Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las ultimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las ultimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las ultimas vulnerabilidades incorporadas al repositorio.

CVE-2025-34324

Fecha de publicación:

18/11/2025

Idioma:

Inglés

*** Pendiente de traducción *** GoSign Desktop versions 2.4.0 and earlier use an unsigned update manifest for distributing application updates. The manifest contains package URLs and SHA-256 hashes but is not digitally signed, so its authenticity relies solely on the underlying TLS channel. In affected versions, TLS certificate validation can be disabled when a proxy is configured, allowing an attacker who can intercept network traffic to supply a malicious update manifest and corresponding package with a matching hash. This can cause the client to download and install a tampered update, resulting in arbitrary code execution with the privileges of the GoSign Desktop user on Windows and macOS, or with elevated privileges on some Linux deployments. A local attacker who can modify proxy settings may also abuse this behavior to escalate privileges by forcing installation of a crafted update.

Gravedad CVSS v4.0: ALTA

Última modificación:

31/12/2025

CVE-2025-33183

Fecha de publicación:

18/11/2025

Idioma:

Inglés

*** Pendiente de traducción *** NVIDIA Isaac-GR00T for all platforms contains a vulnerability in a Python component, where an attacker could cause a code injection issue. A successful exploit of this vulnerability might lead to code execution, escalation of privileges, information disclosure, and data tampering.

Gravedad CVSS v3.1: ALTA

Última modificación:

19/11/2025

CVE-2025-33184

Fecha de publicación:

18/11/2025

Idioma:

Inglés

Gravedad CVSS v3.1: ALTA

Última modificación:

19/11/2025

CVE-2025-13083

Fecha de publicación:

18/11/2025

Idioma:

Inglés

*** Pendiente de traducción *** Use of Web Browser Cache Containing Sensitive Information vulnerability in Drupal Drupal core allows Exploiting Incorrectly Configured Access Control Security Levels.This issue affects Drupal core: from 8.0.0 before 10.4.9, from 10.5.0 before 10.5.6, from 11.0.0 before 11.1.9, from 11.2.0 before 11.2.8, from 7.0 before 7.103.

Gravedad CVSS v3.1: BAJA

Última modificación:

08/01/2026

CVE-2025-13082

Fecha de publicación:

18/11/2025

Idioma:

Inglés

*** Pendiente de traducción *** User Interface (UI) Misrepresentation of Critical Information vulnerability in Drupal Drupal core allows Content Spoofing.This issue affects Drupal core: from 8.0.0 before 10.4.9, from 10.5.0 before 10.5.6, from 11.0.0 before 11.1.9, from 11.2.0 before 11.2.8.

Gravedad CVSS v3.1: MEDIA

Última modificación:

24/11/2025

CVE-2025-13081

Fecha de publicación:

18/11/2025

Idioma:

Inglés

*** Pendiente de traducción *** Improperly Controlled Modification of Dynamically-Determined Object Attributes vulnerability in Drupal Drupal core allows Object Injection.This issue affects Drupal core: from 8.0.0 before 10.4.9, from 10.5.0 before 10.5.6, from 11.0.0 before 11.1.9, from 11.2.0 before 11.2.8.

Gravedad CVSS v3.1: MEDIA

Última modificación:

24/11/2025

CVE-2025-13080

Fecha de publicación:

18/11/2025

Idioma:

Inglés

*** Pendiente de traducción *** Improper Check for Unusual or Exceptional Conditions vulnerability in Drupal Drupal core allows Forceful Browsing.This issue affects Drupal core: from 8.0.0 before 10.4.9, from 10.5.0 before 10.5.6, from 11.0.0 before 11.1.9, from 11.2.0 before 11.2.8.

Gravedad CVSS v3.1: MEDIA

Última modificación:

24/11/2025

CVE-2025-12760

Fecha de publicación:

18/11/2025

Idioma:

Inglés

*** Pendiente de traducción *** Authentication Bypass Using an Alternate Path or Channel vulnerability in Drupal Email TFA allows Functionality Bypass.This issue affects Email TFA: from 0.0.0 before 2.0.6.

Gravedad CVSS v3.1: MEDIA

Última modificación:

08/12/2025

CVE-2025-12761

Fecha de publicación:

18/11/2025

Idioma:

Inglés

*** Pendiente de traducción *** Improper Neutralization of Input During Web Page Generation ("Cross-site Scripting") vulnerability in Drupal Simple multi step form allows Cross-Site Scripting (XSS).This issue affects Simple multi step form: from 0.0.0 before 2.0.0.

Gravedad CVSS v3.1: BAJA

Última modificación:

08/12/2025

CVE-2025-9977

Fecha de publicación:

18/11/2025

Idioma:

Inglés

*** Pendiente de traducción *** Value provided in one of POST parameters sent during the process of logging in to Times Software E-Payroll is not sanitized properly, which allows an unauthenticated attacker to perform DoS attacks. SQL injection attacks might also be feasible, although so far creating a working exploit has been prevented probably by backend filtering mechanisms.<br /> Additionally, command injection attempts cause the application to return extensive error messages disclosing some information about the internal infrastructure. <br /> Patching status is unknown because the vendor has not replied to messages sent by the CNA.

Gravedad CVSS v4.0: MEDIA

Última modificación:

19/11/2025

CVE-2025-63800

Fecha de publicación:

18/11/2025

Idioma:

Inglés

*** Pendiente de traducción *** The password change endpoint in Open Source Point of Sale 3.4.1 allows users to set their account password to an empty string due to missing server-side validation. When an authenticated user omits or leaves the `password` and `repeat_password` parameters empty in the password change request, the backend still returns a successful response and sets the password to an empty string. This effectively disables authentication and may allow unauthorized access to user or administrative accounts.

Gravedad CVSS v3.1: ALTA

Última modificación:

19/12/2025

CVE-2025-63604

Fecha de publicación:

18/11/2025

Idioma:

Inglés

*** Pendiente de traducción *** A code injection vulnerability exists in baryhuang/mcp-server-aws-resources-python 0.1.0 that allows remote code execution through insufficient input validation in the execute_query method. The vulnerability stems from the exposure of dangerous Python built-in functions (__import__, getattr, hasattr) in the execution namespace and the direct use of exec() to execute user-supplied code. An attacker can craft malicious queries to execute arbitrary Python code, leading to AWS credential theft (AWS_ACCESS_KEY_ID, AWS_SECRET_ACCESS_KEY), file system access, environment variable disclosure, and potential system compromise. The vulnerability allows attackers to bypass intended security controls and gain unauthorized access to sensitive AWS resources and credentials stored in the server&#39;s environment.

Gravedad CVSS v3.1: MEDIA

Última modificación:

31/12/2025

Suscribirse a Vulnerabilidades