Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las últimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las últimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las últimas vulnerabilidades incorporadas al repositorio.

CVE-2019-25700

Fecha de publicación:
05/04/2026
Idioma:
Inglés
*** Pendiente de traducción *** Kados R10 GreenBee contains an SQL injection vulnerability that allows attackers to manipulate database queries by injecting SQL code through the sort_direction parameter. Attackers can submit malicious SQL statements in the sort_direction parameter to extract sensitive database information or modify data.
Gravedad CVSS v4.0: ALTA
Última modificación:
07/04/2026

CVE-2019-25698

Fecha de publicación:
05/04/2026
Idioma:
Inglés
*** Pendiente de traducción *** Kados R10 GreenBee contains an SQL injection vulnerability that allows attackers to manipulate database queries by injecting SQL code through the id_to_delete parameter. Attackers can send crafted requests with malicious SQL statements in the id_to_delete field to extract or modify sensitive database information.
Gravedad CVSS v4.0: ALTA
Última modificación:
07/04/2026

CVE-2019-25696

Fecha de publicación:
05/04/2026
Idioma:
Inglés
*** Pendiente de traducción *** Kados R10 GreenBee contains an SQL injection vulnerability that allows attackers to manipulate database queries by injecting SQL code through the language_tag parameter. Attackers can submit malicious SQL statements in the language_tag parameter to extract sensitive database information or modify data.
Gravedad CVSS v4.0: ALTA
Última modificación:
07/04/2026

CVE-2019-25692

Fecha de publicación:
05/04/2026
Idioma:
Inglés
*** Pendiente de traducción *** Kados R10 GreenBee contains an SQL injection vulnerability that allows attackers to manipulate database queries by injecting SQL code through the 'id_to_modify' parameter. Attackers can send crafted requests with malicious SQL statements in the id_to_modify field to extract sensitive database information or modify data.
Gravedad CVSS v4.0: ALTA
Última modificación:
07/04/2026

CVE-2019-25690

Fecha de publicación:
05/04/2026
Idioma:
Inglés
*** Pendiente de traducción *** Kados R10 GreenBee contains an SQL injection vulnerability that allows attackers to manipulate database queries by injecting SQL code through the mng_profile_id parameter. Attackers can send crafted requests with malicious SQL payloads in the mng_profile_id parameter to extract sensitive database information.
Gravedad CVSS v4.0: ALTA
Última modificación:
07/04/2026

CVE-2019-25688

Fecha de publicación:
05/04/2026
Idioma:
Inglés
*** Pendiente de traducción *** Kados R10 GreenBee contains an SQL injection vulnerability that allows unauthenticated attackers to manipulate database queries by injecting SQL code through the menu_lev1 parameter. Attackers can send crafted requests with malicious SQL payloads in the menu_lev1 parameter to extract sensitive database information or modify database contents.
Gravedad CVSS v4.0: ALTA
Última modificación:
07/04/2026

CVE-2019-25686

Fecha de publicación:
05/04/2026
Idioma:
Inglés
*** Pendiente de traducción *** Core FTP 2.0 build 653 contains a denial of service vulnerability in the PBSZ command that allows unauthenticated attackers to crash the service by sending a malformed command with an oversized buffer. Attackers can send a PBSZ command with a payload exceeding 211 bytes to trigger an access violation and crash the FTP server process.
Gravedad CVSS v4.0: ALTA
Última modificación:
09/04/2026

CVE-2019-25685

Fecha de publicación:
05/04/2026
Idioma:
Inglés
*** Pendiente de traducción *** Rejected reason: This CVE ID has been rejected or withdrawn by its CVE Numbering Authority.
Gravedad CVSS v4.0: ALTA
Última modificación:
19/04/2026

CVE-2019-25687

Fecha de publicación:
05/04/2026
Idioma:
Inglés
*** Pendiente de traducción *** Pegasus CMS 1.0 contains a remote code execution vulnerability in the extra_fields.php plugin that allows unauthenticated attackers to execute arbitrary commands by exploiting unsafe eval functionality. Attackers can send POST requests to the submit.php endpoint with malicious PHP code in the action parameter to achieve code execution and obtain an interactive shell.
Gravedad CVSS v4.0: CRÍTICA
Última modificación:
24/04/2026

CVE-2019-25684

Fecha de publicación:
05/04/2026
Idioma:
Inglés
*** Pendiente de traducción *** OpenDocMan 1.3.4 contains an SQL injection vulnerability that allows unauthenticated attackers to manipulate database queries by injecting SQL code through the 'where' parameter. Attackers can send GET requests to search.php with malicious SQL payloads in the 'where' parameter to extract sensitive database information.
Gravedad CVSS v4.0: ALTA
Última modificación:
09/04/2026

CVE-2019-25683

Fecha de publicación:
05/04/2026
Idioma:
Inglés
*** Pendiente de traducción *** FileZilla 3.40.0 contains a denial of service vulnerability in the local search functionality that allows local attackers to crash the application by supplying a malformed path string. Attackers can trigger the crash by entering a crafted path containing 384 'A' characters followed by 'BBBB' and 'CCCC' sequences in the search directory field and initiating a local search operation.
Gravedad CVSS v4.0: MEDIA
Última modificación:
09/04/2026

CVE-2019-25682

Fecha de publicación:
05/04/2026
Idioma:
Inglés
*** Pendiente de traducción *** CMSsite 1.0 contains a cross-site request forgery vulnerability that allows attackers to perform unauthorized administrative actions by crafting malicious HTML forms. Attackers can trick authenticated administrators into visiting crafted pages that submit POST requests to the users.php endpoint with parameters like source=add_user, source=edit_user, or del=1 to create, modify, or delete admin accounts.
Gravedad CVSS v4.0: MEDIA
Última modificación:
09/04/2026