Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las ultimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las ultimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las ultimas vulnerabilidades incorporadas al repositorio.

Vulnerabilidad en Intern Membership Management System de code-projects (CVE-2026-0729)

Fecha de publicación:
08/01/2026
Idioma:
Español
Una vulnerabilidad fue detectada en code-projects Intern Membership Management System 1.0. Afectada es una función desconocida del archivo /intern/admin/add_activity.php. Realizar una manipulación del argumento Title resulta en inyección SQL. La explotación remota del ataque es posible. El exploit es ahora público y puede ser usado.
Gravedad CVSS v4.0: MEDIA
Última modificación:
22/01/2026

Vulnerabilidad en Staff Leave Management System de PHPGurukul (CVE-2026-0730)

Fecha de publicación:
08/01/2026
Idioma:
Español
Se ha encontrado una vulnerabilidad en PHPGurukul Staff Leave Management System 1.0. El elemento afectado es la función ADD_STAFF/UPDATE_STAFF del archivo /staffleave/slms/slms/adminviews.py del componente SVG File Handler. La ejecución de una manipulación del argumento profile_pic puede llevar a cross site scripting. El ataque puede ejecutarse de forma remota. El exploit ha sido publicado y puede ser utilizado.
Gravedad CVSS v4.0: MEDIA
Última modificación:
22/01/2026

Vulnerabilidad en Brevo para WooCommerce de neeraj_slit (CVE-2025-14436)

Fecha de publicación:
08/01/2026
Idioma:
Español
El plugin Brevo para WooCommerce para WordPress es vulnerable a cross-site scripting almacenado a través del parámetro 'user_connection_id' en todas las versiones hasta la 4.0.49, inclusive, debido a una sanitización de entrada y un escape de salida insuficientes. Esto hace posible que atacantes no autenticados inyecten scripts web arbitrarios en páginas que se ejecutarán cada vez que un usuario acceda a una página inyectada.
Gravedad CVSS v3.1: ALTA
Última modificación:
15/04/2026

Vulnerabilidad en Intern Membership Management System de code-projects (CVE-2026-0728)

Fecha de publicación:
08/01/2026
Idioma:
Español
Una vulnerabilidad de seguridad ha sido detectada en code-projects Intern Membership Management System 1.0. Este problema afecta a un procesamiento desconocido del archivo /intern/admin/delete_admin.php. Dicha manipulación del argumento admin_id conduce a inyección SQL. El ataque puede ser lanzado remotamente. El exploit ha sido divulgado públicamente y puede ser usado.
Gravedad CVSS v4.0: MEDIA
Última modificación:
22/01/2026

Vulnerabilidad en spree (CVE-2026-22588)

Fecha de publicación:
08/01/2026
Idioma:
Español
Spree es una solución de comercio electrónico de código abierto construida con Ruby on Rails. Antes de las versiones 4.10.2, 5.0.7, 5.1.9 y 5.2.5, se identificó una vulnerabilidad de Referencia Directa Insegura a Objeto Autenticada (IDOR) que permite a un usuario autenticado recuperar la información de dirección de otros usuarios modificando un pedido existente. Al editar un pedido que poseen legítimamente y manipular los identificadores de dirección en la solicitud, el servidor de backend acepta y procesa referencias a direcciones que pertenecen a otros usuarios, asociando posteriormente esas direcciones con el pedido del atacante y devolviéndolas en la respuesta. Este problema ha sido parcheado en las versiones 4.10.2, 5.0.7, 5.1.9 y 5.2.5.
Gravedad CVSS v3.1: MEDIA
Última modificación:
02/02/2026

CVE-2025-68718

Fecha de publicación:
08/01/2026
Idioma:
Inglés
*** Pendiente de traducción *** KAYSUS KS-WR1200 routers with firmware 107 expose SSH and TELNET services on the LAN interface with hardcoded root credentials (root:12345678). The administrator cannot disable these services or change the hardcoded password. (Changing the management GUI password does not affect SSH/TELNET authentication.) Any LAN-adjacent attacker can trivially log in with root privileges.
Gravedad CVSS v3.1: MEDIA
Última modificación:
02/02/2026

