Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las ultimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las ultimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las ultimas vulnerabilidades incorporadas al repositorio.

Vulnerabilidad en SourceCodester Online Student Clearance System 1.0 (CVE-2025-4469)

Fecha de publicación:
09/05/2025
Idioma:
Español
Se ha encontrado una vulnerabilidad clasificada como problemática en SourceCodester Online Student Clearance System 1.0. La vulnerabilidad se ve afectada por una función desconocida del archivo /admin/add-admin.php. La manipulación del argumento "Username" provoca ataques de cross site scripting. El ataque puede ejecutarse en remoto. Se ha hecho público el exploit y puede que sea utilizado.
Gravedad CVSS v4.0: MEDIA
Última modificación:
27/09/2025

Vulnerabilidad en SourceCodester Online Student Clearance System 1.0 (CVE-2025-4470)

Fecha de publicación:
09/05/2025
Idioma:
Español
Se encontró una vulnerabilidad clasificada como problemática en SourceCodester Online Student Clearance System 1.0. Esta vulnerabilidad afecta a una funcionalidad desconocida del archivo /admin/add-student.php. La manipulación del argumento "Fullname" provoca ataques de cross site scripting. El ataque puede ejecutarse en remoto. Se ha hecho público el exploit y puede que sea utilizado. Otros parámetros también podrían verse afectados.
Gravedad CVSS v4.0: MEDIA
Última modificación:
14/05/2025

Vulnerabilidad en SourceCodester Online Student Clearance System 1.0 (CVE-2025-4467)

Fecha de publicación:
09/05/2025
Idioma:
Español
Se encontró una vulnerabilidad en SourceCodester Online Student Clearance System 1.0. Se ha declarado crítica. Esta vulnerabilidad afecta al código desconocido del archivo /admin/edit-admin.php. La manipulación del argumento txtfullname/txtemail/cmddesignation provoca una inyección SQL. El ataque puede ejecutarse en remoto. Se ha hecho público el exploit y puede que sea utilizado.
Gravedad CVSS v4.0: MEDIA
Última modificación:
30/09/2025

Vulnerabilidad en kernel de Linux (CVE-2025-37887)

Fecha de publicación:
09/05/2025
Idioma:
Español
En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: pds_core: manejar resultados PDS_CORE_CMD_FW_CONTROL no compatibles. Si el firmware no admite el comando PDS_CORE_CMD_FW_CONTROL, el controlador podría, como mínimo, imprimir información no válida y, en el peor de los casos, bloquearse cuando el usuario ejecuta el comando "devlink dev info". Esto ocurre porque la variable de pila fw_list no se inicializa a 0, lo que hace que fw_list.num_fw_slots sea un valor no válido de la pila. A continuación, el controlador intenta acceder a fw_list.fw_names[i] con i >= ARRAY_SIZE y se ejecuta desde el final de la matriz. Para solucionar esto, inicialice fw_list y evite fallar por completo si devcmd falla, ya que se imprime otra información útil mediante devlink dev info incluso si devcmd falla.
Gravedad CVSS v3.1: MEDIA
Última modificación:
12/11/2025

Vulnerabilidad en kernel de Linux (CVE-2025-37888)

Fecha de publicación:
09/05/2025
Idioma:
Español
En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: net/mlx5: Corregir null-ptr-deref en mlx5_create_{inner_,}ttc_table() Agregar comprobación NULL para los retornos de mlx5_get_flow_namespace() en mlx5_create_inner_ttc_table() y mlx5_create_ttc_table() para evitar la desreferencia del puntero NULL.
Gravedad CVSS v3.1: MEDIA
Última modificación:
12/11/2025

Vulnerabilidad en kernel de Linux (CVE-2025-37889)

Fecha de publicación:
09/05/2025
Idioma:
Español
En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: PCI/MSI: Manejo correcto del indicador NOMASK para todos los backends PCI/MSI. La conversión de la variable global específica de XEN pci_msi_ignore_mask a un indicador de dominio MSI pasó por alto los siguientes hechos: 1) Las arquitecturas heredadas no proporcionan un dominio de interrupción. 2) Los dominios MSI principales no necesariamente tienen información de dominio adjunta. Ambos casos resultan en una desreferencia de puntero NULL incondicional. Desafortunadamente, esto se pasó por alto en la revisión y las pruebas lo revelaron tarde. Solucione esto utilizando el asistente pci_msi_domain_supports() existente, que maneja todos los casos posibles correctamente.
Gravedad CVSS v3.1: MEDIA
Última modificación:
17/11/2025

Vulnerabilidad en Frontend Login and Registration Blocks para WordPress (CVE-2025-3605)

