Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las ultimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las ultimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las ultimas vulnerabilidades incorporadas al repositorio.

Vulnerabilidad en student-manage 1 (CVE-2025-29504)

Fecha de publicación:
03/04/2025
Idioma:
Español
La vulnerabilidad de permiso inseguro en student-manage 1 permite a un atacante local escalar privilegios a través de la verificación de permiso inseguro.
Gravedad CVSS v3.1: ALTA
Última modificación:
15/10/2025

Vulnerabilidad en TOTOLINK x18 v.9.1.0cu.2024_B20220329 (CVE-2025-29064)

Fecha de publicación:
03/04/2025
Idioma:
Español
Un problema en TOTOLINK x18 v.9.1.0cu.2024_B20220329 permite que un atacante remoto ejecute código arbitrario a través de la función sub_410E54 de cstecgi.cgi.
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
29/04/2025

Vulnerabilidad en Tenda Ac15 V15.13.07.13 (CVE-2025-29462)

Fecha de publicación:
03/04/2025
Idioma:
Español
Se ha descubierto una vulnerabilidad de desbordamiento de búfer en Tenda Ac15 V15.13.07.13. La vulnerabilidad se produce cuando la función webCgiGetUploadFile llama a la función socketRead para procesar mensajes de solicitud HTTP, lo que provoca la sobrescritura de un búfer en la pila.
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
22/04/2025

Vulnerabilidad en Shenzhen Libituo Technology Co., Ltd LBT-T300-T400 v3.2 (CVE-2025-29570)

Fecha de publicación:
03/04/2025
Idioma:
Español
Un problema en Shenzhen Libituo Technology Co., Ltd LBT-T300-T400 v3.2 permite que un atacante local escale privilegios a través de la función tftp_image_check de un binario llamado rc.
Gravedad CVSS v3.1: ALTA
Última modificación:
20/08/2025

Vulnerabilidad en Gladinet CentreStack (CVE-2025-30406)

Fecha de publicación:
03/04/2025
Idioma:
Español
Gladinet CentreStack hasta la versión 16.1.10296.56315 (solucionada en la versión 16.4.10315.56368) presenta una vulnerabilidad de deserialización debido al uso de la clave de máquina (machineKey) codificada de forma rígida en el portal de CentreStack, explotada in situ en marzo de 2025. Esto permite a los actores de amenazas (que conocen la clave de máquina) serializar un payload para la deserialización del servidor y lograr la ejecución remota de código. NOTA: Un administrador de CentreStack puede eliminar manualmente la clave de máquina definida en portal\web.config.
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
05/11/2025

Vulnerabilidad en Insightsoftware Spark JDBC 2.6.21 (CVE-2024-45198)

Fecha de publicación:
03/04/2025
Idioma:
Español
Insightsoftware Spark JDBC 2.6.21 presenta una vulnerabilidad de ejecución remota de código. Los atacantes pueden inyectar parámetros maliciosos en la URL de JDBC, lo que activa la inyección JNDI durante el proceso cuando el controlador JDBC utiliza esta URL para conectarse a la base de datos. Esto puede provocar la ejecución remota de código.
Gravedad CVSS v3.1: ALTA
Última modificación:
07/04/2025

Vulnerabilidad en Netwrix Password Secure (CVE-2025-26817)

Fecha de publicación:
03/04/2025
Idioma:
Español
Netwrix Password Secure 9.2.0.32454 permite la inyección de comandos del sistema operativo.
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
28/05/2025

Vulnerabilidad en Netwrix Password Secure (CVE-2025-26818)

Fecha de publicación:
03/04/2025
Idioma:
Español
Netwrix Password Secure hasta la versión 9.2 permite la inyección de comandos.
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
08/04/2025

Vulnerabilidad en Project Worlds Online Lawyer Management System 1.0 (CVE-2025-3175)

Fecha de publicación:
03/04/2025
Idioma:
Español
Se encontró una vulnerabilidad en Project Worlds Online Lawyer Management System 1.0, clasificada como crítica. Este problema afecta a una funcionalidad desconocida del archivo /save_user_edit_profile.php. La manipulación del argumento first_Name provoca una inyección SQL. El ataque puede ejecutarse remotamente. Se ha hecho público el exploit y puede que sea utilizado.
Gravedad CVSS v4.0: MEDIA
Última modificación:
15/05/2025

Vulnerabilidad en Project Worlds Online Lawyer Management System 1.0 (CVE-2025-3174)

Fecha de publicación:
03/04/2025
Idioma:
Español
Se ha detectado una vulnerabilidad en Project Worlds Online Lawyer Management System 1.0, clasificada como crítica. Esta vulnerabilidad afecta a una funcionalidad desconocida del archivo /searchLawyer.php. La manipulación de la experiencia de argumentos provoca una inyección SQL. El ataque puede ejecutarse remotamente. Se ha hecho público el exploit y puede que sea utilizado.
Gravedad CVSS v4.0: MEDIA
Última modificación:
23/04/2025

Vulnerabilidad en JIRA de XWiki (CVE-2025-31487)

Fecha de publicación:
03/04/2025
Idioma:
Español
La extensión JIRA de XWiki proporciona varios puntos de integración entre XWiki y JIRA (macros, interfaz de usuario, complemento CKEditor). Si la macro de JIRA está instalada, cualquier usuario de XWiki que haya iniciado sesión podría editar la página wiki de su perfil y usarla, especificando una URL falsa de JIRA que devuelve un XML con un DOCTYPE que apunta a un archivo local en el servidor de XWiki y muestra el contenido de dicho archivo en uno de los campos de JIRA devueltos (como el resumen o la descripción, por ejemplo). Esta vulnerabilidad se ha corregido en la extensión JIRA v8.6.5.
Gravedad CVSS v3.1: ALTA
Última modificación:
07/04/2025

Vulnerabilidad en Project Worlds Online Lawyer Management System 1.0 (CVE-2025-3173)

Fecha de publicación:
03/04/2025
Idioma:
Español
Se encontró una vulnerabilidad clasificada como crítica en Project Worlds Online Lawyer Management System 1.0. La función afectada es una función desconocida del archivo /save_booking.php. La manipulación del argumento lawyer_id provoca una inyección SQL. Es posible ejecutar el ataque de forma remota. Se ha hecho público el exploit y puede que sea utilizado.
Gravedad CVSS v4.0: MEDIA
Última modificación:
27/09/2025