Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

017 - Ir a la línea de ayuda en Ciberseguridad    Ir a Agenda     Ir a Sala de prensa     Ir a suscripción de boletines

Ir al buscador

Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las últimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las últimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las últimas vulnerabilidades incorporadas al repositorio.

CVE-2025-12024
Fecha de publicación:
21/10/2025
Idioma:
Inglés
*** Pendiente de traducción *** Rejected reason: ** REJECT ** DO NOT USE THIS CANDIDATE NUMBER. Reason: This candidate was issued in error. Notes: All references and descriptions in this candidate have been removed to prevent accidental usage.
Gravedad: Pendiente de análisis
Última modificación:
21/10/2025

CVE-2025-22166
Fecha de publicación:
21/10/2025
Idioma:
Inglés
*** Pendiente de traducción *** This High severity DoS (Denial of Service) vulnerability was introduced in version 2.0 of Confluence Data Center.<br /> <br /> This DoS (Denial of Service) vulnerability, with a CVSS Score of 8.3, allows an attacker to cause a resource to be unavailable for its intended users by temporarily or indefinitely disrupting services of a host connected to a network.<br /> <br /> Atlassian recommends that Confluence Data Center customers upgrade to latest version, if you are unable to do so, upgrade your instance to one of the specified supported fixed versions:<br /> Confluence Data Center and Server 8.5: Upgrade to a release greater than or equal to 8.5.25<br /> Confluence Data Center and Server 9.2: Upgrade to a release greater than or equal to 9.2.7<br /> Confluence Data Center and Server 10.0: Upgrade to a release greater than or equal to 10.0.2<br /> <br /> See the release notes ([https://confluence.atlassian.com/doc/confluence-release-notes-327.html]). You can download the latest version of Confluence Data Center from the download center ([https://www.atlassian.com/software/confluence/download-archives]).<br /> <br /> This vulnerability was reported via our Atlassian (Internal) program.
Gravedad CVSS v4.0: ALTA
Última modificación:
05/12/2025

CVE-2025-59438
Fecha de publicación:
21/10/2025
Idioma:
Inglés
*** Pendiente de traducción *** Mbed TLS through 3.6.4 has an Observable Timing Discrepancy.
Gravedad CVSS v3.1: MEDIA
Última modificación:
23/10/2025

CVE-2025-60344
Fecha de publicación:
21/10/2025
Idioma:
Inglés
*** Pendiente de traducción *** A path traversal (directory traversal) vulnerability in D-Link DSR series routers allows unauthenticated remote attackers to manipulate input parameters used for file or directory path resolution (e.g., via sequences such as “../”). Successful exploitation may allow access to files outside of the intended directory, potentially exposing sensitive system or configuration files. The issue results from insufficient validation or sanitization of user-supplied input. Affected Products include: DSR-150, DSR-150N, and DSR-250N v1.09B32_WW.
Gravedad CVSS v3.1: ALTA
Última modificación:
15/04/2026

CVE-2025-60932
Fecha de publicación:
21/10/2025
Idioma:
Inglés
*** Pendiente de traducción *** Multiple stored cross-site scripting (XSS) vulnerabilities in the Current Goals function of HR Performance Solutions Performance Pro v3.19.17 allows attackers to execute arbitrary web scripts or HTML via a crafted payload injected into the Goal Name, Goal Notes, Action Step Name, Action Step Description, Note Name, and Goal Description parameters. The patched version is PP-Release-6.3.2.0.
Gravedad CVSS v3.1: MEDIA
Última modificación:
15/04/2026

CVE-2025-60933
Fecha de publicación:
21/10/2025
Idioma:
Inglés
*** Pendiente de traducción *** Multiple stored cross-site scripting (XSS) vulnerabilities in the Future Goals function of HR Performance Solutions Performance Pro v3.19.17 allows attackers to execute arbitrary web scripts or HTML via a crafted payload injected into the Goal Name, Goal Notes, Action Step Name, Action Step Description, Note Name, and Goal Description parameters. The patched version is PP-Release-6.3.2.0.
Gravedad CVSS v3.1: MEDIA
Última modificación:
15/04/2026

