Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las últimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las últimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las últimas vulnerabilidades incorporadas al repositorio.

Vulnerabilidad en HUAWEI (CVE-2025-54607)

Fecha de publicación:

06/08/2025

Idioma:

Español

Vulnerabilidad en la gestión de autenticación del módulo ArkWeb. Impacto: La explotación exitosa de esta vulnerabilidad podría afectar la confidencialidad del servicio.

Gravedad CVSS v3.1: ALTA

Última modificación:

20/08/2025

Vulnerabilidad en HUAWEI (CVE-2025-54608)

Fecha de publicación:

06/08/2025

Idioma:

Español

Vulnerabilidad que permite configurar la dirección de rotación de la pantalla sin verificación de permisos en el módulo screen management. Impacto: La explotación exitosa de esta vulnerabilidad puede provocar que la orientación de la pantalla del dispositivo se configure arbitrariamente.

Gravedad CVSS v3.1: MEDIA

Última modificación:

20/08/2025

Vulnerabilidad en HUAWEI (CVE-2025-54609)

Fecha de publicación:

06/08/2025

Idioma:

Español

Vulnerabilidad de acceso fuera de los límites en el módulo audio codec. Impacto: La explotación exitosa de esta vulnerabilidad podría afectar la disponibilidad.

Gravedad CVSS v3.1: MEDIA

Última modificación:

12/08/2025

Vulnerabilidad en HUAWEI (CVE-2025-54653)

Fecha de publicación:

06/08/2025

Idioma:

Español

Vulnerabilidad de Path traversal en el módulo virtualization file. La explotación exitosa de esta vulnerabilidad podría afectar la confidencialidad de dicho módulo.

Gravedad CVSS v3.1: ALTA

Última modificación:

18/08/2025

Vulnerabilidad en HUAWEI (CVE-2025-54655)

Fecha de publicación:

06/08/2025

Idioma:

Español

Vulnerabilidad de condición de ejecución en el módulo virtualization base. La explotación exitosa de esta vulnerabilidad podría afectar la confidencialidad e integridad del módulo gráfico de virtualización.

Gravedad CVSS v3.1: ALTA

Última modificación:

20/08/2025

Vulnerabilidad en HUAWEI (CVE-2025-54652)

Fecha de publicación:

06/08/2025

Idioma:

Español

Vulnerabilidad de Path traversal en el módulo virtualization base. La explotación exitosa de esta vulnerabilidad podría afectar la confidencialidad del módulo de virtualización.

Gravedad CVSS v3.1: ALTA

Última modificación:

18/08/2025

Vulnerabilidad en Vision UI (CVE-2025-54883)

Fecha de publicación:

06/08/2025

Idioma:

Español

Vision UI es una colección de módulos empresariales sin dependencias para proyectos web modernos. En las versiones 1.4.0 y anteriores, la función getSecureRandomInt de las versiones del kit de seguridad anteriores a la 3.5.0 (incluidas en Vision-ui &lt;= 1.4.0) presenta una vulnerabilidad criptográfica crítica. Debido a un desbordamiento silencioso de enteros de 32 bits en su lógica de enmascaramiento interna, la función no genera una distribución uniforme de números aleatorios cuando el rango solicitado entre min y max es mayor que 2³². La causa principal es el uso de una operación de desplazamiento a la izquierda bit a bit de 32 bits (&lt;&lt;) para generar una máscara de bits para el algoritmo de muestreo de rechazo. Esto provoca que la máscara sea incorrecta para cualquier rango que requiera 32 bits o más de entropía. Este problema se solucionó en la versión 1.5.0.

Gravedad CVSS v4.0: CRÍTICA

Última modificación:

15/04/2026

Vulnerabilidad en Vision UI (CVE-2025-54884)

Fecha de publicación:

06/08/2025

Idioma:

Español

Vision UI es una colección de módulos empresariales sin dependencias para proyectos web modernos. En las versiones 1.4.0 y anteriores, las funciones generateSecureId y getSecureRandomInt de las versiones del kit de seguridad anteriores a la 3.5.0 (incluidas en Vision UI 1.4.0 y anteriores) son vulnerables a ataques de denegación de servicio (DoS). La función generateSecureId(length) utilizaba directamente el parámetro length para dimensionar un búfer Uint8Array, lo que permitía a los atacantes agotar la memoria del servidor mediante solicitudes repetidas de IDs grandes, ya que el límite anterior de 1024 era insuficiente. La función getSecureRandomInt(min, max) calculaba el tamaño del búfer basándose en el rango entre min y max. Los rangos grandes provocaban una asignación excesiva de memoria y bucles de rechazo y muestreo con un uso intensivo de la CPU que podían bloquear el hilo. Este problema se solucionó en la versión 1.5.0.