Fecha de publicación:
09/05/2025
Idioma:
Español
El complemento Frontend Login and Registration Blocks para WordPress es vulnerable a la escalada de privilegios mediante el robo de cuenta en todas las versiones hasta la 1.0.7 incluida. Esto se debe a que el complemento no valida correctamente la identidad del usuario antes de actualizar sus datos, como el correo electrónico, mediante la función flr_blocks_user_settings_handle_ajax_callback(). Esto permite que atacantes no autenticados cambien las direcciones de correo electrónico de usuarios arbitrarios, incluidos los administradores, y aprovechen esta situación para restablecer la contraseña del usuario y acceder a su cuenta.
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
08/04/2026

Vulnerabilidad en 1 Click WordPress Migration Plugin – 100% FREE for a limited time para WordPress (CVE-2025-3455)

Fecha de publicación:
09/05/2025
Idioma:
Español
El complemento 1 Click WordPress Migration Plugin – 100% FREE for a limited time para WordPress es vulnerable a la modificación no autorizada de datos debido a la falta de comprobación de la función «start_restore» en todas las versiones hasta la 2.2 incluida. Esto permite que atacantes autenticados, con acceso de suscriptor o superior, carguen archivos arbitrarios en el servidor del sitio afectado, lo que podría posibilitar la ejecución remota de código.
Gravedad CVSS v3.1: ALTA
Última modificación:
08/04/2026

Vulnerabilidad en kernel de Linux (CVE-2025-37881)

Fecha de publicación:
09/05/2025
Idioma:
Español
En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: usb: gadget: aspeed: Se ha añadido una comprobación de puntero nulo en ast_vhub_init_dev(). La variable d->name, devuelta por devm_kasprintf(), podría ser nula. Se ha añadido una comprobación de puntero para evitar posibles desreferencias de punteros nulos. Esto es similar a la corrección en la confirmación 3027e7b15b02 ("ice: Se corrigen algunos problemas de desreferencia de puntero nulo en ice_ptp.c"). Nuestra herramienta de análisis estático ha detectado este problema.
Gravedad CVSS v3.1: MEDIA
Última modificación:
12/11/2025

Vulnerabilidad en kernel de Linux (CVE-2025-37882)

Fecha de publicación:
09/05/2025
Idioma:
Español
En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: usb: xhci: Arreglar el manejo de eventos isócronos de Infraeje/Desbordamiento de Anillo El puntero TRB de estos eventos apunta a enqueue en el momento de ocurrencia del error en HCs xHCI 1.1+ o es NULL en los más antiguos. En el momento en que manejamos el evento, un nuevo TD puede estar en cola en esta posición de anillo. Puedo desencadenar esta ejecución aumentando la moderación de interrupciones para aumentar el retraso en el manejo de IRQ. Un retraso similar puede ocurrir naturalmente debido a la carga del sistema. Si esto sucede alguna vez después de un Error de Servicio Perdido, los TD perdidos se omitirán y el nuevo TD se procesará como si coincidiera con el evento. Podría devolverse prematuramente, con el riesgo de pérdida de datos o UAF de búfer por parte del xHC. No complete los TD en eventos xrun y no advierta si los TD en cola no coinciden con el puntero TRB del evento, que puede ser NULL o un TRB de enlace/no operación. No avisar si no hay ningún TD en cola. Ahora que es seguro, también se gestionan los eventos xrun si el indicador de omisión está desactivado. Esto garantiza la finalización de cualquier TD bloqueado en estado de "error a mitad de TD" justo antes del evento xrun, lo que podría ocurrir si un controlador envía un número finito de URB a un HC con errores y luego se produce un error en el último TD.
Gravedad CVSS v3.1: ALTA
Última modificación:
12/11/2025

Vulnerabilidad en kernel de Linux (CVE-2025-37883)

Fecha de publicación:
09/05/2025
Idioma:
Español
En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: s390/sclp: Se ha añadido una comprobación para get_zeroed_page(). Se ha añadido una comprobación del valor de retorno de get_zeroed_page() en sclp_console_init() para evitar la desreferencia de punteros nulos. Además, para solucionar la fuga de memoria causada por la asignación de bucles, se ha añadido un asistente gratuito para realizar la tarea.
Gravedad CVSS v3.1: MEDIA
Última modificación:
12/11/2025

Vulnerabilidad en kernel de Linux (CVE-2025-37885)

Fecha de publicación:
09/05/2025
Idioma:
Español
En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: KVM: x86: Restablecer IRTE al control del host si la *nueva* ruta no se puede publicar. Restaurar un IRTE al control del host (modo MSI reasignado o publicado) si la *nueva* ruta GSI impide publicar la IRQ directamente a una vCPU, independientemente del tipo de enrutamiento de GSI. Actualizar el IRTE solo si la nueva GSI es una MSI hace que KVM deje una publicación de IRTE en una vCPU. El IRTE pendiente puede provocar que las interrupciones se entreguen incorrectamente al invitado y, en el peor de los casos, puede provocar un use-after-free, por ejemplo, si se desactiva la máquina virtual, pero no se libera la IRQ del host subyacente.
Gravedad CVSS v3.1: ALTA
Última modificación:
12/11/2025