Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

017 - Ir a la línea de ayuda en Ciberseguridad    Ir a Agenda     Ir a Sala de prensa     Ir a suscripción de boletines

Ir al buscador

Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las ultimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las ultimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las ultimas vulnerabilidades incorporadas al repositorio.

CVE-2025-60279
Fecha de publicación:
17/10/2025
Idioma:
Inglés
*** Pendiente de traducción *** A server-side request forgery (SSRF) vulnerability in Illia Cloud illia-Builder before v4.8.5 allows authenticated users to send arbitrary requests to internal services via the API. An attacker can leverage this to enumerate open ports based on response discrepancies and interact with internal services.
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
15/04/2026

CVE-2025-11905
Fecha de publicación:
17/10/2025
Idioma:
Inglés
*** Pendiente de traducción *** A vulnerability was found in yanyutao0402 ChanCMS up to 3.3.2. This vulnerability affects the function getArticle of the file app\modules\cms\controller\gather.js. The manipulation results in code injection. The attack may be launched remotely. The exploit has been made public and could be used. The vendor was contacted early about this disclosure but did not respond in any way.
Gravedad CVSS v4.0: MEDIA
Última modificación:
24/10/2025

CVE-2025-26625
Fecha de publicación:
17/10/2025
Idioma:
Inglés
*** Pendiente de traducción *** Git LFS is a Git extension for versioning large files. In Git LFS versions 0.5.2 through 3.7.0, when populating a Git repository's working tree with the contents of Git LFS objects, certain Git LFS commands may write to files visible outside the current Git working tree if symbolic or hard links exist which collide with the paths of files tracked by Git LFS. The git lfs checkout and git lfs pull commands do not check for symbolic links before writing to files in the working tree, allowing an attacker to craft a repository containing symbolic or hard links that cause Git LFS to write to arbitrary file system locations accessible to the user running these commands. As well, when the git lfs checkout and git lfs pull commands are run in a bare repository, they could write to files visible outside the repository. The vulnerability is fixed in version 3.7.1. As a workaround, support for symlinks in Git may be disabled by setting the core.symlinks configuration option to false, after which further clones and fetches will not create symbolic links. However, any symbolic or hard links in existing repositories will still provide the opportunity for Git LFS to write to their targets.
Gravedad CVSS v4.0: ALTA
Última modificación:
15/04/2026

CVE-2025-49655
Fecha de publicación:
17/10/2025
Idioma:
Inglés
*** Pendiente de traducción *** Deserialization of untrusted data can occur in versions of the Keras framework running versions 3.11.0 up to but not including 3.11.3, enabling a maliciously uploaded Keras file containing a TorchModuleWrapper class to run arbitrary code on an end user’s system when loaded despite safe mode being enabled. The vulnerability can be triggered through both local and remote files.
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
15/04/2026

CVE-2025-60361
Fecha de publicación:
17/10/2025
Idioma:
Inglés
*** Pendiente de traducción *** radare2 v5.9.8 and before contains a memory leak in the function bochs_open.
Gravedad CVSS v3.1: BAJA
Última modificación:
23/10/2025

CVE-2025-55085
Fecha de publicación:
17/10/2025
Idioma:
Inglés
*** Pendiente de traducción *** In NextX Duo before 6.4.4, in the HTTP client module, the network support code for Eclipse Foundation ThreadX, the parsing of HTTP header fields was missing bounds verification. A crafted server response could cause undefined behavior.
Gravedad CVSS v4.0: ALTA
Última modificación:
27/10/2025

CVE-2025-11904
Fecha de publicación:
17/10/2025
Idioma:
Inglés
*** Pendiente de traducción *** A vulnerability has been found in yanyutao0402 ChanCMS up to 3.3.2. This affects the function hasUse of the file /cms/model/hasUse. The manipulation of the argument ID leads to sql injection. The attack may be initiated remotely. The exploit has been disclosed to the public and may be used. The vendor was contacted early about this disclosure but did not respond in any way.
Gravedad CVSS v4.0: MEDIA
Última modificación:
24/10/2025

CVE-2025-48087
Fecha de publicación:
17/10/2025
Idioma:
Inglés
*** Pendiente de traducción *** Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') vulnerability in Jason C. Memberlite Shortcodes memberlite-shortcodes allows Stored XSS.This issue affects Memberlite Shortcodes: from n/a through 1.4.1.
Gravedad CVSS v3.1: MEDIA
Última modificación:
15/04/2026

CVE-2025-60360
Fecha de publicación:
17/10/2025
Idioma:
Inglés
*** Pendiente de traducción *** radare2 v5.9.8 and before contains a memory leak in the function r2r_subprocess_init.
Gravedad CVSS v3.1: MEDIA
Última modificación:
23/10/2025

CVE-2025-60359
Fecha de publicación:
17/10/2025
Idioma:
Inglés
*** Pendiente de traducción *** radare2 v5.9.8 and before contains a memory leak in the function r_bin_object_new.
Gravedad CVSS v3.1: MEDIA
Última modificación:
23/10/2025

CVE-2025-11903
Fecha de publicación:
17/10/2025
Idioma:
Inglés
*** Pendiente de traducción *** A flaw has been found in yanyutao0402 ChanCMS up to 3.3.2. Affected by this issue is the function update of the file /cms/article/update. Executing a manipulation of the argument cid can lead to sql injection. The attack can be launched remotely. The exploit has been published and may be used. The vendor was contacted early about this disclosure but did not respond in any way.
Gravedad CVSS v4.0: MEDIA
Última modificación:
24/02/2026

CVE-2025-48044
Fecha de publicación:
17/10/2025
Idioma:
Inglés
*** Pendiente de traducción *** Incorrect Authorization vulnerability in ash-project ash allows Authentication Bypass. This vulnerability is associated with program files lib/ash/policy/policy.ex and program routines &amp;#39;Elixir.Ash.Policy.Policy&amp;#39;:expression/2.<br /> <br /> This issue affects ash: from pkg:hex/ash@3.6.3 before pkg:hex/ash@3.7.1, from 3.6.3 before 3.7.1, from 79749c2685ea031ebb2de8cf60cc5edced6a8dd0 before 8b83efa225f657bfc3656ad8ee8485f9b2de923d.
Gravedad CVSS v4.0: ALTA
Última modificación:
15/04/2026
Suscribirse a Vulnerabilidades