Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las ultimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las ultimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las ultimas vulnerabilidades incorporadas al repositorio.

CVE-2025-47761

Fecha de publicación:
18/11/2025
Idioma:
Inglés
*** Pendiente de traducción *** An Exposed IOCTL with Insufficient Access Control vulnerability [CWE-782] vulnerability in Fortinet FortiClientWindows 7.4.0 through 7.4.3, FortiClientWindows 7.2.0 through 7.2.9 may allow an authenticated local user to execute unauthorized code via fortips driver. Success of the attack would require bypassing the Windows memory protections such as Heap integrity and HSP. In addition, it requires a valid and running VPN IPSec connection.
Gravedad CVSS v3.1: ALTA
Última modificación:
16/12/2025

CVE-2025-46215

Fecha de publicación:
18/11/2025
Idioma:
Inglés
*** Pendiente de traducción *** An Improper Isolation or Compartmentalization vulnerability [CWE-653] in Fortinet FortiSandbox 5.0.0 through 5.0.1, FortiSandbox 4.4.0 through 4.4.7, FortiSandbox 4.2 all versions, FortiSandbox 4.0 all versions may allow an unauthenticated attacker to evade the sandboxing scan via a crafted file.
Gravedad CVSS v3.1: MEDIA
Última modificación:
20/11/2025

CVE-2025-46775

Fecha de publicación:
18/11/2025
Idioma:
Inglés
*** Pendiente de traducción *** A debug messages revealing unnecessary information vulnerability in Fortinet FortiExtender 7.6.0 through 7.6.1, FortiExtender 7.4.0 through 7.4.6, FortiExtender 7.2 all versions, FortiExtender 7.0 all versions may allow an authenticated user to obtain administrator credentials via debug log commands.
Gravedad CVSS v3.1: MEDIA
Última modificación:
20/11/2025

CVE-2025-46373

Fecha de publicación:
18/11/2025
Idioma:
Inglés
*** Pendiente de traducción *** A Heap-based Buffer Overflow vulnerability [CWE-122] vulnerability in Fortinet FortiClientWindows 7.4.0 through 7.4.3, FortiClientWindows 7.2.0 through 7.2.8 may allow an authenticated local IPSec user to execute arbitrary code or commands via "fortips_74.sys". The attacker would need to bypass the Windows heap integrity protections
Gravedad CVSS v3.1: ALTA
Última modificación:
16/12/2025

CVE-2025-34324

Fecha de publicación:
18/11/2025
Idioma:
Inglés
*** Pendiente de traducción *** GoSign Desktop versions 2.4.0 and earlier use an unsigned update manifest for distributing application updates. The manifest contains package URLs and SHA-256 hashes but is not digitally signed, so its authenticity relies solely on the underlying TLS channel. In affected versions, TLS certificate validation can be disabled when a proxy is configured, allowing an attacker who can intercept network traffic to supply a malicious update manifest and corresponding package with a matching hash. This can cause the client to download and install a tampered update, resulting in arbitrary code execution with the privileges of the GoSign Desktop user on Windows and macOS, or with elevated privileges on some Linux deployments. A local attacker who can modify proxy settings may also abuse this behavior to escalate privileges by forcing installation of a crafted update.
Gravedad CVSS v4.0: ALTA
Última modificación:
31/12/2025

CVE-2025-33183

Fecha de publicación:
18/11/2025
Idioma:
Inglés
*** Pendiente de traducción *** NVIDIA Isaac-GR00T for all platforms contains a vulnerability in a Python component, where an attacker could cause a code injection issue. A successful exploit of this vulnerability might lead to code execution, escalation of privileges, information disclosure, and data tampering.
Gravedad CVSS v3.1: ALTA
Última modificación:
19/11/2025

CVE-2025-33184

Fecha de publicación:
18/11/2025
Idioma:
Inglés
*** Pendiente de traducción *** NVIDIA Isaac-GR00T for all platforms contains a vulnerability in a Python component, where an attacker could cause a code injection issue. A successful exploit of this vulnerability might lead to code execution, escalation of privileges, information disclosure, and data tampering.
Gravedad CVSS v3.1: ALTA
Última modificación:
19/11/2025

CVE-2025-13083

Fecha de publicación:
18/11/2025
Idioma:
Inglés
*** Pendiente de traducción *** Use of Web Browser Cache Containing Sensitive Information vulnerability in Drupal Drupal core allows Exploiting Incorrectly Configured Access Control Security Levels.This issue affects Drupal core: from 8.0.0 before 10.4.9, from 10.5.0 before 10.5.6, from 11.0.0 before 11.1.9, from 11.2.0 before 11.2.8, from 7.0 before 7.103.
Gravedad CVSS v3.1: BAJA
Última modificación:
08/01/2026

CVE-2025-13082

Fecha de publicación:
18/11/2025
Idioma:
Inglés
*** Pendiente de traducción *** User Interface (UI) Misrepresentation of Critical Information vulnerability in Drupal Drupal core allows Content Spoofing.This issue affects Drupal core: from 8.0.0 before 10.4.9, from 10.5.0 before 10.5.6, from 11.0.0 before 11.1.9, from 11.2.0 before 11.2.8.
Gravedad CVSS v3.1: MEDIA
Última modificación:
24/11/2025

CVE-2025-13081

Fecha de publicación:
18/11/2025
Idioma:
Inglés
*** Pendiente de traducción *** Improperly Controlled Modification of Dynamically-Determined Object Attributes vulnerability in Drupal Drupal core allows Object Injection.This issue affects Drupal core: from 8.0.0 before 10.4.9, from 10.5.0 before 10.5.6, from 11.0.0 before 11.1.9, from 11.2.0 before 11.2.8.
Gravedad CVSS v3.1: MEDIA
Última modificación:
24/11/2025

CVE-2025-13080

Fecha de publicación:
18/11/2025
Idioma:
Inglés
*** Pendiente de traducción *** Improper Check for Unusual or Exceptional Conditions vulnerability in Drupal Drupal core allows Forceful Browsing.This issue affects Drupal core: from 8.0.0 before 10.4.9, from 10.5.0 before 10.5.6, from 11.0.0 before 11.1.9, from 11.2.0 before 11.2.8.
Gravedad CVSS v3.1: MEDIA
Última modificación:
24/11/2025

CVE-2025-12760

Fecha de publicación:
18/11/2025
Idioma:
Inglés
*** Pendiente de traducción *** Authentication Bypass Using an Alternate Path or Channel vulnerability in Drupal Email TFA allows Functionality Bypass.This issue affects Email TFA: from 0.0.0 before 2.0.6.
Gravedad CVSS v3.1: MEDIA
Última modificación:
08/12/2025