Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las últimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las últimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las últimas vulnerabilidades incorporadas al repositorio.

Vulnerabilidad en Protected Total WebShield Extension (CVE-2025-8751)

Fecha de publicación:
09/08/2025
Idioma:
Español
Se encontró una vulnerabilidad en Protected Total WebShield Extension hasta la versión 3.2.0 de Chrome. Se ha clasificado como problemática. Afecta a una parte desconocida del componente Block Page. La manipulación del argumento Category provoca cross site scripting. El ataque puede ejecutarse en remoto. Es un ataque de complejidad bastante alta. Parece difícil de explotar. Se ha hecho público el exploit y puede que sea utilizado. Se contactó al proveedor con antelación para informarle sobre esta divulgación, pero no respondió.
Gravedad CVSS v4.0: BAJA
Última modificación:
29/04/2026

Vulnerabilidad en macrozheng mall (CVE-2025-8750)

Fecha de publicación:
09/08/2025
Idioma:
Español
Se ha detectado una vulnerabilidad en macrozheng mall hasta la versión 1.0.3, clasificada como problemática. Esta vulnerabilidad afecta la función Upload del archivo /minio/upload del componente Add Product Page. La manipulación del argumento File provoca ataques de cross site scripting. El ataque puede ejecutarse en remoto. Se ha hecho público el exploit y puede que sea utilizado. Se contactó al proveedor con antelación para informarle sobre esta divulgación, pero no respondió.
Gravedad CVSS v4.0: BAJA
Última modificación:
29/04/2026

Vulnerabilidad en GNU libopts (CVE-2025-8746)

Fecha de publicación:
09/08/2025
Idioma:
Español
Se encontró una vulnerabilidad clasificada como problemática en GNU libopts hasta la versión 27.6. La función __strstr_sse2 se ve afectada. La manipulación provoca corrupción de memoria. Se requiere acceso local para abordar este ataque. Se ha hecho público el exploit y puede que sea utilizado. Este problema se informó inicialmente al proyecto tcpreplay, pero el responsable del código explica que este "error parece estar en libopts, que es una librería externa". Esta vulnerabilidad solo afecta a los productos que ya no reciben soporte del fabricante.
Gravedad CVSS v4.0: BAJA
Última modificación:
29/04/2026

Vulnerabilidad en IDENTIFICADOR NO VÁLIDO (CVE-2025-8771)

Fecha de publicación:
09/08/2025
Idioma:
Español
Razón rechazado: ** Rechazo ** No use este número de candidato. Consultids: ninguno. Razón: este candidato fue retirado por su CNA. Una investigación adicional mostró que no era un problema de seguridad. Notas: Esto afecta una característica legítima. La causa del problema es una configuración de base de datos insegura establecida por el usuario.
Gravedad: Pendiente de análisis
Última modificación:
09/08/2025

Vulnerabilidad en Liferay Portal y Liferay DXP (CVE-2025-4581)

Fecha de publicación:
09/08/2025
Idioma:
Español
Liferay Portal 7.4.0 a 7.4.3.132 y Liferay DXP 2025.Q1.0 a 2025.Q1.4, 2024.Q4.0 a 2024.Q4.7, 2024.Q3.1 a 2024.Q3.13, 2024.Q2.0 a 2024.Q2.13, 2024.Q1.1 a 2024.Q1.15, 7.4 GA a la actualización 92, permiten una vulnerabilidad SSRF ciega de preautenticación en portal-settings-authentication-opensso-web debido a la validación incorrecta de las URL proporcionadas por el usuario. Un atacante puede explotar este problema para forzar al servidor a realizar solicitudes HTTP arbitrarias a sistemas internos, lo que podría provocar la enumeración de la red interna o una mayor explotación.
Gravedad CVSS v4.0: MEDIA
Última modificación:
16/12/2025

Vulnerabilidad en Liferay Portal y Liferay DXP (CVE-2025-4655)

Fecha de publicación:
09/08/2025
Idioma:
Español
La vulnerabilidad SSRF en las plantillas FreeMarker en Liferay Portal versiones 7.4.0 a 7.4.3.132 y Liferay DXP versiones 2025.Q1.0 a 2025.Q1.5, versiones 2024.Q4.0 a 2024.Q4.7, versiones 2024.Q3.1 a 2024.Q3.13, versiones 2024.Q2.0 a 2024.Q2.13, versiones 2024.Q1.1 a 2024.Q1.15 y 7.4 GA hasta la actualización 92 permite a los editores de plantillas eludir las validaciones de acceso a través de URL manipuladas.
Gravedad CVSS v4.0: MEDIA
Última modificación:
29/04/2026

Vulnerabilidad en Weee RICEPO 6.17.77 (CVE-2025-8745)

