Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las ultimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las ultimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las ultimas vulnerabilidades incorporadas al repositorio.

Vulnerabilidad en sell done storefront v.1.0 (CVE-2025-26206)

Fecha de publicación:

03/03/2025

Idioma:

Español

La vulnerabilidad de Cross Site Request Forgery en sell done storefront v.1.0 permite que un atacante remoto escale privilegios a través del componente index.html

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

07/07/2025

Vulnerabilidad en i-Drive (CVE-2025-1878)

Fecha de publicación:

03/03/2025

Idioma:

Español

Se ha detectado una vulnerabilidad en i-Drive i11 e i12 hasta 20250227 y se ha clasificado como problemática. Esta vulnerabilidad afecta a un código desconocido del componente WiFi. La manipulación lleva al uso de una contraseña predeterminada. Para que este ataque tenga éxito, es necesario tener acceso a la red local. Es un ataque de complejidad bastante alta. Parece difícil de explotar. No ha sido posible identificar al responsable actual del producto. Se debe suponer que el producto ha llegado al final de su vida útil.

Gravedad CVSS v4.0: BAJA

Última modificación:

06/03/2025

CVE-2025-1889

Fecha de publicación:

03/03/2025

Idioma:

Español

picklescan antes de la versión 0.0.22 solo considera los extensiones estándar de archivos pickle en el ámbito de su revisión de vulnerabilidades. Un atacante podría crear un modelo malicioso que utilice Pickle e incluir un archivo pickle malicioso con una extensión no estándar. Dado que la inclusión de un archivo pickle malicioso no se considera dentro del alcance de picklescan, el archivo pasaría las comprobaciones de seguridad y aparentaría ser seguro, cuando en realidad podría resultar problemático.

Gravedad CVSS v4.0: MEDIA

Última modificación:

05/03/2025

Vulnerabilidad en D-Link DAP-1562 1.10 (CVE-2025-1877)

Fecha de publicación:

03/03/2025

Idioma:

Español

En D-Link DAP-1562 1.10 se ha detectado una vulnerabilidad clasificada como crítica que afecta a la función pure_auth_check del componente HTTP POST Request Handler. La manipulación del argumento a1 provoca la desreferenciación de un puntero nulo. Es posible iniciar el ataque de forma remota. Se ha hecho público el exploit y puede que sea utilizado. Esta vulnerabilidad solo afecta a los productos que ya no reciben soporte del fabricante.

Gravedad CVSS v4.0: ALTA

Última modificación:

06/03/2025

Vulnerabilidad en HCL SX (CVE-2024-30154)

Fecha de publicación:

03/03/2025

Idioma:

Español

HCL SX es vulnerable a una vulnerabilidad de Cross Site Request Forgery que podría permitir a un atacante ejecutar acciones maliciosas y no autorizadas transmitidas desde un usuario en el que el sitio web confía.

Gravedad CVSS v3.1: MEDIA

Última modificación:

03/07/2025

Vulnerabilidad en OpenID Connect Core (CVE-2025-27370)

Fecha de publicación:

03/03/2025

Idioma:

Español

OpenID Connect Core a través del conjunto de erratas 1.0 2 permite la inyección de audiencia en determinadas situaciones. Cuando se utiliza el mecanismo de autenticación private_key_jwt, un servidor de autorización malintencionado podría engañar a un cliente para que escriba valores controlados por el atacante en la audiencia, incluidos endpoints de token o identificadores de emisor de otros servidores de autorización. El servidor de autorización malintencionado podría entonces utilizar estos JWT de clave privada para hacerse pasar por el cliente.

Gravedad CVSS v3.1: MEDIA

Última modificación:

25/04/2025

Vulnerabilidad en OAuth 2.0 de IETF (CVE-2025-27371)

Fecha de publicación:

03/03/2025

Idioma:

Español

En ciertas especificaciones relacionadas con OAuth 2.0 de IETF, cuando se utiliza el mecanismo de autenticación de cliente JSON Web Token Profile for OAuth 2.0, existen ambigüedades en los valores de audiencia de los JWT enviados a los servidores de autorización. Las RFC afectadas pueden incluir RFC 7523, y también RFC 7521, RFC 7522, RFC 9101 (JAR) y RFC 9126 (PAR).