CVE-2025-60934
Fecha de publicación:
21/10/2025
Idioma:
Inglés
*** Pendiente de traducción *** Multiple stored cross-site scripting (XSS) vulnerabilities in the index.php component of HR Performance Solutions Performance Pro v3.19.17 allows attackers to execute arbitrary web scripts or HTML via a crafted payload injected into the Employee Notes, title, or description parameters. The patched version is PP-Release-6.3.2.0.
Gravedad CVSS v3.1: MEDIA
Última modificación:
15/04/2026

CVE-2025-56450
Fecha de publicación:
21/10/2025
Idioma:
Inglés
*** Pendiente de traducción *** Log2Space Subscriber Management Software 1.1 is vulnerable to unauthenticated SQL injection via the `lead_id` parameter in the `/l2s/api/selfcareLeadHistory` endpoint. A remote attacker can exploit this by sending a specially crafted POST request, resulting in the execution of arbitrary SQL queries. The backend fails to sanitize the user input, allowing enumeration of database schemas, table names, and potentially leading to full database compromise.
Gravedad CVSS v3.1: MEDIA
Última modificación:
15/04/2026

CVE-2025-57521
Fecha de publicación:
21/10/2025
Idioma:
Inglés
*** Pendiente de traducción *** Bambu Studio 2.1.1.52 and earlier is affected by a vulnerability that allows arbitrary code execution during application startup. The application loads a network plugin without validating its digital signature or verifying its authenticity. A local attacker can exploit this behavior by placing a malicious component in the expected location, which is controllable by the attacker (e.g., under %APPDATA%), resulting in code execution within the context of the user. The main application is digitally signed, which may allow a malicious component to inherit trust and evade detection by security solutions that rely on signed parent processes.
Gravedad CVSS v3.1: MEDIA
Última modificación:
15/04/2026

CVE-2022-4981
Fecha de publicación:
21/10/2025
Idioma:
Inglés
*** Pendiente de traducción *** A vulnerability was detected in DCMTK up to 3.6.7. The impacted element is the function DcmQueryRetrieveConfig::readPeerList of the file /dcmqrcnf.cc of the component dcmqrscp. The manipulation results in null pointer dereference. The attack needs to be approached locally. The exploit is now public and may be used. Upgrading to version 3.6.8 is sufficient to resolve this issue. The patch is identified as 957fb31e5. Upgrading the affected component is advised.
Gravedad CVSS v4.0: BAJA
Última modificación:
29/04/2026

CVE-2020-36855
Fecha de publicación:
21/10/2025
Idioma:
Inglés
*** Pendiente de traducción *** A security vulnerability has been detected in DCMTK up to 3.6.5. The affected element is the function parseQuota of the component dcmqrscp. The manipulation of the argument StorageQuota leads to stack-based buffer overflow. Local access is required to approach this attack. The exploit has been disclosed publicly and may be used. Upgrading to version 3.6.6 is sufficient to fix this issue. The identifier of the patch is 0fef9f02e. It is recommended to upgrade the affected component.
Gravedad CVSS v4.0: BAJA
Última modificación:
29/04/2026

CVE-2025-9339
Fecha de publicación:
21/10/2025
Idioma:
Inglés
*** Pendiente de traducción *** SQL injection vulnerability in the fields of warehouse document filtering form in SIMPLE.ERP software allows logged-in user a malicious query injection. Potential exploitation is limited by the 20-character limit in form fields. Identified use case allows to delete tables with a name of maximum 6 characters. We weren&amp;#39;t able to identify a way to exfiltrate data within query character limit.<br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> This issue affects SIMPLE.ERP in versions before 6.30@a04.3.
Gravedad CVSS v4.0: ALTA
Última modificación:
15/04/2026
Suscribirse a Vulnerabilidades