CVE-2025-68717

Fecha de publicación:
08/01/2026
Idioma:
Inglés
*** Pendiente de traducción *** KAYSUS KS-WR3600 routers with firmware 1.0.5.9.1 allow authentication bypass during session validation. If any user is logged in, endpoints such as /cgi-bin/system-tool accept unauthenticated requests with empty or invalid session values. This design flaw lets attackers piggyback on another user's active session to retrieve sensitive configuration data or execute privileged actions without authentication.
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
02/02/2026

CVE-2025-68716

Fecha de publicación:
08/01/2026
Idioma:
Inglés
*** Pendiente de traducción *** KAYSUS KS-WR3600 routers with firmware 1.0.5.9.1 enable the SSH service enabled by default on the LAN interface. The root account is configured with no password, and administrators cannot disable SSH or enforce authentication via the CLI or web GUI. This allows any LAN-adjacent attacker to trivially gain root shell access and execute arbitrary commands with full privileges.
Gravedad CVSS v3.1: ALTA
Última modificación:
02/02/2026

Vulnerabilidad en routers KAYSUS KS-WR3600 (CVE-2025-68719)

Fecha de publicación:
08/01/2026
Idioma:
Español
Los routers KAYSUS KS-WR3600 con firmware 1.0.5.9.1 gestionan incorrectamente la configuración. Una vez que cualquier usuario ha iniciado sesión y mantiene una sesión activa, un atacante puede consultar directamente el endpoint de copia de seguridad y descargar un archivo de configuración completo. Este archivo contiene archivos sensibles como /etc /shadow, lo que permite la recuperación de credenciales y un posible compromiso total del dispositivo.
Gravedad CVSS v3.1: ALTA
Última modificación:
02/02/2026

CVE-2025-15464

Fecha de publicación:
08/01/2026
Idioma:
Inglés
*** Pendiente de traducción *** Exported Activity allows external applications to gain application context and directly launch Gmail with inbox access, bypassing security controls.
Gravedad CVSS v3.1: ALTA
Última modificación:
12/02/2026

Vulnerabilidad en Elliptic (CVE-2025-14505)

Fecha de publicación:
08/01/2026
Idioma:
Español
La implementación de ECDSA del paquete Elliptic genera firmas incorrectas si un valor intermedio de &amp;#39;k&amp;#39; (calculado según el paso 3.2 de RFC 6979 HTTPS://datatracker.ietf.org/doc/html/rfc6979 ) tiene ceros iniciales y es susceptible a criptoanálisis, lo que puede llevar a la exposición de la clave secreta. Esto ocurre porque la longitud en bytes de &amp;#39;k&amp;#39; se calcula incorrectamente, lo que resulta en su truncamiento durante el cálculo. Las transacciones o comunicaciones legítimas se romperán como resultado. Además, debido a la naturaleza del fallo, los atacantes podrían –bajo ciertas condiciones– derivar la clave secreta, si pudieran obtener tanto una firma defectuosa generada por una versión vulnerable de Elliptic como una firma correcta para las mismas entradas.<br /> <br /> Este problema afecta a todas las versiones conocidas de Elliptic (en el momento de escribir esto, versiones menores o iguales a 6.6.1).
Gravedad CVSS v3.1: MEDIA
Última modificación:
15/04/2026

CVE-2026-0747

Fecha de publicación:
08/01/2026
Idioma:
Inglés
*** Pendiente de traducción *** Exposure of sensitive information in the TeamViewer entry dashboard component in Devolutions Remote Desktop Manager 2025.3.24.0 through 2025.3.28.0 on Windows allows an external observer to view a password on screen via a defective masking feature, for example during physical observation or screen sharing.
Gravedad CVSS v3.1: BAJA
Última modificación:
22/01/2026