Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las ultimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las ultimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las ultimas vulnerabilidades incorporadas al repositorio.

CVE-2025-10966

Fecha de publicación:

07/11/2025

Idioma:

Inglés

*** Pendiente de traducción *** curl&#39;s code for managing SSH connections when SFTP was done using the wolfSSH<br /> powered backend was flawed and missed host verification mechanisms.<br /> <br /> This prevents curl from detecting MITM attackers and more.

Gravedad CVSS v3.1: MEDIA

Última modificación:

20/01/2026

CVE-2025-12520

Fecha de publicación:

07/11/2025

Idioma:

Inglés

*** Pendiente de traducción *** The WP Airbnb Review Slider plugin for WordPress is vulnerable to Stored Cross-Site Scripting via admin settings in all versions up to, and including, 4.2 due to insufficient URL validation that allows users to pull in a malicious HTML file. This makes it possible for authenticated attackers, with administrator-level permissions and above, to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page. This only affects multi-site installations and installations where unfiltered_html has been disabled.

Gravedad CVSS v3.1: MEDIA

Última modificación:

12/11/2025

CVE-2025-12527

Fecha de publicación:

07/11/2025

Idioma:

Inglés

*** Pendiente de traducción *** The Page & Post Notes plugin for WordPress is vulnerable to unauthorized modification of notes due to a missing capability check on the &#39;yydev_notes_save_dashboard_data&#39; function in all versions up to, and including, 1.3.4. This makes it possible for authenticated attackers, with Subscriber-level access and above, to modify notes.

Gravedad CVSS v3.1: MEDIA

Última modificación:

12/11/2025

Vulnerabilidad en Constructor de Conda (CVE-2025-64343)

Fecha de publicación:

07/11/2025

Idioma:

Español

Constructor es una herramienta que permite a los usuarios crear instaladores para colecciones de paquetes conda. En las versiones 3.12.2 e inferiores, el directorio de instalación hereda los permisos de su directorio padre. Fuera de los directorios restringidos, los permisos son muy permisivos y a menudo permiten el acceso de escritura por parte de usuarios autenticados. Cualquier usuario con sesión iniciada puede realizar modificaciones durante la instalación, tanto para instalaciones de un solo usuario como para instalaciones de todos los usuarios. Esto constituye un vector de ataque local si la instalación se encuentra en un directorio al que los usuarios locales tienen acceso. Para instalaciones de un solo usuario en un directorio compartido, estos permisos persisten después de la instalación. Este problema se corrige en la versión 3.13.0.

Gravedad CVSS v3.1: ALTA

Última modificación:

12/11/2025

Vulnerabilidad en Archives en Go library (CVE-2025-64346)

Fecha de publicación:

07/11/2025

Idioma:

Español

archives es una librería Go para extraer archivos (tar, zip, etc.). La versión 1.0.0 no evita que un usuario malintencionado alimente un archivo especialmente diseñado a la librería, causando RCE, modificación de archivos u otras malignidades en el contexto de los privilegios con los que el usuario esté ejecutando esta librería, a través del programa que la importa. La severidad depende de los permisos del usuario, el entorno y cómo se pasen los archivos arbitrarios. Este problema está solucionado en la versión 1.0.1.

Gravedad CVSS v4.0: MEDIA

Última modificación:

12/11/2025

Vulnerabilidad en ClipBucket (CVE-2025-64339)

Fecha de publicación:

07/11/2025

Idioma:

Español

ClipBucket v5 es una plataforma de código abierto para compartir videos. En las versiones 5.5.2-#146 e inferiores, la función &#39;Manage Playlists&#39; (Gestionar Listas de Reproducción) es vulnerable a &#39;cross-site scripting&#39; (XSS) almacenado, específicamente en el campo &#39;Playlist Name&#39; (Nombre de la Lista de Reproducción). Un usuario autenticado con bajos privilegios puede crear una lista de reproducción con un nombre malicioso que contenga código HTML/JavaScript, el cual se renderiza sin escapar en las páginas de detalle y listado de las listas de reproducción. Esto resulta en la ejecución arbitraria de JavaScript en el navegador de cada espectador, incluyendo a los administradores. Este problema está solucionado en la versión 5.5.2-#147.

