Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las ultimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las ultimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las ultimas vulnerabilidades incorporadas al repositorio.

Vulnerabilidad en Tesla Model S (CVE-2024-6029)

Fecha de publicación:

30/04/2025

Idioma:

Español

Vulnerabilidad de elusión del firewall en condiciones de ejecución del módem Iris del Tesla Model S. Esta vulnerabilidad permite a atacantes adyacentes a la red eludir el firewall del módem Iris en los vehículos Tesla Model S afectados. No se requiere autenticación para explotar esta vulnerabilidad. La falla específica existe en el servicio de firewall. El problema se debe a un fallo al obtener el bloqueo de xtables. Un atacante puede aprovechar esta vulnerabilidad para eludir las reglas del firewall. Anteriormente, se denominaba ZDI-CAN-23197.

Gravedad CVSS v3.1: MEDIA

Última modificación:

12/08/2025

Vulnerabilidad en SMA1000 Appliance Work Place (CVE-2025-2170)

Fecha de publicación:

30/04/2025

Idioma:

Español

Se ha identificado una vulnerabilidad de Server-side request forgery (SSRF) en la interfaz SMA1000 Appliance Work Place, que en condiciones específicas podría permitir que un atacante remoto no autenticado haga que el dispositivo realice solicitudes a una ubicación no deseada.

Gravedad CVSS v3.1: ALTA

Última modificación:

14/05/2025

Vulnerabilidad en OpenCTI (CVE-2025-24887)

Fecha de publicación:

30/04/2025

Idioma:

Español

OpenCTI es una plataforma de inteligencia de ciberamenazas de código abierto. En versiones desde la 6.4.8 hasta anteriores a la 6.4.10, se pueden omitir las listas de permitidos/denegados, lo que permite al usuario cambiar atributos que no se deben modificar. Es posible activar o desactivar la opción "external" y cambiar el valor del token de un usuario. También es posible editar atributos que no están en la lista de permitidos, como "otp_qr" y "otp_activated". Si existen usuarios externos en la configuración de OpenCTI y la información sobre sus identidades es confidencial, las vulnerabilidades mencionadas anteriormente se pueden utilizar para enumerar las cuentas de usuario existentes como un usuario estándar con privilegios bajos. Este problema se ha corregido en la versión 6.4.10.

Gravedad CVSS v3.1: MEDIA

Última modificación:

19/05/2025

Vulnerabilidad en Volcano (CVE-2025-32777)

Fecha de publicación:

30/04/2025

Idioma:

Español

Volcano es un sistema de programación por lotes nativo de Kubernetes. En versiones anteriores a las 1.11.2, 1.10.2, 1.9.1, 1.11.0-network-topology-preview.3 y 1.12.0-alpha.2, si un atacante vulneraba el servicio Elastic o el complemento de extensión, podía provocar una denegación de servicio del programador. Esto supone una escalada de privilegios, ya que los usuarios de Volcano pueden ejecutar su servicio Elastic y los complementos de extensión en pods o nodos separados del programador. En el modelo de seguridad de Kubernetes, el aislamiento de nodos es un límite de seguridad y, por lo tanto, un atacante puede cruzarlo en el caso de Volcano si ha comprometido los servicios vulnerables o el pod/nodo en el que están implementados. El programador dejará de estar disponible para otros usuarios y cargas de trabajo del clúster. El programador se bloqueará con un pánico de OOM irrecuperable o se congelará consumiendo cantidades excesivas de memoria. Este problema se ha solucionado en las versiones 1.11.2, 1.10.2, 1.9.1, 1.11.0-network-topology-preview.3 y 1.12.0-alpha.2.

Gravedad CVSS v4.0: ALTA

Última modificación:

02/05/2025

Vulnerabilidad en XWiki (CVE-2025-46554)

Fecha de publicación:

30/04/2025

Idioma:

Español

XWiki es una plataforma wiki genérica. En las versiones 1.8.1 y anteriores a la 14.10.22, 15.0-rc-1 y anteriores a la 15.10.12, 16.0.0-rc-1 y anteriores a la 16.4.3, y 16.5.0-rc-1 y anteriores a la 16.7.0, cualquier persona puede acceder a los metadatos de cualquier adjunto en la wiki mediante el endpoint de acceso REST de adjuntos de la wiki. No se filtran los resultados según los permisos de usuario, lo que significa que un usuario no autenticado podría explotar esta vulnerabilidad incluso en una wiki privada. Este problema se ha corregido en las versiones 14.10.22, 15.10.12, 16.4.3 y 16.7.0.

