Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las ultimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las ultimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las ultimas vulnerabilidades incorporadas al repositorio.

CVE-2025-9667

Fecha de publicación:

29/08/2025

Idioma:

Inglés

*** Pendiente de traducción *** A vulnerability was detected in code-projects Simple Grading System 1.0. This affects an unknown part of the file /delete_account.php of the component Admin Panel. Performing manipulation of the argument ID results in sql injection. The attack may be initiated remotely. The exploit is now public and may be used.

Gravedad CVSS v4.0: MEDIA

Última modificación:

23/10/2025

CVE-2025-9669

Fecha de publicación:

29/08/2025

Idioma:

Inglés

*** Pendiente de traducción *** A vulnerability has been found in Jinher OA 1.0. This issue affects some unknown processing of the file GetTreeDate.aspx. The manipulation of the argument ID leads to sql injection. Remote exploitation of the attack is possible. The exploit has been disclosed to the public and may be used.

Gravedad CVSS v4.0: MEDIA

Última modificación:

01/10/2025

CVE-2025-43773

Fecha de publicación:

29/08/2025

Idioma:

Inglés

*** Pendiente de traducción *** Liferay Portal 7.4.0 through 7.4.3.132, and Liferay DXP 2025.Q2.0, 2025.Q1.0 through 2025.Q1.14, 2024.Q4.0 through 2024.Q4.7, 2024.Q3.0 through 2024.Q3.13, 2024.Q2.0 through 2024.Q2.13, 2024.Q1.1 through 2024.Q1.18 and 7.4 GA through update 92 has a security vulnerability that allowing for improper access through the expandoTableLocalService.

Gravedad CVSS v4.0: MEDIA

Última modificación:

16/12/2025

CVE-2023-41471

Fecha de publicación:

29/08/2025

Idioma:

Inglés

*** Pendiente de traducción *** Cross Site Scripting vulnerability in copyparty before 1.9.2 allows a local attacker to execute arbitrary code via a crafted payload to the WEEKEND-PLANS function. NOTE: this is disputed because WEEKEND-PLANS is accessible only to actors who already have write access to the server, and they can more simply upload HTML files containing JavaScript.

Gravedad CVSS v3.1: ALTA

Última modificación:

03/11/2025

CVE-2025-9665

Fecha de publicación:

29/08/2025

Idioma:

Inglés

*** Pendiente de traducción *** A weakness has been identified in code-projects Simple Grading System 1.0. Affected by this vulnerability is an unknown functionality of the file /edit_student.php of the component Admin Panel. This manipulation of the argument ID causes sql injection. The attack can be initiated remotely. The exploit has been made available to the public and could be exploited.

Gravedad CVSS v4.0: MEDIA

Última modificación:

23/10/2025

CVE-2025-9666

Fecha de publicación:

29/08/2025

Idioma:

Inglés

*** Pendiente de traducción *** A security vulnerability has been detected in code-projects Simple Grading System 1.0. Affected by this issue is some unknown functionality of the file /delete_student.php of the component Admin Panel. Such manipulation of the argument ID leads to sql injection. The attack can be launched remotely. The exploit has been disclosed publicly and may be used.

Gravedad CVSS v4.0: MEDIA

Última modificación:

23/10/2025

CVE-2025-9377

Fecha de publicación:

29/08/2025

Idioma:

Inglés

*** Pendiente de traducción *** The authenticated remote command execution (RCE) vulnerability exists in the Parental Control page on TP-Link Archer C7(EU) V2 and TL-WR841N/ND(MS) V9. This issue affects Archer C7(EU) V2: before 241108 and TL-WR841N/ND(MS) V9: before 241108. Both products have reached the status of EOL (end-of-life). It&#39;s recommending to purchase the new product to ensure better performance and security. If replacement is not an option in the short term, please use the second reference link to download and install the patch(es).

Gravedad CVSS v4.0: ALTA

Última modificación:

03/11/2025

CVE-2025-52861

Fecha de publicación:

29/08/2025

Idioma:

Inglés

*** Pendiente de traducción *** A path traversal vulnerability has been reported to affect VioStor. If a remote attacker gains an administrator account, they can then exploit the vulnerability to read the contents of unexpected files or system data. We have already fixed the vulnerability in the following version: VioStor 5.1.6 build 20250621 and later

Gravedad CVSS v4.0: ALTA

Última modificación:

02/09/2025

CVE-2025-58158

Fecha de publicación:

29/08/2025

Idioma:

Inglés

*** Pendiente de traducción *** Harness Open Source is an end-to-end developer platform with Source Control Management, CI/CD Pipelines, Hosted Developer Environments, and Artifact Registries. Prior to version 3.3.0, Open Source Harness git LFS server (Gitness) exposes api to retrieve and upload files via git LFS. Implementation of upload git LFS file api is vulnerable to arbitrary file write. Due to improper sanitization for upload path, a malicious authenticated user who has access to Harness Gitness server api can use a crafted upload request to write arbitrary file to any location on file system, may even compromise the server. Users using git LFS are vulnerable. This issue has been patched in version 3.3.0.

Gravedad CVSS v3.1: ALTA

Última modificación:

02/09/2025

CVE-2025-44033

Fecha de publicación:

29/08/2025

Idioma:

Inglés

*** Pendiente de traducción *** SQL injection vulnerability in oa_system oasys v.1.1 allows a remote attacker to execute arbitrary code via the allDirector() method declaration in src/main/java/cn/gson/oasys/mappers/AddressMapper.java

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

19/11/2025

CVE-2025-44015

Fecha de publicación:

29/08/2025

Idioma:

Inglés

*** Pendiente de traducción *** A command injection vulnerability has been reported to affect HybridDesk Station. If an attacker gains local network access, they can then exploit the vulnerability to execute arbitrary commands. We have already fixed the vulnerability in the following version: HybridDesk Station 4.2.18 and later

Gravedad CVSS v4.0: BAJA

Última modificación:

08/12/2025

CVE-2025-52856

Fecha de publicación:

29/08/2025

Idioma:

Inglés

*** Pendiente de traducción *** An improper authentication vulnerability has been reported to affect VioStor. If a remote attacker, they can then exploit the vulnerability to compromise the security of the system. We have already fixed the vulnerability in the following version: VioStor 5.1.6 build 20250621 and later

Gravedad CVSS v4.0: CRÍTICA

Última modificación:

10/12/2025

Suscribirse a Vulnerabilidades