducción *** Microsoft Defender Portal Spoofing Vulnerability

Gravedad CVSS v3.1: ALTA

Última modificación:

21/11/2025

CVE-2025-64655

Fecha de publicación:

20/11/2025

Idioma:

Inglés

*** Pendiente de traducción *** Improper authorization in Dynamics OmniChannel SDK Storage Containers allows an unauthorized attacker to elevate privileges over a network.

Gravedad CVSS v3.1: ALTA

Última modificación:

21/11/2025

CVE-2025-64660

Fecha de publicación:

20/11/2025

Idioma:

Inglés

*** Pendiente de traducción *** Improper access control in GitHub Copilot and Visual Studio Code allows an authorized attacker to bypass a security feature over a network.

Gravedad CVSS v3.1: MEDIA

Última modificación:

21/11/2025