Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las últimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las últimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las últimas vulnerabilidades incorporadas al repositorio.

CVE-2025-67887

Fecha de publicación:
08/05/2026
Idioma:
Inglés
*** Pendiente de traducción *** 1C-Bitrix through 25.100.500 allows Remote Code Execution because an actor with SOURCE/WRITE permissions for the Translate Module can upload and execute code by sending a PHP file and a .htaccess file. NOTE: this is disputed by the Supplier because this is intended behavior for the high-privileged users who can upload new translated pages to the website.
Gravedad: Pendiente de análisis
Última modificación:
08/05/2026

CVE-2025-67888

Fecha de publicación:
08/05/2026
Idioma:
Inglés
*** Pendiente de traducción *** An issue was discovered in Control Web Panel (CWP) before 0.9.8.1209. User input passed via the "key" GET parameter to /admin/index.php (when the "api" parameter is set) is not properly sanitized before being used to execute OS commands. This can be exploited by unauthenticated attackers to inject and execute arbitrary OS commands with the privileges of root on the web server. Softaculous or SitePad must be present.
Gravedad CVSS v3.1: ALTA
Última modificación:
08/05/2026

CVE-2025-69599

Fecha de publicación:
08/05/2026
Idioma:
Inglés
*** Pendiente de traducción *** RayVentory Scan Engine through 12.6 Update 8 allows attackers to gain privileges if they control the value of the PATH environment variable. NOTE: this is disputed because ability of an attacker to control the environment is a site-specific misconfiguration.
Gravedad: Pendiente de análisis
Última modificación:
08/05/2026

CVE-2025-55449

Fecha de publicación:
08/05/2026
Idioma:
Inglés
*** Pendiente de traducción *** AstrBotDevs AstrBot 3.5.15 has Advanced_System_for_Text_Response_and_Bot_Operations_Tool as the hardcoded private key used to sign a JWT.
Gravedad CVSS v3.1: ALTA
Última modificación:
08/05/2026

CVE-2025-67886

Fecha de publicación:
08/05/2026
Idioma:
Inglés
*** Pendiente de traducción *** Bitrix24 through 25.100.300 allows Remote Code Execution because an actor with SOURCE/WRITE permissions for the Translate Module can upload and execute code by sending a PHP file and a .htaccess file. NOTE: this is disputed by the Supplier because this is intended behavior for the high-privileged users who can upload new translated pages to the website.
Gravedad CVSS v3.1: MEDIA
Última modificación:
08/05/2026

CVE-2025-69690

Fecha de publicación:
08/05/2026
Idioma:
Inglés
*** Pendiente de traducción *** Netgate pfSense CE 2.7.2 allows code execution by using the module installer with a backup file with a serialized PHP object containing the post_reboot_commands property. NOTE: the Supplier disputes this because this installer is only available to admins and they are intentionally allowed to execute PHP code.
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
08/05/2026

CVE-2025-69691

Fecha de publicación:
08/05/2026
Idioma:
Inglés
*** Pendiente de traducción *** Netgate pfSense CE 2.8.0 allows code execution in the XMLRPC API via pfsense.exec_php. NOTE: the Supplier disputes this because the API call is only available to admins and they are intentionally allowed to execute PHP code.
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
08/05/2026

CVE-2023-46453

Fecha de publicación:
08/05/2026
Idioma:
Inglés
*** Pendiente de traducción *** Certain GL.iNet devices with 4.x firmware allow authentication bypass (resulting in administrative control of the device) via a username that is both a valid SQL statement and a valid regular expression. For example, this affects version 4.3.7 on GL-MT3000 GL-AR300M GL-B1300 GL-AX1800 GL-AR750S GL-MT2500 GL-AXT1800 GL-X3000 and GL-SFT1200.
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
08/05/2026

CVE-2024-51092

Fecha de publicación:
08/05/2026
Idioma:
Inglés
*** Pendiente de traducción *** LibreNMS before 24.10.0 allows a remote attacker to execute arbitrary code via OS command injection involving AboutController.php's index(), SettingsController.php's update(), and PollDevice.php's initRrdDirectory().
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
08/05/2026

CVE-2024-53326

Fecha de publicación:
08/05/2026
Idioma:
Inglés
*** Pendiente de traducción *** LINQPad before 5.52.01 Pro edition is vulnerable to Unsafe Deserialization in LINQPad.AutoRefManager::PopulateFromCache(), leading to code execution.
Gravedad CVSS v3.1: ALTA
Última modificación:
08/05/2026

CVE-2024-27686

Fecha de publicación:
08/05/2026
Idioma:
Inglés
*** Pendiente de traducción *** Mikrotik RouterOS (x86) 6.40.5 through 6.49.10 (fixed in 7) allows a remote attacker to cause a denial of service (device crash) via crafted packet data to the SMB service on TCP port 445.
Gravedad CVSS v3.1: ALTA
Última modificación:
08/05/2026

CVE-2024-30167

Fecha de publicación:
08/05/2026
Idioma:
Inglés
*** Pendiente de traducción *** /cgi-bin/time.cgi in Atlona AT-OME-MS42 Matrix Switcher 1.1.2 allow remote authenticated users to execute arbitrary commands as root via a POST request that carries a serverName parameter.
Gravedad CVSS v3.1: MEDIA
Última modificación:
08/05/2026