Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las ultimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las ultimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las ultimas vulnerabilidades incorporadas al repositorio.

Vulnerabilidad en MiniWeb HTTP Server (CVE-2013-10047)

Fecha de publicación:

01/08/2025

Idioma:

Español

Existe una vulnerabilidad de carga de archivos sin restricciones en MiniWeb HTTP Server &lt;= Build 300 que permite a atacantes remotos no autenticados cargar archivos arbitrarios al sistema de archivos del servidor. Al abusar del controlador de carga y manipular una ruta de acceso, un atacante puede colocar un archivo .exe malicioso en system32, seguido de un archivo .mof en el directorio WMI. Esto desencadena la ejecución de un payload con privilegios SYSTEM a través del servicio Instrumental de administración de Windows. El exploit solo es viable en versiones de Windows anteriores a Vista.

Gravedad CVSS v4.0: CRÍTICA

Última modificación:

06/08/2025

Vulnerabilidad en D-Link (CVE-2013-10048)

Fecha de publicación:

01/08/2025

Idioma:

Español

Existe una vulnerabilidad de inyección de comandos del sistema operativo en varios routers D-Link antiguos, incluyendo el DIR-300 rev B y el DIR-600 (firmware ? 2.13 y ? 2.14b01, respectivamente), debido a un manejo incorrecto de la entrada en el endpoint command.php no autenticado. Mediante el envío de solicitudes POST especialmente manipuladas, un atacante remoto puede ejecutar comandos de shell arbitrarios con privilegios de root, lo que permite el control total del dispositivo. Esto incluye el lanzamiento de servicios como Telnet, la exfiltración de credenciales, la modificación de la configuración del sistema y la interrupción de la disponibilidad. La falla se debe a la falta de autenticación y a la depuración inadecuada del parámetro cmd.

Gravedad CVSS v4.0: CRÍTICA

Última modificación:

23/09/2025

Vulnerabilidad en Raidsonic NAS (CVE-2013-10049)

Fecha de publicación:

01/08/2025

Idioma:

Español

Existe una vulnerabilidad de inyección de comandos del sistema operativo en varios dispositivos Raidsonic NAS (específicamente probados en los IB-NAS5220 e IB-NAS4220) a través del endpoint timeHandler.cgi no autenticado, expuesto a través de la interfaz web. El script CGI no depura correctamente la entrada proporcionada por el usuario en el parámetro timeZone de una solicitud POST, lo que permite a atacantes remotos inyectar comandos de shell arbitrarios.

Gravedad CVSS v4.0: CRÍTICA

Última modificación:

06/08/2025

Vulnerabilidad en D-Link (CVE-2013-10050)

Fecha de publicación:

01/08/2025

Idioma:

Español

Existe una vulnerabilidad de inyección de comandos del sistema operativo en varios routers D-Link (confirmada en DIR-300 rev A (v1.05) y DIR-615 rev D (v4.13)) a través del endpoint CGI tools_vct.xgi autenticado. La interfaz web no depura correctamente la entrada del usuario en el parámetro pingIp, lo que permite a atacantes con credenciales válidas inyectar comandos de shell arbitrarios. Su explotación permite la vulneración completa del dispositivo, incluyendo la generación de un daemon Telnet y el establecimiento de un shell raíz. La vulnerabilidad está presente en versiones de firmware que exponen tools_vct.xgi y utilizan el servidor web Mathopd/1.5p6. No hay parches disponibles del fabricante, y los modelos afectados se encuentran en desuso.

Gravedad CVSS v4.0: ALTA

Última modificación:

23/09/2025

Vulnerabilidad en OpenEMR (CVE-2013-10044)

Fecha de publicación:

01/08/2025

Idioma:

Español

Existe una vulnerabilidad de inyección SQL autenticada en OpenEMR ? 4.1.1 Parche 14 que permite a un atacante con pocos privilegios extraer credenciales de administrador y, posteriormente, escalar los privilegios. Una vez elevados, el atacante puede explotar una falla de carga de archivos sin restricciones para ejecutar código remoto, lo que compromete por completo la aplicación y su sistema host.

Gravedad CVSS v4.0: ALTA

Última modificación:

26/11/2025

Vulnerabilidad en Kloxo (CVE-2012-10022)

Fecha de publicación:

01/08/2025

Idioma:

Español

Las versiones 6.1.12 y anteriores de Kloxo contienen dos binarios setuid root (lxsuexec y lxrestart) que permiten la escalada de privilegios locales desde el uid 48. El binario lxsuexec realiza una comprobación del uid y permite la ejecución de comandos arbitrarios como root si el usuario que invoca coincide con el uid 48. Esta falla permite a los atacantes con acceso a nivel Apache escalar privilegios a root sin autenticación.

