Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las ultimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las ultimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las ultimas vulnerabilidades incorporadas al repositorio.

CVE-2024-13986

Fecha de publicación:
28/08/2025
Idioma:
Inglés
*** Pendiente de traducción *** Nagios XI
Gravedad CVSS v4.0: ALTA
Última modificación:
04/11/2025

CVE-2025-8067

Fecha de publicación:
28/08/2025
Idioma:
Inglés
*** Pendiente de traducción *** A flaw was found in the Udisks daemon, where it allows unprivileged users to create loop devices using the D-BUS system. This is achieved via the loop device handler, which handles requests sent through the D-BUS interface. As two of the parameters of this handle, it receives the file descriptor list and index specifying the file where the loop device should be backed. The function itself validates the index value to ensure it isn't bigger than the maximum value allowed. However, it fails to validate the lower bound, allowing the index parameter to be a negative value. Under these circumstances, an attacker can cause the UDisks daemon to crash or perform a local privilege escalation by gaining access to files owned by privileged users.
Gravedad CVSS v3.1: ALTA
Última modificación:
04/11/2025

CVE-2025-56236

Fecha de publicación:
28/08/2025
Idioma:
Inglés
*** Pendiente de traducción *** FormCms v0.5.5 contains a stored cross-site scripting (XSS) vulnerability in the avatar upload feature. Authenticated users can upload .html files containing malicious JavaScript, which are accessible via a public URL. When a privileged user accesses the file, the script executes in their browser context.
Gravedad CVSS v3.1: MEDIA
Última modificación:
09/09/2025

Vulnerabilidad en Asterisk (CVE-2025-54995)

Fecha de publicación:
28/08/2025
Idioma:
Español
Asterisk es una centralita privada y un kit de herramientas de telefonía de código abierto. Antes de las versiones 18.26.4 y 18.9-cert17, los puertos UDP RTP y los recursos internos pueden filtrarse debido a una falta de finalización de la sesión. Esto podría resultar en fugas y agotamiento de recursos. Este problema ha sido parcheado en las versiones 18.26.4 y 18.9-cert17.
Gravedad CVSS v3.1: MEDIA
Última modificación:
03/11/2025

Vulnerabilidad en D-Link DIR-868L B1 (CVE-2025-55583)

Fecha de publicación:
28/08/2025
Idioma:
Español
La versión FW2.05WWB02 del firmware del router D-Link DIR-868L B1 contiene una vulnerabilidad de inyección de comandos del sistema operativo no autenticada en el componente fileaccess.cgi. El endpoint /dws/API/UploadFile acepta un parámetro pre_api_arg que se pasa directamente a funciones de ejecución de shell a nivel de sistema sin sanitización ni autenticación. Atacantes remotos pueden explotar esto para ejecutar comandos arbitrarios como root a través de solicitudes HTTP manipuladas.
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
09/09/2025

CVE-2025-52054

Fecha de publicación:
28/08/2025
Idioma:
Inglés
*** Pendiente de traducción *** An issue was discovered in Tenda AC8 v4.0 AC1200 Dual-band Gigabit Wireless Router AC8v4.0 Firmware 16.03.33.05. The root password of the device is calculated with a static string and the last two octets of the MAC address of the device. This allows an unauthenticated attacker to authenticate with network services on the device.
Gravedad CVSS v3.1: MEDIA
Última modificación:
09/09/2025

CVE-2024-48908

Fecha de publicación:
28/08/2025
Idioma:
Inglés
*** Pendiente de traducción *** lychee link checking action checks links in Markdown, HTML, and text files using lychee. Prior to version 2.0.2, there is a potential attack of arbitrary code injection vulnerability in lychee-setup of the composite action at action.yml. This issue has been patched in version 2.0.2.
Gravedad CVSS v4.0: MEDIA
Última modificación:
29/08/2025

CVE-2025-9578

Fecha de publicación:
28/08/2025
Idioma:
Inglés
*** Pendiente de traducción *** Local privilege escalation due to insecure folder permissions. The following products are affected: Acronis Cyber Protect Cloud Agent (Windows) before build 40734.
Gravedad CVSS v3.1: ALTA
Última modificación:
29/08/2025

CVE-2025-51972

Fecha de publicación:
28/08/2025
Idioma:
Inglés
*** Pendiente de traducción *** A SQL Injection vulnerability exists in the login.php of PuneethReddyHC Online Shopping System Advanced 1.0 due to improper sanitization of user-supplied input in the keyword POST parameter.
Gravedad CVSS v3.1: MEDIA
Última modificación:
09/09/2025

CVE-2025-51971

Fecha de publicación:
28/08/2025
Idioma:
Inglés
*** Pendiente de traducción *** A reflected Cross-Site Scripting (XSS) vulnerability exists in register.php of PuneethReddyHC Online Shopping System Advanced 1.0. Unsanitized user input in the f_name parameter is reflected in the server response without proper HTML encoding or output escaping. This allows remote attackers to inject arbitrary JavaScript code.
Gravedad CVSS v3.1: MEDIA
Última modificación:
09/09/2025

CVE-2025-51969

Fecha de publicación:
28/08/2025
Idioma:
Inglés
*** Pendiente de traducción *** A SQL Injection vulnerability exists in the product.php page of PuneethReddyHC Online Shopping System Advanced 1.0. This flaw is present in the product_id GET parameter, which is not properly validated before being included in a SQL statement.
Gravedad CVSS v3.1: MEDIA
Última modificación:
09/09/2025

CVE-2025-51967

Fecha de publicación:
28/08/2025
Idioma:
Inglés
*** Pendiente de traducción *** A Reflected Cross-site Scripting (XSS) vulnerability exists in the themeSet.php file of ProjectsAndPrograms School Management System 1.0. The application fails to sanitize user-supplied input in the theme POST parameter, allowing an attacker to inject and execute arbitrary JavaScript in a victim's browser.
Gravedad CVSS v3.1: MEDIA
Última modificación:
09/09/2025