Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las ultimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las ultimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las ultimas vulnerabilidades incorporadas al repositorio.

CVE-2025-27368

Fecha de publicación:

12/11/2025

Idioma:

Inglés

*** Pendiente de traducción *** IBM OpenPages 9.0 and 9.1 is vulnerable to information disclosure of sensitive information due to a weaker than expected security for certain REST end points used by the user interface of OpenPages. An authenticated user is able to obtain certain information about system metadata for areas beyond what the user is intended to view.

Gravedad CVSS v3.1: MEDIA

Última modificación:

14/11/2025

CVE-2025-13059

Fecha de publicación:

12/11/2025

Idioma:

Inglés

*** Pendiente de traducción *** A weakness has been identified in SourceCodester Alumni Management System 1.0. The impacted element is an unknown function of the file /manage_career.php. This manipulation of the argument ID causes sql injection. Remote exploitation of the attack is possible. The exploit has been made available to the public and could be exploited.

Gravedad CVSS v4.0: MEDIA

Última modificación:

14/11/2025

CVE-2025-13060

Fecha de publicación:

12/11/2025

Idioma:

Inglés

*** Pendiente de traducción *** A security vulnerability has been detected in SourceCodester Survey Application System 1.0. This affects an unknown function of the file /view_survey.php. Such manipulation of the argument ID leads to sql injection. The attack can be executed remotely. The exploit has been disclosed publicly and may be used.

Gravedad CVSS v4.0: MEDIA

Última modificación:

14/11/2025

CVE-2025-13058

Fecha de publicación:

12/11/2025

Idioma:

Inglés

*** Pendiente de traducción *** A security flaw has been discovered in soerennb eXtplorer up to 2.1.15. The affected element is an unknown function of the component Filename Handler. The manipulation results in cross site scripting. The attack may be launched remotely. The patch is identified as 002def70b985f7012586df2c44368845bf405ab3. Applying a patch is advised to resolve this issue.

Gravedad CVSS v4.0: MEDIA

Última modificación:

14/11/2025

CVE-2025-12047

Fecha de publicación:

12/11/2025

Idioma:

Inglés

*** Pendiente de traducción *** A vulnerability was reported in the Lenovo Scanner pro application during an internal security assessment that, under certain circumstances, could allow an attacker on the same logical network to disclose sensitive user files from the application.

Gravedad CVSS v4.0: MEDIA

Última modificación:

14/11/2025

CVE-2025-12048

Fecha de publicación:

12/11/2025

Idioma:

Inglés

*** Pendiente de traducción *** An arbitrary file upload vulnerability was reported in the Lenovo Scanner Pro client during an internal security assessment that could allow remote code execution or unauthorized control of the affected system.

Gravedad CVSS v4.0: ALTA

Última modificación:

14/11/2025

CVE-2025-10495

Fecha de publicación:

12/11/2025

Idioma:

Inglés

*** Pendiente de traducción *** A potential vulnerability was reported in the Lenovo PC Manager, Lenovo App Store, Lenovo Browser, and Lenovo Legion Zone client applications that, under certain conditions, could allow an attacker on the same logical network to execute arbitrary code.

Gravedad CVSS v4.0: ALTA

Última modificación:

14/11/2025

CVE-2024-48829

Fecha de publicación:

12/11/2025

Idioma:

Inglés

*** Pendiente de traducción *** Dell SmartFabric OS10 Software, versions prior to 10.6.1.0, contain an Improper Control of Generation of Code (&#39;Code Injection&#39;) vulnerability. A high privileged attacker with local access could potentially exploit this vulnerability, leading to Code execution.

Gravedad CVSS v3.1: MEDIA

Última modificación:

14/11/2025

CVE-2025-64099

Fecha de publicación:

12/11/2025

Idioma:

Inglés

*** Pendiente de traducción *** Open Access Management (OpenAM) is an access management solution. In versions prior to 16.0.0, if the "claims_parameter_supported" parameter is activated, it is possible, thanks to the "oidc-claims-extension.groovy" script, to inject the value of one&#39;s choice into a claim contained in the id_token or in the user_info. In the request of an authorize function, a claims parameter containing a JSON file can be injected. This JSON file allows attackers to customize the claims returned by the "id_token" and "user_info" files. This allows for a very wide range of vulnerabilities depending on how clients use claims. For example, if some clients rely on an email field to identify a user, an attacker can choose the email address they want, and therefore assume any identity they choose. Version 16.0.0 fixes the issue.

Gravedad CVSS v4.0: ALTA

Última modificación:

14/11/2025

CVE-2025-60646

Fecha de publicación:

12/11/2025

Idioma:

Inglés

*** Pendiente de traducción *** A stored cross-site scripting (XSS) in the Business Line Management module of Xxl-api v1.3.0 attackers to execute arbitrary web scripts or HTML via injecting a crafted payload into the Name parameter.

Gravedad CVSS v3.1: MEDIA

Última modificación:

14/11/2025

CVE-2025-61667

Fecha de publicación:

12/11/2025

Idioma:

Inglés

*** Pendiente de traducción *** The Datadog Agent collects events and metrics from hosts and sends them to Datadog. A vulnerability within the Datadog Linux Host Agent versions 7.65.0 through 7.70.2 exists due to insufficient permissions being set on the `opt/datadog-agent/python-scripts/__pycache__` directory during installation. Code in this directory is only run by the Agent during Agent install/upgrades. This could allow an attacker with local access to modify files in this directory, which would then subsequently be run when the Agent is upgraded, resulting in local privilege escalation. This issue requires local access to the host and a valid low privilege account to be vulnerable. Note that this vulnerability only impacts the Linux Host Agent. Other variations of the Agent including the container, kubernetes, windows host and other agents are not impacted. Version 7.71.0 contains a patch for the issue.

Gravedad CVSS v4.0: ALTA

Última modificación:

14/11/2025

CVE-2025-63679

Fecha de publicación:

12/11/2025

Idioma:

Inglés

*** Pendiente de traducción *** free5gc v4.1.0 and before is vulnerable to Buffer Overflow. When AMF receives an UplinkRANConfigurationTransfer NGAP message from a gNB, the AMF process crashes.

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

14/11/2025

Suscribirse a Vulnerabilidades