Gravedad CVSS v4.0: ALTA

Última modificación:

06/08/2025

Vulnerabilidad en Alpine iLX-507 (CVE-2025-8476)

Fecha de publicación:

01/08/2025

Idioma:

Español

Vulnerabilidad de validación incorrecta de certificados TIDAL en Alpine iLX-507. Esta vulnerabilidad permite a atacantes adyacentes a la red ejecutar código arbitrario en las instalaciones afectadas de los dispositivos Alpine iLX-507. No se requiere autenticación para explotar esta vulnerabilidad. La falla específica existe en la aplicación de streaming de música TIDAL. El problema se debe a una validación incorrecta de certificados. Un atacante puede aprovechar esto, junto con otras vulnerabilidades, para ejecutar código arbitrario en el contexto de root. Era ZDI-CAN-26322.

Gravedad CVSS v3.1: ALTA

Última modificación:

12/08/2025

Vulnerabilidad en Alpine iLX-507 (CVE-2025-8477)

Fecha de publicación:

01/08/2025

Idioma:

Español

Vulnerabilidad de ejecución remota de código por desbordamiento de búfer basado en pila de análisis de vCard en Alpine iLX-507. Esta vulnerabilidad permite a atacantes adyacentes a la red ejecutar código arbitrario en los dispositivos Alpine iLX-507 afectados. Para explotar esta vulnerabilidad, se requiere la interacción del usuario, ya que el objetivo debe conectarse a un dispositivo Bluetooth malicioso. La falla específica se encuentra en el análisis de datos de vCard. El problema se debe a la falta de una validación adecuada de los datos proporcionados por el usuario antes de copiarlos a un búfer basado en pila de longitud fija. Un atacante puede aprovechar esta vulnerabilidad para ejecutar código en el contexto de root. Anteriormente, se denominó ZDI-CAN-26324.

Gravedad CVSS v3.1: ALTA

Última modificación:

12/08/2025

Vulnerabilidad en Alpine iLX-507 (CVE-2025-8480)

Fecha de publicación:

01/08/2025

Idioma:

Español

Ejecución remota de código mediante inyección de comandos en Alpine iLX-507. Esta vulnerabilidad permite a atacantes adyacentes a la red ejecutar código arbitrario en las instalaciones afectadas de los dispositivos Alpine iLX-507. No se requiere autenticación para explotar esta vulnerabilidad. La falla específica existe en la aplicación de streaming de música Tidal. El problema se debe a la falta de validación adecuada de una cadena proporcionada por el usuario antes de usarla para ejecutar una llamada al sistema. Un atacante puede aprovechar esta vulnerabilidad para ejecutar código en el contexto del dispositivo. Anteriormente, se denominó ZDI-CAN-26357.

Gravedad CVSS v3.1: ALTA

Última modificación:

12/08/2025

Vulnerabilidad en Vault y Vault Enterprise (CVE-2025-6015)

Fecha de publicación:

01/08/2025

Idioma:

Español

Se pudieron eludir los límites de tasa de MFA de inicio de sesión de Vault y Vault Enterprise (Vault), y reutilizar los tokens TOTP. Corregido en Vault Community Edition 1.20.1 y Vault Enterprise 1.20.1, 1.19.7, 1.18.12 y 1.16.23.

Gravedad CVSS v3.1: MEDIA

Última modificación:

13/08/2025

Vulnerabilidad en Vault y Vault Enterprise (CVE-2025-6037)

Fecha de publicación:

01/08/2025

Idioma:

Español

El método de autenticación de certificados TLS de Vault y Vault Enterprise («Vault») no validaba correctamente los certificados de cliente al configurarse con un certificado no perteneciente a una CA como [+certificado de confianza+|https://developer.hashicorp.com/vault/api-docs/auth/cert#certificate]. En esta configuración, un atacante podría manipular un certificado malicioso que podría usarse para suplantar la identidad de otro usuario. Corregido en Vault Community Edition 1.20.1 y Vault Enterprise 1.20.1, 1.19.7, 1.18.12 y 1.16.23.

Gravedad CVSS v3.1: MEDIA

Última modificación:

13/08/2025

Vulnerabilidad en Alpine iLX-507 (CVE-2025-8472)

Fecha de publicación:

01/08/2025

Idioma:

Español

Vulnerabilidad de ejecución remota de código por desbordamiento de búfer basado en pila al analizar vCard en Alpine iLX-507. Esta vulnerabilidad permite a atacantes adyacentes a la red ejecutar código arbitrario en las instalaciones afectadas de los dispositivos Alpine iLX-507. Para explotar esta vulnerabilidad, se requiere la interacción del usuario, ya que el objetivo debe conectarse a un dispositivo Bluetooth malicioso. La falla específica se encuentra en el análisis de datos vCard. El problema se debe a la falta de una validación adecuada de la longitud de los datos proporcionados por el usuario antes de copiarlos a un búfer basado en pila. Un atacante puede aprovechar esta vulnerabilidad para ejecutar código arbitrario en el contexto de root. Anteriormente, se denominó ZDI-CAN-26316.

Gravedad CVSS v3.1: ALTA

Última modificación:

12/08/2025

Suscribirse a Vulnerabilidades