Gravedad CVSS v3.1: MEDIA

Última modificación:

25/04/2025

Vulnerabilidad en grub2 (CVE-2025-0684)

Fecha de publicación:

03/03/2025

Idioma:

Español

Se encontró una falla en grub2. Al realizar una búsqueda de enlace simbólico desde un sistema de archivos reiserfs, el módulo de sistema de archivos reiserfs de grub utiliza parámetros controlados por el usuario de la geometría del sistema de archivos para determinar el tamaño del búfer interno; sin embargo, verifica incorrectamente si hay desbordamientos de enteros. Un sistema de archivos manipulados con fines malintencionados puede provocar que algunos de esos cálculos de tamaño de búfer se desborden, lo que hace que realice una operación grub_malloc() con un tamaño menor al esperado. Como resultado, grub_reiserfs_read_symlink() llamará a grub_reiserfs_read_real() con un parámetro de longitud desbordado, lo que lleva a una escritura fuera de los límites basada en el montón durante la lectura de datos. Esta falla puede aprovecharse para corromper los datos críticos internos de grub y puede resultar en la ejecución de código arbitrario, eludiendo las protecciones de arranque seguro.

Gravedad CVSS v3.1: MEDIA

Última modificación:

03/03/2025

Vulnerabilidad en grub2 (CVE-2025-0685)

Fecha de publicación:

03/03/2025

Idioma:

Español

Se encontró una falla en grub2. Al leer datos de un sistema de archivos jfs, el módulo de sistema de archivos jfs de grub utiliza parámetros controlados por el usuario de la geometría del sistema de archivos para determinar el tamaño del búfer interno; sin embargo, verifica incorrectamente si hay desbordamientos de números enteros. Un sistema de archivos malipulados con fines malintencionados puede provocar que algunos de esos cálculos de tamaño de búfer se desborden, lo que hace que realice una operación grub_malloc() con un tamaño menor al esperado. Como resultado, la función grub_jfs_lookup_symlink() escribirá más allá de la longitud del búfer interno durante grub_jfs_read_file(). Este problema se puede aprovechar para corromper los datos críticos internos de grub y puede resultar en la ejecución de código arbitrario, eludiendo las protecciones de arranque seguro.

Gravedad CVSS v3.1: MEDIA

Última modificación:

03/03/2025

Vulnerabilidad en grub2 (CVE-2025-0686)

Fecha de publicación:

03/03/2025

Idioma:

Español

Se encontró una falla en grub2. Al realizar una búsqueda de enlace simbólico desde un sistema de archivos romfs, el módulo de sistema de archivos romfs de grub utiliza parámetros controlados por el usuario de la geometría del sistema de archivos para determinar el tamaño del búfer interno; sin embargo, verifica incorrectamente si hay desbordamientos de números enteros. Un sistema de archivos manipulado con fines malintencionados puede provocar que algunos de esos cálculos de tamaño de búfer se desborden, lo que hace que realice una operación grub_malloc() con un tamaño menor al esperado. Como resultado, grub_romfs_read_symlink() puede provocar escrituras fuera de los límites cuando se llama a la función grub_disk_read(). Este problema se puede aprovechar para corromper los datos críticos internos de grub y puede provocar la ejecución de código arbitrario que pasa por alto las protecciones de arranque seguro.

Gravedad CVSS v3.1: MEDIA

Última modificación:

03/03/2025

Vulnerabilidad en seajs v.2.2.3 (CVE-2024-51091)

Fecha de publicación:

03/03/2025

Idioma:

Español

La vulnerabilidad de cross-site scripting en seajs v.2.2.3 permite que un atacante remoto ejecute código arbitrario a través del paquete seajs

Gravedad CVSS v3.1: MEDIA

Última modificación:

07/07/2025

Vulnerabilidad en tsup v8.3.4 (CVE-2024-53384)

Fecha de publicación:

03/03/2025

Idioma:

Español

Una vulnerabilidad de DOM Clobbering en tsup v8.3.4 permite a los atacantes ejecutar código arbitrario a través de un script manipulado en import.meta.url a document.currentScript en los componentes cjs_shims.js

Gravedad CVSS v3.1: MEDIA

Última modificación:

07/07/2025

Suscribirse a Vulnerabilidades