Fecha de publicación:
09/08/2025
Idioma:
Español
Se ha detectado una vulnerabilidad clasificada como problemática en la aplicación Weee RICEPO 6.17.77 para Android. Este problema afecta a un procesamiento desconocido del archivo AndroidManifest.xml del componente com.ricepo.app. Esta manipulación provoca la exportación incorrecta de componentes de la aplicación Android. Es necesario abordar un ataque localmente. Se ha hecho público el exploit y puede que sea utilizado. Se contactó al proveedor con antelación para informarle sobre esta divulgación, pero no respondió.
Gravedad CVSS v4.0: BAJA
Última modificación:
29/04/2026

Vulnerabilidad en OpenBao (CVE-2025-55003)

Fecha de publicación:
09/08/2025
Idioma:
Español
OpenBao existe para proporcionar una solución de software que permite gestionar, almacenar y distribuir datos confidenciales, como secretos, certificados y claves. En las versiones 2.3.1 y anteriores, el sistema de autenticación multifactor (MFA) de inicio de sesión de OpenBao permite aplicar la MFA mediante contraseñas de un solo uso basadas en tiempo (TOTP). Gracias a la normalización aplicada por la librería TOTP subyacente, se aceptaron códigos que podían contener espacios en blanco. Estos espacios en blanco podían eludir la limitación de velocidad interna del método de MFA y permitir la reutilización de códigos de MFA existentes. Este problema se solucionó en la versión 2.3.2. Para solucionarlo, el uso de cuotas de limitación de velocidad puede limitar la capacidad de un atacante para explotar esta vulnerabilidad: https://openbao.org/api-docs/system/rate-limit-quotas/.
Gravedad CVSS v3.1: MEDIA
Última modificación:
12/08/2025

Vulnerabilidad en Frappe Learning (CVE-2025-55006)

Fecha de publicación:
09/08/2025
Idioma:
Español
Frappe Learning es un sistema de aprendizaje que ayuda a los usuarios a estructurar su contenido. En las versiones 2.33.0 y anteriores, la función de carga de imágenes no depuraba adecuadamente los archivos SVG subidos. Esto permitía a los usuarios subir archivos SVG con JavaScript incrustado u otro contenido potencialmente malicioso. Los archivos SVG maliciosos podían usarse para ejecutar scripts arbitrarios en el contexto de otros usuarios. Se prevé una solución para este problema en la versión 2.34.0.
Gravedad CVSS v3.1: MEDIA
Última modificación:
06/10/2025

Vulnerabilidad en AuthKit para React Router 7+ (CVE-2025-55008)

Fecha de publicación:
09/08/2025
Idioma:
Español
La librería AuthKit para React Router 7+ proporciona ayudantes para la autenticación y la gestión de sesiones mediante WorkOS y AuthKit con React Router. En las versiones 0.6.1 y anteriores, @workos-inc/authkit-react-router exponía artefactos de autenticación sensibles, en concreto, sealedSession y accessToken, al devolverlos desde authkitLoader. Esto provocaba que se renderizaran en el HTML del navegador. Este problema se ha corregido en la versión 0.7.0.
Gravedad CVSS v3.1: ALTA
Última modificación:
15/04/2026

Vulnerabilidad en AuthKit para Remix (CVE-2025-55009)

Fecha de publicación:
09/08/2025
Idioma:
Español
La librería AuthKit para Remix proporciona prácticos asistentes para la autenticación y la gestión de sesiones mediante WorkOS y AuthKit con Remix. En las versiones 0.14.1 y anteriores, @workos-inc/authkit-remix exponía artefactos de autenticación sensibles, en concreto, sealedSession y accessToken, al devolverlos desde authkitLoader. Esto provocaba que se representaran en el HTML del navegador.
Gravedad CVSS v3.1: ALTA
Última modificación:
15/04/2026

Vulnerabilidad en Assemblyline 4 Service Client (CVE-2025-55013)

Fecha de publicación:
09/08/2025
Idioma:
Español
Assemblyline 4 Service Client interactúa con la API para obtener tareas y publicar el resultado de un servicio en Assemblyline 4. En versiones anteriores a la 4.6.1.dev138, el cliente de servicio de Assemblyline 4 (task_handler.py) acepta un valor SHA-256 devuelto por el servidor de servicio y lo usa directamente como nombre de archivo local. Un servidor malicioso o comprometido (o cualquier MITM que pueda comunicarse con el cliente) puede devolver un payload de path traversal como `../../../etc/cron.d/evil` y obligar al cliente a escribir los bytes descargados en una ubicación arbitraria del disco. Esto se solucionó en la versión 4.6.1.dev138.
Gravedad CVSS v3.1: MEDIA
Última modificación:
15/04/2026