Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las últimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las últimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las últimas vulnerabilidades incorporadas al repositorio.

CVE-2013-10075

Fecha de publicación:
08/05/2026
Idioma:
Inglés
*** Pendiente de traducción *** Apache::Session versions through 1.94 for Perl re-creates deleted sessions.<br /> <br /> The session stores Apache::Session::Store::File and Apache::Session::Store::DB_File will create a session that does not exist. This can lead to sessions being revived, potentially with data that was to be deleted.
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
08/05/2026

CVE-2026-8069

Fecha de publicación:
08/05/2026
Idioma:
Inglés
*** Pendiente de traducción *** PredatorSense version 3.00.3136 to 3.00.3196 contain Local Privilege Escalation (LPE) vulnerability.The program exposes a Windows Named Pipe that uses a custom protocol to invoke internal functions. However, this Named Pipe is misconfigured, allowing any authenticated local user to execute arbitrary code with NT AUTHORITY\SYSTEM privileges and to delete arbitrary files with SYSTEM privileges. By leveraging this, an attacker can execute arbitrary code on the target system with elevated privileges.
Gravedad CVSS v4.0: ALTA
Última modificación:
08/05/2026

CVE-2026-8149

Fecha de publicación:
08/05/2026
Idioma:
Inglés
*** Pendiente de traducción *** A vulnerability in Legion of the Bouncy Castle Inc. BC-FJA BC-FIPS on Linux, X86_64, AVX, AVX-512f.<br /> <br /> This vulnerability is associated with program files gcm128w, gcm512w.<br /> <br /> <br /> <br /> This issue affects BC-FJA: from 2.1.0 through 2.1.2.
Gravedad CVSS v4.0: MEDIA
Última modificación:
08/05/2026

CVE-2026-4935

Fecha de publicación:
08/05/2026
Idioma:
Inglés
*** Pendiente de traducción *** The OttoKit: All-in-One Automation Platform WordPress plugin before 1.1.23 does not properly sanitize user input before using it in a SQL statement, which could allow unauthenticated attackers to perform SQL injection attacks.
Gravedad CVSS v3.1: ALTA
Última modificación:
08/05/2026

CVE-2026-44916

Fecha de publicación:
08/05/2026
Idioma:
Inglés
*** Pendiente de traducción *** In OpenStack Ironic through 35.x, instance_info[&amp;#39;ks_template&amp;#39;] is rendered without sandboxing.
Gravedad CVSS v3.1: BAJA
Última modificación:
08/05/2026

CVE-2025-67887

Fecha de publicación:
08/05/2026
Idioma:
Inglés
*** Pendiente de traducción *** 1C-Bitrix through 25.100.500 allows Remote Code Execution because an actor with SOURCE/WRITE permissions for the Translate Module can upload and execute code by sending a PHP file and a .htaccess file. NOTE: this is disputed by the Supplier because this is intended behavior for the high-privileged users who can upload new translated pages to the website.
Gravedad: Pendiente de análisis
Última modificación:
08/05/2026

CVE-2025-67888

Fecha de publicación:
08/05/2026
Idioma:
Inglés
*** Pendiente de traducción *** An issue was discovered in Control Web Panel (CWP) before 0.9.8.1209. User input passed via the "key" GET parameter to /admin/index.php (when the "api" parameter is set) is not properly sanitized before being used to execute OS commands. This can be exploited by unauthenticated attackers to inject and execute arbitrary OS commands with the privileges of root on the web server. Softaculous or SitePad must be present.
Gravedad CVSS v3.1: ALTA
Última modificación:
08/05/2026

CVE-2025-69599

Fecha de publicación:
08/05/2026
Idioma:
Inglés
*** Pendiente de traducción *** RayVentory Scan Engine through 12.6 Update 8 allows attackers to gain privileges if they control the value of the PATH environment variable. NOTE: this is disputed because ability of an attacker to control the environment is a site-specific misconfiguration.
Gravedad: Pendiente de análisis
Última modificación:
08/05/2026

CVE-2025-55449

Fecha de publicación:
08/05/2026
Idioma:
Inglés
*** Pendiente de traducción *** AstrBotDevs AstrBot 3.5.15 has Advanced_System_for_Text_Response_and_Bot_Operations_Tool as the hardcoded private key used to sign a JWT.
Gravedad CVSS v3.1: ALTA
Última modificación:
08/05/2026

CVE-2025-67886

Fecha de publicación:
08/05/2026
Idioma:
Inglés
*** Pendiente de traducción *** Bitrix24 through 25.100.300 allows Remote Code Execution because an actor with SOURCE/WRITE permissions for the Translate Module can upload and execute code by sending a PHP file and a .htaccess file. NOTE: this is disputed by the Supplier because this is intended behavior for the high-privileged users who can upload new translated pages to the website.
Gravedad CVSS v3.1: MEDIA
Última modificación:
08/05/2026

CVE-2025-69690

Fecha de publicación:
08/05/2026
Idioma:
Inglés
*** Pendiente de traducción *** Netgate pfSense CE 2.7.2 allows code execution by using the module installer with a backup file with a serialized PHP object containing the post_reboot_commands property. NOTE: the Supplier disputes this because this installer is only available to admins and they are intentionally allowed to execute PHP code.
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
08/05/2026

CVE-2025-69691

Fecha de publicación:
08/05/2026
Idioma:
Inglés
*** Pendiente de traducción *** Netgate pfSense CE 2.8.0 allows code execution in the XMLRPC API via pfsense.exec_php. NOTE: the Supplier disputes this because the API call is only available to admins and they are intentionally allowed to execute PHP code.
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
08/05/2026