Gravedad CVSS v4.0: ALTA

Última modificación:

26/11/2025

CVE-2025-64338

Fecha de publicación:

07/11/2025

Idioma:

Inglés

*** Pendiente de traducción *** ClipBucket v5 is an open source video sharing platform. In versions 5.5.2 - #156 and below, an authenticated regular user can create a photo collection whose Collection Name contains HTML/JavaScript payloads, which making ClipBucket’s Manage Photos feature vulnerable to Stored XSS. The payload is rendered unsafely in the Admin → Manage Photos interface, causing it to execute in the administrator’s browser, therefore allowing an attacker to target administrators and perform actions with elevated privileges. This issue is fixed in version 5.5.2 - #157.

Gravedad CVSS v4.0: MEDIA

Última modificación:

31/12/2025

Vulnerabilidad en containerd (CVE-2025-64329)

Fecha de publicación:

07/11/2025

Idioma:

Español

containerd es un tiempo de ejecución de contenedores de código abierto. Las versiones 1.7.28 e inferiores, 2.0.0-beta.0 hasta 2.0.6, 2.1.0-beta.0 hasta 2.1.4, y 2.2.0-beta.0 hasta 2.2.0-rc.1 contienen un error en la implementación de CRI Attach donde un usuario puede agotar la memoria en el host debido a fugas de goroutines. Este problema está solucionado en las versiones 1.7.29, 2.0.7, 2.1.5 y 2.2.0. Como solución alternativa a esta vulnerabilidad, los usuarios pueden configurar un controlador de admisión para controlar los accesos a los recursos pods/attach.

Gravedad CVSS v4.0: MEDIA

Última modificación:

31/12/2025

Vulnerabilidad en ClipBucket (CVE-2025-64336)

Fecha de publicación:

07/11/2025

Idioma:

Español

ClipBucket v5 es una plataforma de código abierto para compartir videos. En las versiones 5.5.2-#146 e inferiores, la función "Manage Photos" es vulnerable a cross-site scripting (XSS) almacenado. Un usuario regular autenticado puede subir una foto con un Título de Foto malicioso que contenga código HTML/JavaScript. Aunque la carga útil no se ejecuta en la galería de fotos o en las páginas de detalles orientadas al usuario, se renderiza de forma insegura en la sección Admin ? Manage Photos, lo que resulta en la ejecución de JavaScript en el navegador del administrador. Este problema se corrige en la versión 5.5.2-#147.

Gravedad CVSS v4.0: ALTA

Última modificación:

05/12/2025

CVE-2025-4519

Fecha de publicación:

07/11/2025

Idioma:

Inglés

*** Pendiente de traducción *** The IDonate – Blood Donation, Request And Donor Management System plugin for WordPress is vulnerable to Privilege Escalation due to a missing capability check on the idonate_donor_password() function in versions 2.1.5 to 2.1.9. This makes it possible for authenticated attackers, with Subscriber-level access and above, to initiate a password reset for any user (including administrators) and elevate their privileges for full site takeover.

Gravedad CVSS v3.1: ALTA

Última modificación:

04/12/2025

CVE-2025-4522

Fecha de publicación:

07/11/2025

Idioma:

Inglés

*** Pendiente de traducción *** The IDonate – Blood Donation, Request And Donor Management System plugin for WordPress is vulnerable to Insecure Direct Object Reference via the admin_post_donor_delete() function in versions 2.0.0 to 2.1.9. By supplying an arbitrary user_id parameter value to the wp_delete_user() function, authenticated attackers, with Subscriber-level access and above could delete arbitrary user accounts, including those of administrators.

Gravedad CVSS v3.1: MEDIA

Última modificación:

04/12/2025

CVE-2025-12352

Fecha de publicación:

07/11/2025

Idioma:

Inglés

*** Pendiente de traducción *** The Gravity Forms plugin for WordPress is vulnerable to arbitrary file uploads due to missing file type validation in the copy_post_image() function in all versions up to, and including, 2.9.20. This makes it possible for unauthenticated attackers to upload arbitrary files on the affected site&#39;s server which may make remote code execution possible. This only impacts sites that have allow_url_fopen set to `On`, the post creation form enabled along with a file upload field for the post

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

12/11/2025

Suscribirse a Vulnerabilidades