Gravedad CVSS v4.0: ALTA

Última modificación:

15/04/2026

Vulnerabilidad en Fiber (CVE-2025-54801)

Fecha de publicación:

06/08/2025

Idioma:

Español

Fiber es un framework web inspirado en Express y escrito en Go. En las versiones 2.52.8 y anteriores, al usar Ctx.BodyParser de Fiber para analizar datos de formulario que contienen una clave numérica grande que representa el índice de un segmento (p. ej., test.18446744073704), la aplicación se bloquea debido a una asignación de segmento fuera de los límites en el decodificador de esquema subyacente. La causa principal es que el decodificador intenta asignar un segmento con una longitud de idx + 1 sin validar si el índice se encuentra dentro de un rango seguro o razonable. Si el idx es excesivamente grande, se produce un desbordamiento de enteros o un agotamiento de memoria, lo que provoca un pánico o un bloqueo. Esto se solucionó en la versión 2.52.9.

Gravedad CVSS v4.0: ALTA

Última modificación:

23/09/2025

Vulnerabilidad en Mastodon (CVE-2025-54879)

Fecha de publicación:

06/08/2025

Idioma:

Español

Mastodon es un servidor de red social gratuito y de código abierto basado en ActivityPub Mastodon, que facilita la configuración LDAP para la autenticación. En las versiones 3.1.5 a 4.2.24, 4.3.0 a 4.3.11 y 4.4.0 a 4.4.3, el sistema de limitación de velocidad de Mastodon presenta un error crítico de configuración: la limitación basada en correo electrónico para los correos de confirmación verifica incorrectamente la ruta de restablecimiento de contraseña en lugar de la de confirmación, lo que desactiva los límites por correo electrónico para las solicitudes de confirmación. Esto permite a los atacantes eludir las limitaciones de velocidad rotando las direcciones IP y enviar correos de confirmación ilimitados a cualquier dirección, ya que solo permanece activa una limitación débil basada en IP (25 solicitudes cada 5 minutos). Esta vulnerabilidad permite ataques de denegación de servicio que pueden saturar las colas de correo y facilitar el acoso a los usuarios mediante correos de confirmación no deseados. Esto se ha corregido en las versiones 4.2.24, 4.3.11 y 4.4.3.

Gravedad CVSS v3.1: MEDIA

Última modificación:

26/08/2025

Vulnerabilidad en FPDI (CVE-2025-54869)

Fecha de publicación:

06/08/2025

Idioma:

Español

FPDI es una colección de clases PHP que facilita la lectura de páginas de documentos PDF existentes y su uso como plantillas en FPDF. En las versiones 2.6.2 y anteriores, cualquier aplicación que utilice FPDI para procesar archivos PDF proporcionados por el usuario está en riesgo, lo que provoca una vulnerabilidad de denegación de servicio (DoS). Un atacante puede cargar un archivo PDF pequeño y malicioso que provocará el bloqueo del script del servidor por agotamiento de memoria. Los ataques repetidos pueden provocar la indisponibilidad prolongada del servicio. Este problema se solucionó en la versión 2.6.3.

Gravedad CVSS v4.0: MEDIA

Última modificación:

15/04/2026

Vulnerabilidad en onion-site-template (CVE-2025-54872)

Fecha de publicación:

06/08/2025

Idioma:

Español

onion-site-template es una muestra completa, escalable y autoalojada de un servicio oculto de Tor. Las versiones que incluyen el commit 3196bd89 contienen una imagen de Tor preinstalada si los secretos se copiaron de un dominio onion existente. Un sitio web podría verse comprometido si un usuario compartiera la imagen preinstalada o si alguien pudiera acceder al dispositivo del usuario fuera de un entorno contenedorizado. Esto se solucionó con el commit bc9ba0fd.

Gravedad CVSS v4.0: ALTA

Última modificación:

15/04/2026

Suscribirse a Vulnerabilidades