Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las ultimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las ultimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las ultimas vulnerabilidades incorporadas al repositorio.

CVE-2025-69875

Fecha de publicación:

03/02/2026

Idioma:

Inglés

*** Pendiente de traducción *** A vulnerability exists in Quick Heal Total Security 23.0.0 in the quarantine management component where insufficient validation of restore paths and improper permission handling allow a low-privileged local user to restore quarantined files into protected system directories. This behavior can be abused by a local attacker to place files in high-privilege locations, potentially leading to privilege escalation.

Gravedad CVSS v3.1: ALTA

Última modificación:

11/02/2026

CVE-2025-69848

Fecha de publicación:

03/02/2026

Idioma:

Inglés

*** Pendiente de traducción *** NetBox is an open-source infrastructure resource modeling and IP address management platform. A reflected cross-site scripting (XSS) vulnerability exists in versions 2.11.0 through 3.7.x in the ProtectedError handling logic, where object names are included in HTML error messages without proper escaping. This allows user-controlled content to be rendered in the web interface when a delete operation fails due to protected relationships, potentially enabling execution of arbitrary client-side code in the context of a privileged user.

Gravedad CVSS v3.1: MEDIA

Última modificación:

11/02/2026

CVE-2025-69981

Fecha de publicación:

03/02/2026

Idioma:

Inglés

*** Pendiente de traducción *** FUXA v1.2.7 contains an Unrestricted File Upload vulnerability in the `/api/upload` API endpoint. The endpoint lacks authentication mechanisms, allowing unauthenticated remote attackers to upload arbitrary files. This can be exploited to overwrite critical system files (such as the SQLite user database) to gain administrative access, or to upload malicious scripts to execute arbitrary code.

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

11/02/2026

CVE-2025-69983

Fecha de publicación:

03/02/2026

Idioma:

Inglés

*** Pendiente de traducción *** FUXA v1.2.7 allows Remote Code Execution (RCE) via the project import functionality. The application does not properly sanitize or sandbox user-supplied scripts within imported project files. An attacker can upload a malicious project containing system commands, leading to full system compromise.

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

11/02/2026

CVE-2025-70559

Fecha de publicación:

03/02/2026

Idioma:

Inglés

*** Pendiente de traducción *** pdfminer.six before 20251230 contains an insecure deserialization vulnerability in the CMap loading mechanism. The library uses Python pickle to deserialize CMap cache files without validation. An attacker with the ability to place a malicious pickle file in a location accessible to the application can trigger arbitrary code execution or privilege escalation when the file is loaded by a trusted process. This is caused by an incomplete patch to CVE-2025-64512.

Gravedad CVSS v3.1: MEDIA

Última modificación:

11/02/2026

CVE-2025-70311

Fecha de publicación:

03/02/2026

Idioma:

Inglés

*** Pendiente de traducción *** JEEWMS 1.0 is vulnerable to SQL Injection. Attackers can inject malicious SQL statements through the id1 and id2 parameters in the /systemControl.do interface for attack.

Gravedad CVSS v3.1: MEDIA

Última modificación:

18/02/2026

CVE-2025-70560

Fecha de publicación:

03/02/2026

Idioma:

Inglés

*** Pendiente de traducción *** Boltz 2.0.0 contains an insecure deserialization vulnerability in its molecule loading functionality. The application uses Python pickle to deserialize molecule data files without validation. An attacker with the ability to place a malicious pickle file in a directory processed by boltz can achieve arbitrary code execution when the file is loaded.

Gravedad CVSS v3.1: ALTA

Última modificación:

19/02/2026

CVE-2025-69431

Fecha de publicación:

03/02/2026

Idioma:

Inglés

*** Pendiente de traducción *** The ZSPACE Q2C NAS contains a vulnerability related to incorrect symbolic link following. Attackers can format a USB drive to ext4, create a symbolic link to its root directory, insert the drive into the NAS device&#39;s slot, and then access the USB drive&#39;s directory mounted on the NAS using the Samba protocol. This allows them to obtain all files within the NAS system and tamper with those files.

Gravedad CVSS v3.1: MEDIA

Última modificación:

11/02/2026

CVE-2025-69430

Fecha de publicación:

03/02/2026

Idioma:

Inglés

*** Pendiente de traducción *** An Incorrect Symlink Follow vulnerability exists in multiple Yottamaster NAS devices, including DM2 (version equal to or prior to V1.9.12), DM3 (version equal to or prior to V1.9.12), and DM200 (version equal to or prior to V1.2.23) that could be exploited by attackers to leak or tamper with the internal file system. Attackers can format a USB drive to ext4, create a symbolic link to its root directory, insert the drive into the NAS device&#39;s slot, then access the USB drive&#39;s symlink directory mounted on the NAS to obtain all files within the NAS system and tamper with those files.

Gravedad CVSS v3.1: MEDIA

Última modificación:

11/02/2026

CVE-2025-69429

Fecha de publicación:

03/02/2026

Idioma:

Inglés

*** Pendiente de traducción *** The ORICO NAS CD3510 (version V1.9.12 and below) contains an Incorrect Symlink Follow vulnerability that could be exploited by attackers to leak or tamper with the internal file system. Attackers can format a USB drive to ext4, create a symbolic link to its root directory, insert the drive into the NAS device&#39;s slot, then access the USB drive&#39;s symlink directory mounted on the NAS to obtain all files within the NAS system and tamper with those files.

Gravedad CVSS v3.1: MEDIA

Última modificación:

11/02/2026

Vulnerabilidad en TOTOLINK A950RG (CVE-2025-67186)

Fecha de publicación:

03/02/2026

Idioma:

Español

TOTOLINK A950RG V4.1.2cu.5204_B20210112 contiene una vulnerabilidad de desbordamiento de búfer en la interfaz setUrlFilterRules de /lib/cste_modules/firewall.so. La vulnerabilidad ocurre porque el parámetro &#39;url&#39; no se valida correctamente en cuanto a su longitud, lo que permite a atacantes remotos desencadenar un desbordamiento de búfer, lo que podría conducir a la ejecución de código arbitrario o a una denegación de servicio.

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

10/02/2026

Vulnerabilidad en TOTOLINK A950RG (CVE-2025-67187)

Fecha de publicación:

03/02/2026

Idioma:

Español

Una vulnerabilidad de desbordamiento de búfer basado en pila fue identificada en TOTOLINK A950RG V4.1.2cu.5204_B20210112. La falla reside en la interfaz setIpQosRules de /lib/cste_modules/firewall.so donde el parámetro comment no se valida correctamente en cuanto a su longitud.

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

10/02/2026

Suscribirse a Vulnerabilidades