Gravedad CVSS v3.1: MEDIA

Última modificación:

03/09/2025

Vulnerabilidad en XWiki (CVE-2025-46557)

Fecha de publicación:

30/04/2025

Idioma:

Español

XWiki es una plataforma wiki genérica. En las versiones 15.3-rc-1 y anteriores a la 15.10.14, 16.0.0-rc-1 y anteriores a la 16.4.6, y 16.5.0-rc-1 y anteriores a la 16.10.0-rc-1, un usuario con acceso a páginas del espacio XWiki (por defecto, cualquiera) puede acceder a la página XWiki.Authentication.Administration y (a menos que se configure un autenticador en xwiki.cfg) cambiar a otro autenticador instalado. Tenga en cuenta que, por defecto, solo hay un autenticador disponible (el autenticador estándar de XWiki). Por lo tanto, si no se instaló ninguna extensión de autenticador, no es posible hacer nada contra un atacante. Además, en la mayoría de los casos, si se instala y utiliza un autenticador SSO (como OIDC o LDAP, por ejemplo), lo peor que puede hacer un atacante es interrumpir la autenticación volviendo al autenticador estándar (esto se debe a que es imposible iniciar sesión con un usuario sin una contraseña guardada, y eso es lo que suele producir el autenticador SSO). Este problema se ha corregido en las versiones 15.10.14, 16.4.6 y 16.10.0-rc-1.

Gravedad CVSS v4.0: ALTA

Última modificación:

03/09/2025

Vulnerabilidad en XWiki Contrib&#39;s Syntax Markdown (CVE-2025-46558)

Fecha de publicación:

30/04/2025

Idioma:

Español

XWiki Contrib&#39;s Syntax Markdown permite importar contenido Markdown a páginas wiki y crear contenido wiki en Markdown. En versiones desde la 8.2 hasta anteriores a la 8.9, la sintaxis Markdown es vulnerable a ataques de cross-site scripting (XSS) a través de HTML. En particular, al usar la sintaxis Markdown, cualquier usuario puede incrustar código Javascript que se ejecutará en el navegador de cualquier otro usuario que visite el documento o el comentario que lo contiene. Si este código lo ejecuta un usuario con permisos de administrador o programación, este problema compromete la confidencialidad, integridad y disponibilidad de toda la instalación de XWiki. Este problema se ha corregido en la versión 8.9.

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

26/08/2025

Vulnerabilidad en OpenFGA (CVE-2025-46331)

Fecha de publicación:

30/04/2025

Idioma:

Español

OpenFGA es un motor de autorización y permisos flexible y de alto rendimiento, diseñado para desarrolladores e inspirado en Google Zanzibar. Las versiones de OpenFGA v1.8.10 a v1.3.6 (Helm chart &lt;= openfga-0.2.28, docker &lt;= v.1.8.10) son vulnerables a la omisión de la autorización al ejecutar ciertas llamadas a Check y ListObject. Este problema se ha corregido en la versión 1.8.11.

Gravedad CVSS v4.0: MEDIA

Última modificación:

31/12/2025

Vulnerabilidad en software ANC (CVE-2024-47784)

Fecha de publicación:

30/04/2025

Idioma:

Español

Cambio de contraseña no verificado para el software ANC que permite a un atacante autenticado eludir la verificación de contraseña antigua en el formulario de cambio de contraseña a través de una HMI web. Este problema afecta a la versión 1.1.4 y anteriores del software ANC.

Gravedad CVSS v4.0: BAJA

Última modificación:

02/05/2025

Vulnerabilidad en ABB ANC, ABB ANC-L, ABB ANC-mini (CVE-2024-9876)

Fecha de publicación:

30/04/2025

Idioma:

Español

:Vulnerabilidad de modificación de datos asumidos inmutables (MAID) en ABB ANC, ABB ANC-L, ABB ANC-mini. Este problema afecta a ANC: hasta la versión 1.1.4; ANC-L: hasta la versión 1.1.4; ANC-mini: hasta la versión 1.1.4.

Gravedad CVSS v4.0: ALTA

Última modificación:

02/05/2025

Vulnerabilidad en ABB ANC, ABB ANC-L, ABB ANC-mini (CVE-2024-9877)

Fecha de publicación:

30/04/2025

Idioma:

Español

:Vulnerabilidad en el uso del método de solicitud GET con cadenas de consulta sensibles en ABB ANC, ABB ANC-L, ABB ANC-mini. Este problema afecta a ANC: hasta 1.1.4; ANC-L: hasta 1.1.4; ANC-mini: hasta 1.1.4.

Gravedad CVSS v4.0: MEDIA

Última modificación:

02/05/2025

Vulnerabilidad en Couchbase Server (CVE-2025-46619)

Fecha de publicación:

30/04/2025

Idioma:

Español

Se descubrió un problema de seguridad en Couchbase Server antes de la versión 7.6.4, corregido en las versiones 7.6.4 y 7.2.7 para Windows, que podría permitir el acceso no autorizado a archivos confidenciales. Según el nivel de privilegios, esta vulnerabilidad puede otorgar acceso a archivos como /etc/passwd o /etc/shadow.

Gravedad CVSS v3.1: ALTA

Última modificación:

13/05/2025