Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las últimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las últimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las últimas vulnerabilidades incorporadas al repositorio.

CVE-2026-8149

Fecha de publicación:
08/05/2026
Idioma:
Inglés
*** Pendiente de traducción *** A vulnerability in Legion of the Bouncy Castle Inc. BC-FJA BC-FIPS on Linux, X86_64, AVX, AVX-512f.<br /> <br /> This vulnerability is associated with program files gcm128w, gcm512w.<br /> <br /> <br /> <br /> This issue affects BC-FJA: from 2.1.0 through 2.1.2.
Gravedad CVSS v4.0: MEDIA
Última modificación:
08/05/2026

CVE-2026-4935

Fecha de publicación:
08/05/2026
Idioma:
Inglés
*** Pendiente de traducción *** The OttoKit: All-in-One Automation Platform WordPress plugin before 1.1.23 does not properly sanitize user input before using it in a SQL statement, which could allow unauthenticated attackers to perform SQL injection attacks.
Gravedad CVSS v3.1: ALTA
Última modificación:
08/05/2026

CVE-2026-44916

Fecha de publicación:
08/05/2026
Idioma:
Inglés
*** Pendiente de traducción *** In OpenStack Ironic before 35.0.2 (in a certain non-default configuration), instance_info[&amp;#39;ks_template&amp;#39;] is rendered without sandboxing.
Gravedad CVSS v3.1: BAJA
Última modificación:
12/05/2026

CVE-2025-67888

Fecha de publicación:
08/05/2026
Idioma:
Inglés
*** Pendiente de traducción *** An issue was discovered in Control Web Panel (CWP) before 0.9.8.1209. User input passed via the "key" GET parameter to /admin/index.php (when the "api" parameter is set) is not properly sanitized before being used to execute OS commands. This can be exploited by unauthenticated attackers to inject and execute arbitrary OS commands with the privileges of root on the web server. Softaculous or SitePad must be present.
Gravedad CVSS v3.1: ALTA
Última modificación:
08/05/2026

CVE-2025-67886

Fecha de publicación:
08/05/2026
Idioma:
Inglés
*** Pendiente de traducción *** Bitrix24 through 25.100.300 allows Remote Code Execution because an actor with SOURCE/WRITE permissions for the Translate Module can upload and execute code by sending a PHP file and a .htaccess file. NOTE: this is disputed by the Supplier because this is intended behavior for the high-privileged users who can upload new translated pages to the website.
Gravedad CVSS v3.1: MEDIA
Última modificación:
08/05/2026

CVE-2025-67887

Fecha de publicación:
08/05/2026
Idioma:
Inglés
*** Pendiente de traducción *** 1C-Bitrix through 25.100.500 allows Remote Code Execution because an actor with SOURCE/WRITE permissions for the Translate Module can upload and execute code by sending a PHP file and a .htaccess file. NOTE: this is disputed by the Supplier because this is intended behavior for the high-privileged users who can upload new translated pages to the website.
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
11/05/2026

CVE-2025-69599

Fecha de publicación:
08/05/2026
Idioma:
Inglés
*** Pendiente de traducción *** RayVentory Scan Engine through 12.6 Update 8 allows attackers to gain privileges if they control the value of the PATH environment variable. NOTE: this is disputed because ability of an attacker to control the environment is a site-specific misconfiguration.
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
11/05/2026

CVE-2025-69691

Fecha de publicación:
08/05/2026
Idioma:
Inglés
*** Pendiente de traducción *** Netgate pfSense CE 2.8.0 allows code execution in the XMLRPC API via pfsense.exec_php. NOTE: the Supplier disputes this because the API call is only available to admins and they are intentionally allowed to execute PHP code.
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
12/05/2026

CVE-2025-69690

Fecha de publicación:
08/05/2026
Idioma:
Inglés
*** Pendiente de traducción *** Netgate pfSense CE 2.7.2 allows code execution by using the module installer with a backup file with a serialized PHP object containing the post_reboot_commands property. NOTE: the Supplier disputes this because this installer is only available to admins and they are intentionally allowed to execute PHP code.
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
12/05/2026

CVE-2025-55449

Fecha de publicación:
08/05/2026
Idioma:
Inglés
*** Pendiente de traducción *** AstrBotDevs AstrBot 3.5.15 has Advanced_System_for_Text_Response_and_Bot_Operations_Tool as the hardcoded private key used to sign a JWT.
Gravedad CVSS v3.1: ALTA
Última modificación:
12/05/2026

CVE-2023-46453

Fecha de publicación:
08/05/2026
Idioma:
Inglés
*** Pendiente de traducción *** Certain GL.iNet devices with 4.x firmware allow authentication bypass (resulting in administrative control of the device) via a username that is both a valid SQL statement and a valid regular expression. For example, this affects version 4.3.7 on GL-MT3000 GL-AR300M GL-B1300 GL-AX1800 GL-AR750S GL-MT2500 GL-AXT1800 GL-X3000 and GL-SFT1200.
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
08/05/2026

CVE-2024-53326

Fecha de publicación:
08/05/2026
Idioma:
Inglés
*** Pendiente de traducción *** LINQPad before 5.52.01 Pro edition is vulnerable to Unsafe Deserialization in LINQPad.AutoRefManager::PopulateFromCache(), leading to code execution.
Gravedad CVSS v3.1: ALTA
Última modificación:
08/05/2026