Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las últimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las últimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las últimas vulnerabilidades incorporadas al repositorio.

CVE-2025-32283

Fecha de publicación:
22/10/2025
Idioma:
Inglés
*** Pendiente de traducción *** Deserialization of Untrusted Data vulnerability in designthemes Solar Energy solar allows Object Injection.This issue affects Solar Energy: from n/a through
Gravedad CVSS v3.1: ALTA
Última modificación:
15/04/2026

CVE-2025-32657

Fecha de publicación:
22/10/2025
Idioma:
Inglés
*** Pendiente de traducción *** Improper Control of Filename for Include/Require Statement in PHP Program ('PHP Remote File Inclusion') vulnerability in RadiusTheme Testimonial Slider And Showcase Pro testimonial-slider-showcase-pro allows PHP Local File Inclusion.This issue affects Testimonial Slider And Showcase Pro: from n/a through
Gravedad CVSS v3.1: ALTA
Última modificación:
15/04/2026

CVE-2025-39534

Fecha de publicación:
22/10/2025
Idioma:
Inglés
*** Pendiente de traducción *** Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') vulnerability in Somonator Terms Dictionary terms-dictionary allows Reflected XSS.This issue affects Terms Dictionary: from n/a through
Gravedad CVSS v3.1: ALTA
Última modificación:
15/04/2026

CVE-2025-48082

Fecha de publicación:
22/10/2025
Idioma:
Inglés
*** Pendiente de traducción *** Incorrect Privilege Assignment vulnerability in Progress Planner Progress Planner progress-planner allows Privilege Escalation.This issue affects Progress Planner: from n/a through
Gravedad CVSS v3.1: ALTA
Última modificación:
15/04/2026

CVE-2025-48092

Fecha de publicación:
22/10/2025
Idioma:
Inglés
*** Pendiente de traducción *** Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') vulnerability in jurajpuchky Fix Multiple Redirects fix-multiple-redirects allows Reflected XSS.This issue affects Fix Multiple Redirects: from n/a through
Gravedad CVSS v3.1: ALTA
Última modificación:
15/04/2026

CVE-2025-30944

Fecha de publicación:
22/10/2025
Idioma:
Inglés
*** Pendiente de traducción *** Missing Authorization vulnerability in Essekia Tablesome Table Premium tablesome-premium allows Accessing Functionality Not Properly Constrained by ACLs.This issue affects Tablesome Table Premium: from n/a through
Gravedad CVSS v3.1: ALTA
Última modificación:
27/04/2026

CVE-2025-48091

Fecha de publicación:
22/10/2025
Idioma:
Inglés
*** Pendiente de traducción *** Improper Neutralization of Special Elements used in an SQL Command ('SQL Injection') vulnerability in Alexander AnyComment anycomment allows SQL Injection.This issue affects AnyComment: from n/a through
Gravedad CVSS v3.1: ALTA
Última modificación:
27/04/2026

CVE-2025-11965

Fecha de publicación:
22/10/2025
Idioma:
Inglés
*** Pendiente de traducción *** In Eclipse Vert.x versions [4.0.0, 4.5.21] and [5.0.0, 5.0.4], a StaticHandler configuration for restricting access to hidden files fails to restrict access to hidden directories, allowing unauthorized users to retrieve files within them (e.g. '.git/config').
Gravedad CVSS v4.0: MEDIA
Última modificación:
16/01/2026

CVE-2025-11966

Fecha de publicación:
22/10/2025
Idioma:
Inglés
*** Pendiente de traducción *** In Eclipse Vert.x versions [4.0.0, 4.5.21] and [5.0.0, 5.0.4], when "directory listing" is enabled, file and directory names are inserted into generated HTML without proper escaping in the href, title, and link attributes. An attacker who can create or rename files or directories within a served path can craft filenames containing malicious script or HTML content, leading to stored cross-site scripting (XSS) that executes in the context of users viewing the affected directory listing.
Gravedad CVSS v4.0: BAJA
Última modificación:
20/01/2026

CVE-2016-15048

Fecha de publicación:
22/10/2025
Idioma:
Inglés
*** Pendiente de traducción *** AMTT Hotel Broadband Operation System (HiBOS) contains an unauthenticated command injection vulnerability in the /manager/radius/server_ping.php endpoint. The application constructs a shell command that includes the user-supplied ip parameter and executes it without proper validation or escaping. An attacker can insert shell metacharacters into the ip parameter to inject and execute arbitrary system commands as the web server user. The initial third-party disclosure in 2016 recommended contacting the vendor for remediation guidance. Additionally, this product may have been rebranded under a different name. VulnCheck has observed this vulnerability being exploited in the wild as of 2025-10-14 at 04:45:53.510819 UTC.
Gravedad CVSS v4.0: CRÍTICA
Última modificación:
31/12/2025

CVE-2025-8848

Fecha de publicación:
22/10/2025
Idioma:
Inglés
*** Pendiente de traducción *** A vulnerability in danny-avila/librechat version 0.7.9 allows for HTML injection via the Accept-Language header. When a logged-in user sends an HTTP GET request with a crafted Accept-Language header, arbitrary HTML can be injected into the tag of the response. This can lead to potential security risks such as cross-site scripting (XSS) attacks.
Gravedad CVSS v3.1: MEDIA
Última modificación:
30/10/2025

CVE-2025-61035

Fecha de publicación:
22/10/2025
Idioma:
Inglés
*** Pendiente de traducción *** The seffaflik thru 0.0.9 is vulnerable to symlink attacks due to incorrect default permissions given to the .kimlik file and .seffaflik file, which is created with mode 0777 and 0775 respectively, exposing secrets to other local users. Additionally, the .kimlik file is written without symlink checks, allowing local attackers to overwrite arbitrary files. This can result in information disclosure and denial of service.
Gravedad CVSS v3.1: ALTA
Última modificación:
15/04/2026