Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las ultimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las ultimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las ultimas vulnerabilidades incorporadas al repositorio.

CVE-2025-62422

Fecha de publicación:

17/10/2025

Idioma:

Inglés

*** Pendiente de traducción *** DataEase is an open source data visualization and analytics platform. In versions 2.10.13 and earlier, the /de2api/datasetData/tableField interface is vulnerable to SQL injection. An attacker can construct a malicious tableName parameter to execute arbitrary SQL commands. This issue is fixed in version 2.10.14. No known workarounds exist.

Gravedad CVSS v4.0: ALTA

Última modificación:

24/10/2025

CVE-2025-57164

Fecha de publicación:

17/10/2025

Idioma:

Inglés

*** Pendiente de traducción *** Flowise through v3.0.4 is vulnerable to remote code execution via unsanitized evaluation of user input in the "Supabase RPC Filter" field.

Gravedad CVSS v3.1: MEDIA

Última modificación:

23/10/2025

CVE-2025-60514

Fecha de publicación:

17/10/2025

Idioma:

Inglés

*** Pendiente de traducción *** Tillywork v0.1.3 and below is vulnerable to SQL Injection in app/common/helpers/query.builder.helper.ts.

Gravedad CVSS v3.1: MEDIA

Última modificación:

21/10/2025

CVE-2025-62424

Fecha de publicación:

17/10/2025

Idioma:

Inglés

*** Pendiente de traducción *** ClipBucket is a web-based video-sharing platform. In ClipBucket version 5.5.2 - #146 and earlier, the /admin_area/template_editor.php endpoint is vulnerable to path traversal. The validation of the file-loading path is inadequate, allowing authenticated administrators to read and write arbitrary files outside the intended template directory by inserting path traversal sequences into the folder parameter. An attacker with administrator privileges can exploit this vulnerability to read sensitive files such as /etc/passwd and modify writable files on the system, potentially leading to sensitive information disclosure and compromise of the application or server. This issue is fixed in version 5.5.2 - #147.

Gravedad CVSS v3.1: MEDIA

Última modificación:

10/11/2025

CVE-2025-62171

Fecha de publicación:

17/10/2025

Idioma:

Inglés

*** Pendiente de traducción *** ImageMagick is an open source software suite for displaying, converting, and editing raster image files. In ImageMagick versions prior to 7.1.2-7 and 6.9.13-32, an integer overflow vulnerability exists in the BMP decoder on 32-bit systems. The vulnerability occurs in coders/bmp.c when calculating the extent value by multiplying image columns by bits per pixel. On 32-bit systems with size_t of 4 bytes, a malicious BMP file with specific dimensions can cause this multiplication to overflow and wrap to zero. The overflow check added to address CVE-2025-57803 is placed after the overflow occurs, making it ineffective. A specially crafted 58-byte BMP file with width set to 536,870,912 and 32 bits per pixel can trigger this overflow, causing the bytes_per_line calculation to become zero. This vulnerability only affects 32-bit builds of ImageMagick where default resource limits for width, height, and area have been manually increased beyond their defaults. 64-bit systems with size_t of 8 bytes are not vulnerable, and systems using default ImageMagick resource limits are not vulnerable. The vulnerability is fixed in versions 7.1.2-7 and 6.9.13-32.

Gravedad CVSS v3.1: MEDIA

Última modificación:

03/11/2025

CVE-2025-62168

Fecha de publicación:

17/10/2025

Idioma:

Inglés

*** Pendiente de traducción *** Squid is a caching proxy for the Web. In Squid versions prior to 7.2, a failure to redact HTTP authentication credentials in error handling allows information disclosure. The vulnerability allows a script to bypass browser security protections and learn the credentials a trusted client uses to authenticate. This potentially allows a remote client to identify security tokens or credentials used internally by a web application using Squid for backend load balancing. These attacks do not require Squid to be configured with HTTP authentication. The vulnerability is fixed in version 7.2. As a workaround, disable debug information in administrator mailto links generated by Squid by configuring squid.conf with email_err_data off.

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

05/11/2025

CVE-2025-62353

Fecha de publicación:

17/10/2025

Idioma:

Inglés

*** Pendiente de traducción *** A path traversal vulnerability in all versions of the Windsurf IDE enables a threat actor to read and write arbitrary local files in and outside of current projects on an end user’s system. The vulnerability can be reached directly and through indirect prompt injection.

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

21/10/2025

CVE-2025-62356

Fecha de publicación:

17/10/2025

Idioma:

Inglés

*** Pendiente de traducción *** A path traversal vulnerability in all versions of the Qodo Qodo Gen IDE enables a threat actor to read arbitrary local files in and outside of current projects on an end user’s system. The vulnerability can be reached directly and through indirect prompt injection.

Gravedad CVSS v3.1: ALTA

Última modificación:

21/10/2025

CVE-2025-8414

Fecha de publicación:

17/10/2025

Idioma:

Inglés

*** Pendiente de traducción *** Due to improper input validation, a buffer overflow vulnerability is present in <br /> <br /> Zigbee EZSP Host Applications. If the buffer overflows, stack corruption is possible. In certain<br /> <br /> conditions, this could lead to arbitrary code execution. Access to a network key is required to exploit this vulnerability.

Gravedad CVSS v4.0: CRÍTICA

Última modificación:

21/10/2025

CVE-2025-58747

Fecha de publicación:

17/10/2025

Idioma:

Inglés

*** Pendiente de traducción *** Dify is an LLM application development platform. In Dify versions through 1.9.1, the MCP OAuth component is vulnerable to cross-site scripting when a victim connects to an attacker-controlled remote MCP server. The vulnerability exists in the OAuth flow implementation where the authorization_url provided by a remote MCP server is directly passed to window.open without validation or sanitization. An attacker can craft a malicious MCP server that returns a JavaScript URI (such as javascript:alert(1)) in the authorization_url field, which is then executed when the victim attempts to connect to the MCP server. This allows the attacker to execute arbitrary JavaScript in the context of the Dify application.

Gravedad CVSS v4.0: BAJA

Última modificación:

29/10/2025

CVE-2025-57567

Fecha de publicación:

17/10/2025

Idioma:

Inglés

*** Pendiente de traducción *** A remote code execution (RCE) vulnerability exists in the PluXml CMS theme editor, specifically in the minify.php file located under the default theme directory (/themes/defaut/css/minify.php). An authenticated administrator user can overwrite this file with arbitrary PHP code via the admin panel, enabling execution of system commands.

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

21/10/2025

CVE-2025-59043

Fecha de publicación:

17/10/2025

Idioma:

Inglés

*** Pendiente de traducción *** OpenBao is an open source identity-based secrets management system. In OpenBao versions prior to 2.4.1, JSON objects after decoding may use significantly more memory than their serialized version. It is possible to craft a JSON payload to maximize the factor between serialized memory usage and deserialized memory usage, similar to a zip bomb, with factors reaching approximately 35. This can be used to circumvent the max_request_size configuration parameter which is intended to protect against denial of service attacks. The request body is parsed into a map very early in the request handling chain before authentication, which means an unauthenticated attacker can send a specifically crafted JSON object and cause an out-of-memory crash. Additionally, for requests with large numbers of strings, the audit subsystem can consume large quantities of CPU. The vulnerability is fixed in version 2.4.1.

Gravedad CVSS v3.1: ALTA

Última modificación:

24/10/2025

Suscribirse a Vulnerabilidades