Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las ultimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las ultimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las ultimas vulnerabilidades incorporadas al repositorio.

Vulnerabilidad en FW-WGS-804HPT v1.305b241111 (CVE-2025-44895)

Fecha de publicación:
21/05/2025
Idioma:
Español
Se descubrió que FW-WGS-804HPT v1.305b241111 contiene un desbordamiento de pila a través del parámetro ipv4Aclkey en la función web_acl_ipv4BasedAceAdd.
Gravedad CVSS v3.1: MEDIA
Última modificación:
03/06/2025

Vulnerabilidad en AAPanel v7.0.7 (CVE-2024-42922)

Fecha de publicación:
21/05/2025
Idioma:
Español
Se descubrió que AAPanel v7.0.7 contenía una vulnerabilidad de inyección de comandos del sistema operativo.
Gravedad CVSS v3.1: MEDIA
Última modificación:
25/06/2025

Vulnerabilidad en itech iLabClient 3.7.1 (CVE-2024-56429)

Fecha de publicación:
21/05/2025
Idioma:
Español
itech iLabClient 3.7.1 se basa en la clave codificada YngAYdgAE/kKZYu2F2wm6w== (que se encuentra en iLabClient.jar) para que los usuarios locales lean o escriban en la base de datos.
Gravedad CVSS v3.1: ALTA
Última modificación:
21/05/2025

Vulnerabilidad en SEC Consult Vulnerability Lab (CVE-2025-48417)

Fecha de publicación:
21/05/2025
Idioma:
Español
El certificado y la clave privada utilizados para proporcionar seguridad de la capa de transporte a las conexiones a la interfaz web (puerto TCP 443) están codificados en el firmware y se incluyen con los archivos de actualización. Un atacante puede usar la clave privada para realizar ataques de intermediario contra los usuarios de la interfaz de administración. Los archivos se encuentran en /etc/ssl (p. ej., salia.local.crt, salia.local.key y salia.local.pem). No existe la opción de cargar ni configurar certificados TLS personalizados.
Gravedad CVSS v3.1: MEDIA
Última modificación:
03/11/2025

Vulnerabilidad en Konsola Proget (CVE-2025-1419)

Fecha de publicación:
21/05/2025
Idioma:
Español
La información proporcionada en la sección de comentarios de Konsola Proget no se depura correctamente, lo que permite que un usuario con privilegios elevados realice un ataque de Cross-Site Scripting almacenado. Este problema se ha corregido en la versión 2.17.5 de Konsola Proget (la parte del servidor de la suite MDM).
Gravedad CVSS v4.0: BAJA
Última modificación:
21/05/2025

Vulnerabilidad en Konsola Proget (CVE-2025-1420)

Fecha de publicación:
21/05/2025
Idioma:
Español
La entrada proporcionada en un campo que contiene "activationMessage" en Konsola Proget no se depura correctamente, lo que permite que un usuario con privilegios elevados realice un ataque de Cross-Site Scripting almacenado. Este problema se ha corregido en la versión 2.17.5 de Konsola Proget (componente servidor de la suite MDM).
Gravedad CVSS v4.0: BAJA
Última modificación:
21/05/2025

Vulnerabilidad en Konsola Proget (CVE-2025-1421)

Fecha de publicación:
21/05/2025
Idioma:
Español
Los datos proporcionados en una solicitud al servidor al activar un nuevo dispositivo se almacenan en una base de datos. Otros usuarios con privilegios elevados podrían descargar estos datos como un archivo CSV y dañar su PC al abrirlo con una herramienta como Microsoft Excel. El atacante podría obtener acceso remoto al PC del usuario. Este problema se ha corregido en la versión 2.17.5 de Konsola Proget (la parte del servidor de la suite MDM).
Gravedad CVSS v4.0: BAJA
Última modificación:
21/05/2025

Vulnerabilidad en Internet Systems Consortium (ISC) (CVE-2025-40775)

Fecha de publicación:
21/05/2025
Idioma:
Español
Cuando un mensaje entrante del protocolo DNS incluye una Firma de Transacción (TSIG), BIND siempre la comprueba. Si la TSIG contiene un valor no válido en el campo de algoritmo, BIND cancela inmediatamente la operación con un error de aserción. Este problema afecta a las versiones de BIND 9, de la 9.20.0 a la 9.20.8 y de la 9.21.0 a la 9.21.7.
Gravedad CVSS v3.1: ALTA
Última modificación:
23/05/2025

Vulnerabilidad en SEC Consult Vulnerability Lab (CVE-2025-48415)

Fecha de publicación:
21/05/2025
Idioma:
Español
Una puerta trasera USB puede activarse conectando una unidad USB que contenga archivos "salia.ini" especialmente diseñados. El archivo .ini puede contener varios comandos que un atacante podría explotar para exportar o modificar la configuración del dispositivo, habilitar una puerta trasera SSH o realizar otras acciones administrativas. En definitiva, esta puerta trasera también permite la ejecución arbitraria de comandos del sistema operativo.
Gravedad CVSS v3.1: MEDIA
Última modificación:
03/11/2025

Vulnerabilidad en estaciones de carga Charge Hardy Barth cPH2 y cPP2 (CVE-2025-48416)

Fecha de publicación:
21/05/2025
Idioma:
Español
Un demonio OpenSSH escucha en el puerto TCP 22. Hay una entrada incluida en el archivo «/etc/shadow» en la imagen del firmware para el usuario «root». Sin embargo, en la configuración SSH por defecto el «PermitRootLogin» está desactivado, impidiendo que el usuario root inicie sesión a través de SSH. No obstante, esta configuración puede ser evitada/cambiada por un atacante de múltiples formas.
Gravedad CVSS v3.1: ALTA
Última modificación:
03/11/2025

Vulnerabilidad en Proget MDM (CVE-2025-1417)

Fecha de publicación:
21/05/2025
Idioma:
Español
En Proget MDM, un usuario con pocos privilegios puede acceder a la información sobre los cambios contenidos en las copias de seguridad de todos los dispositivos administrados por MDM (Administración de Dispositivos Móviles). Esta información incluye identificadores de usuario, direcciones de correo electrónico, nombres, apellidos y UUID del dispositivo. Este último puede utilizarse para explotar la vulnerabilidad CVE-2025-1416. Para una explotación exitosa, se requiere el UUID de una copia de seguridad específica, que no puede forzarse. Este problema se ha corregido en la versión 2.17.5 de Konsola Proget (componente servidor de la suite MDM).
Gravedad CVSS v4.0: MEDIA
Última modificación:
21/05/2025

Vulnerabilidad en Proget MDM (CVE-2025-1418)

Fecha de publicación:
21/05/2025
Idioma:
Español
Un usuario con pocos privilegios puede acceder a la información sobre los perfiles creados en Proget MDM (Administración de Dispositivos Móviles), que contiene detalles sobre las funciones permitidas/prohibidas. Los perfiles no revelan información confidencial (incluido su uso en los dispositivos conectados). Este problema se ha solucionado en la versión 2.17.5 de Konsola Proget (la parte del servidor de la suite MDM).
Gravedad CVSS v4.0: MEDIA
Última modificación:
21/05/2025