Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las últimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las últimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las últimas vulnerabilidades incorporadas al repositorio.

CVE-2025-13993

Fecha de publicación:

12/12/2025

Idioma:

Inglés

*** Pendiente de traducción *** The MailerLite – Signup forms (official) plugin for WordPress is vulnerable to Stored Cross-Site Scripting via the &#39;form_description&#39; and &#39;success_message&#39; parameters in versions up to, and including, 1.7.16 due to insufficient input sanitization and output escaping. This makes it possible for authenticated attackers, with administrator access or higher, to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page.

Gravedad CVSS v3.1: MEDIA

Última modificación:

15/04/2026

CVE-2025-14074

Fecha de publicación:

12/12/2025

Idioma:

Inglés

*** Pendiente de traducción *** The PDF for Contact Form 7 + Drag and Drop Template Builder plugin for WordPress is vulnerable to unauthorized post duplication due to a missing capability check on the &#39;rednumber_duplicate&#39; function in all versions up to, and including, 6.3.3. This makes it possible for authenticated attackers, with Subscriber-level access and above, to duplicate arbitrary posts, including password protected or private ones.

Gravedad CVSS v3.1: MEDIA

Última modificación:

15/04/2026

CVE-2025-23408

Fecha de publicación:

12/12/2025

Idioma:

Inglés

*** Pendiente de traducción *** Weak Password Requirements vulnerability in Apache Fineract.<br /> <br /> This issue affects Apache Fineract: through 1.10.1. The issue is fixed in version 1.11.0.<br /> <br /> Users are encouraged to upgrade to version 1.13.0, the latest release.

Gravedad CVSS v4.0: ALTA

Última modificación:

18/12/2025

CVE-2025-12960

Fecha de publicación:

12/12/2025

Idioma:

Inglés

*** Pendiente de traducción *** The Simple CSV Table plugin for WordPress is vulnerable to Directory Traversal in all versions up to, and including, 1.0.1 via the `href` parameter in the `[csv]` shortcode. This is due to insufficient path validation before concatenating user-supplied input to a base directory path. This makes it possible for authenticated attackers, with Contributor-level access and above, to read the contents of arbitrary files on the server, which can contain sensitive information such as database credentials and authentication keys.

Gravedad CVSS v3.1: MEDIA

Última modificación:

15/04/2026

CVE-2025-40829

Fecha de publicación:

12/12/2025

Idioma:

Inglés

*** Pendiente de traducción *** A vulnerability has been identified in Simcenter Femap (All versions

Gravedad CVSS v4.0: ALTA

Última modificación:

15/12/2025

CVE-2025-4970

Fecha de publicación:

12/12/2025

Idioma:

Inglés

*** Pendiente de traducción *** The BSK PDF Manager plugin for WordPress is vulnerable to Stored Cross-Site Scripting via SVG File uploads in all versions up to, and including, 3.7.1 due to insufficient input sanitization and output escaping. This makes it possible for authenticated attackers, with Administrator-level access and above, to inject arbitrary web scripts in pages that will execute whenever a user accesses the SVG file. This only affects multi-site installations and installations where unfiltered_html has been disabled.

Gravedad CVSS v3.1: MEDIA

Última modificación:

15/04/2026

CVE-2025-67730

Fecha de publicación:

12/12/2025

Idioma:

Inglés

*** Pendiente de traducción *** Frappe Learning Management System (LMS) is a learning system that helps users structure their content. Versions prior to 2.42.0 allow authenticated users to add malicious HTML and JavaScript through description fields in the Job, Course and Batch forms. This issue is fixed in version 2.42.0.

Gravedad CVSS v4.0: MEDIA

Última modificación:

15/12/2025

CVE-2025-67731

Fecha de publicación:

12/12/2025

Idioma:

Inglés

*** Pendiente de traducción *** Servify Express is a Node.js package to start an Express server and log the port it&#39;s running on. Prior to 1.2, the Express server used express.json() without a size limit, which could allow attackers to send extremely large request bodies. This can cause excessive memory usage, degraded performance, or process crashes, resulting in a Denial of Service (DoS). Any application using the JSON parser without limits and exposed to untrusted clients is affected. The issue is not a flaw in Express itself, but in configuration. This issue is fixed in version 1.2. To work around, consider adding a limit option to the JSON parser, rate limiting at the application or reverse-proxy level, rejecting unusually large requests before parsing, or using a reverse proxy (such as NGINX) to enforce maximum request body sizes.

Gravedad CVSS v4.0: ALTA

Última modificación:

17/03/2026

CVE-2025-10583

Fecha de publicación:

12/12/2025

Idioma:

Inglés

*** Pendiente de traducción *** The WP Fastest Cache Premium plugin for WordPress is vulnerable to Server-Side Request Forgery in all versions up to, and including, 1.7.4 via the &#39;get_server_time_ajax_request&#39; AJAX action. This makes it possible for authenticated attackers, with Subscriber-level access and above, to make web requests to arbitrary locations originating from the web application and can be used to query and modify information from internal services. The free version is not affected.

Gravedad CVSS v3.1: BAJA

Última modificación:

15/04/2026

CVE-2025-11876

Fecha de publicación:

12/12/2025

Idioma:

Inglés

*** Pendiente de traducción *** The Mailgun Subscriptions plugin for WordPress is vulnerable to Stored Cross-Site Scripting via the plugin&#39;s &#39;mailgun_subscription_form&#39; shortcode in all versions up to, and including, 1.3.1 due to insufficient input sanitization and output escaping on user supplied attributes. This makes it possible for authenticated attackers, with contributor-level access and above, to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page.

Gravedad CVSS v3.1: MEDIA

Última modificación:

15/04/2026

CVE-2025-13891

Fecha de publicación:

12/12/2025

Idioma:

Inglés

*** Pendiente de traducción *** The Image Gallery – Photo Grid & Video Gallery plugin for WordPress is vulnerable to Path Traversal in all versions up to, and including, 2.13.3. This is due to the modula_list_folders AJAX endpoint that lacks proper path validation and base directory restrictions. While the endpoint verifies user capabilities (Author+ with upload_files and edit_posts permissions), it fails to validate that user-supplied directory paths reside within safe directories. This makes it possible for authenticated attackers, with Author-level access and above, to enumerate arbitrary directories on the server via the modula_list_folders endpoint.

Gravedad CVSS v3.1: MEDIA

Última modificación:

15/04/2026

CVE-2025-14049

Fecha de publicación:

12/12/2025

Idioma:

Inglés

*** Pendiente de traducción *** The VikRentItems Flexible Rental Management System plugin for WordPress is vulnerable to Reflected Cross-Site Scripting via the &#39;delto&#39; parameter in all versions up to, and including, 1.2.0 due to insufficient input sanitization and output escaping. This makes it possible for unauthenticated attackers to inject arbitrary web scripts in pages that execute if they can successfully trick a user into performing an action such as clicking on a link.

Gravedad CVSS v3.1: MEDIA

Última modificación:

15/04/2026

Suscribirse a Vulnerabilidades