Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las últimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las últimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las últimas vulnerabilidades incorporadas al repositorio.

CVE-2024-12796

Fecha de publicación:

16/09/2025

Idioma:

Inglés

*** Pendiente de traducción *** Improper Neutralization of Input During Web Page Generation (XSS or &#39;Cross-site Scripting&#39;) vulnerability in Holistic IT, Consultancy Coop. Workcube ERP allows Reflected XSS.This issue affects Workcube ERP: from V12 - V14 before Cognitive.

Gravedad CVSS v3.1: MEDIA

Última modificación:

15/04/2026

CVE-2025-7355

Fecha de publicación:

16/09/2025

Idioma:

Inglés

*** Pendiente de traducción *** Authorization Bypass Through User-Controlled Key vulnerability in Beefull Energy Technologies Beefull App allows Exploitation of Trusted Identifiers.This issue affects Beefull App: before 24.07.2025.

Gravedad CVSS v3.1: MEDIA

Última modificación:

15/04/2026

CVE-2025-55834

Fecha de publicación:

16/09/2025

Idioma:

Inglés

*** Pendiente de traducción *** A Cross Site Scripting vulnerability in JeeWMS v.3.7 and before allows a remote attacker to obtain sensitive information via the logController.do component

Gravedad CVSS v3.1: MEDIA

Última modificación:

20/09/2025

CVE-2025-55118

Fecha de publicación:

16/09/2025

Idioma:

Inglés

*** Pendiente de traducción *** Memory corruptions can be remotely triggered in the Control-M/Agent when SSL/TLS communication is configured. The issue occurs in the following cases: * Control-M/Agent 9.0.20: SSL/TLS configuration is set to the non-default setting "use_openssl=n"; * Control-M/Agent 9.0.21 and 9.0.22: Agent router configuration uses the non-default settings "JAVA_AR=N" and "use_openssl=n"

Gravedad CVSS v4.0: ALTA

Última modificación:

15/04/2026

CVE-2025-55117

Fecha de publicación:

16/09/2025

Idioma:

Inglés

*** Pendiente de traducción *** A stack-based buffer overflow can be remotely triggered when formatting an error message in the Control-M/Agent when SSL/TLS communication is configured. The issue occurs in the following cases: * Control-M/Agent 9.0.20: SSL/TLS configuration is set to the non-default setting "use_openssl=n"; * Control-M/Agent 9.0.21 and 9.0.22: Agent router configuration uses the non-default settings "JAVA_AR=N" and "use_openssl=n".

Gravedad CVSS v4.0: MEDIA

Última modificación:

10/10/2025

CVE-2025-55115

Fecha de publicación:

16/09/2025

Idioma:

Inglés

*** Pendiente de traducción *** A path traversal in the Control-M/Agent can lead to a local privilege escalation when an attacker has access to the system running the Agent. This vulnerability impacts the out-of-support Control-M/Agent versions 9.0.18 to 9.0.20 and potentially earlier unsupported versions. This vulnerability was fixed in 9.0.20.100 and above.

Gravedad CVSS v4.0: CRÍTICA

Última modificación:

10/10/2025

CVE-2025-55116

Fecha de publicación:

16/09/2025

Idioma:

Inglés

*** Pendiente de traducción *** A buffer overflow in the Control-M/Agent can lead to a local privilege escalation when an attacker has access to the system running the Agent. This vulnerability impacts the out-of-support Control-M/Agent versions 9.0.18 to 9.0.20 and potentially earlier unsupported versions.

Gravedad CVSS v4.0: CRÍTICA

Última modificación:

10/10/2025

CVE-2025-55113

Fecha de publicación:

16/09/2025

Idioma:

Inglés

*** Pendiente de traducción *** If the Access Control List is enforced by the Control-M/Agent and the C router is in use (default in Out-of-support Control-M/Agent versions 9.0.18 to 9.0.20 and potentially earlier unsupported versions; non-default but configurable using the JAVA_AR setting in newer versions), the verification stops at the first NULL byte encountered in the email address referenced in the client certificate. An attacker could bypass configured ACLs by using a specially crafted certificate.

Gravedad CVSS v4.0: CRÍTICA

Última modificación:

10/10/2025

CVE-2025-55114

Fecha de publicación:

16/09/2025

Idioma:

Inglés

*** Pendiente de traducción *** The improper order of AUTHORIZED_CTM_IP validation in the Control-M/Agent, where the Control-M/Server IP address is validated only after the SSL/TLS handshake is completed, exposes the Control-M/Agent to vulnerabilities in the SSL/TLS implementation under certain non-default conditions (e.g. CVE-2025-55117 or CVE-2025-55118) or potentially to resource exhaustion.

Gravedad CVSS v4.0: MEDIA

Última modificación:

15/04/2026

CVE-2025-55112

Fecha de publicación:

16/09/2025

Idioma:

Inglés

*** Pendiente de traducción *** Out-of-support Control-M/Agent versions 9.0.18 to 9.0.20 (and potentially earlier unsupported versions) that are configured to use the non-default Blowfish cryptography algorithm use a hardcoded key. An attacker with access to network traffic and to this key could decrypt network traffic between the Control-M/Agent and Server.

Gravedad CVSS v4.0: ALTA

Última modificación:

10/10/2025

CVE-2025-55111

Fecha de publicación:

16/09/2025

Idioma:

Inglés

*** Pendiente de traducción *** Certain files with overly permissive permissions were identified in the out-of-support Control-M/Agent versions 9.0.18 to 9.0.20 and potentially earlier unsupported versions as well as in newer versions which were upgraded from an affected version. These files contain keys and passwords relating to SSL files, keystore and policies. An attacker with local access to the system running the Agent can access these files.

Gravedad CVSS v4.0: MEDIA

Última modificación:

29/09/2025

CVE-2025-55109

Fecha de publicación:

16/09/2025

Idioma:

Inglés

*** Pendiente de traducción *** An authentication bypass vulnerability exists in the out-of-support Control-M/Agent versions 9.0.18 to 9.0.20 and potentially earlier unsupported versions when using an empty or default kdb keystore or a default PKCS#12 keystore. A remote attacker with access to a signed third-party or demo certificate for client authentication can bypass the need for a certificate signed by the certificate authority of the organization during authentication on the Control-M/Agent. The Control-M/Agent contains hardcoded certificates which are only trusted as fallback if an empty kdb keystore is used; they are never trusted if a PKCS#12 keystore is used. All of these certificates are now expired. In addition, the Control-M/Agent default kdb and PKCS#12 keystores contain trusted third-party certificates (external recognized CAs and default self-signed demo certificates) which are trusted for client authentication.

Gravedad CVSS v4.0: CRÍTICA

Última modificación:

10/10/2025

Suscribirse a Vulnerabilidades