Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las ultimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las ultimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las ultimas vulnerabilidades incorporadas al repositorio.

Vulnerabilidad en Wazuh (CVE-2025-24016)

Fecha de publicación:
10/02/2025
Idioma:
Español
Wazuh es una plataforma gratuita y de código abierto que se utiliza para la prevención, detección y respuesta ante amenazas. A partir de la versión 4.4.0 y antes de la versión 4.9.1, una vulnerabilidad de deserialización insegura permite la ejecución remota de código en servidores Wazuh. Los parámetros de DistributedAPI se serializan como JSON y se deserializan utilizando `as_wazuh_object` (en `framework/wazuh/core/cluster/common.py`). Si un atacante logra inyectar un diccionario no depurado en una solicitud/respuesta DAPI, puede falsificar una excepción no controlada (`__unhandled_exc__`) para evaluar código Python arbitrario. La vulnerabilidad puede ser activada por cualquier persona con acceso a la API (panel de control comprometido o servidores Wazuh en el clúster) o, en ciertas configuraciones, incluso por un agente comprometido. La versión 4.9.1 contiene una corrección.
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
24/10/2025

Vulnerabilidad en Webkul QloApps (CVE-2025-1155)

Fecha de publicación:
10/02/2025
Idioma:
Español
En Webkul QloApps 1.6.1 se ha detectado una vulnerabilidad clasificada como problemática que afecta a una parte desconocida del archivo /stores del componente Your Location Search. La manipulación provoca cross site scripting. Es posible iniciar el ataque de forma remota. Está previsto eliminar esta página a largo plazo.
Gravedad CVSS v4.0: MEDIA
Última modificación:
20/06/2025

Vulnerabilidad en NPM de perfood/couch-auth (CVE-2024-57177)

Fecha de publicación:
10/02/2025
Idioma:
Español
Existe una vulnerabilidad de inyección de encabezado de host en el paquete NPM de perfood/couch-auth <= 0.21.2. Al enviar un encabezado de host especialmente manipulado en la solicitud de confirmación de cambio de correo electrónico, es posible activar una SSTI que se puede aprovechar para ejecutar comandos limitados o filtrar información del lado del servidor.
Gravedad CVSS v3.1: ALTA
Última modificación:
17/12/2025

Vulnerabilidad en iPadOS y iOS (CVE-2025-24200)

Fecha de publicación:
10/02/2025
Idioma:
Español
Se solucionó un problema de autorización con una mejor gestión del estado. Este problema se solucionó en iPadOS 17.7.5, iOS 18.3.1 y iPadOS 18.3.1. Un ataque físico puede desactivar el modo restringido de USB en un dispositivo bloqueado. Apple tiene conocimiento de un informe que indica que este problema puede haber sido explotado en un ataque extremadamente sofisticado contra individuos específicos.
Gravedad CVSS v3.1: MEDIA
Última modificación:
04/11/2025

Vulnerabilidad en iOS, iPadOS, Safari, tvOS, watchOS, visionOS y macOS Sonoma (CVE-2024-54658)

Fecha de publicación:
10/02/2025
Idioma:
Español
El problema se solucionó mejorando la gestión de la memoria. Este problema se solucionó en iOS 17.4 y iPadOS 17.4, Safari 17.4, tvOS 17.4, watchOS 10.4, visionOS 1.1 y macOS Sonoma 14.4. El procesamiento de contenido web puede provocar una denegación de servicio.
Gravedad CVSS v3.1: MEDIA
Última modificación:
19/03/2025

Vulnerabilidad en endpoint /load-workflow de modelscope/agentscope (CVE-2024-8550)

Fecha de publicación:
10/02/2025
Idioma:
Español
Existe una vulnerabilidad de inclusión de archivos locales (LFI) en el endpoint /load-workflow de modelscope/agentscope versión v0.0.4. Esta vulnerabilidad permite a un atacante leer archivos arbitrarios del servidor, incluidos archivos confidenciales como claves de API, mediante la manipulación del parámetro filename. El problema surge debido a una depuración inadecuada de la entrada del usuario que se pasa a la función os.path.join, que se puede explotar para acceder a archivos fuera del directorio previsto.
Gravedad CVSS v3.1: ALTA
Última modificación:
30/07/2025

Vulnerabilidad en GNU Binutils 2.43/2.44 (CVE-2025-1153)

Fecha de publicación:
10/02/2025
Idioma:
Español
Se ha encontrado una vulnerabilidad clasificada como problemática en GNU Binutils 2.43/2.44. Esta vulnerabilidad afecta a la función bfd_set_format del archivo format.c. La manipulación provoca la corrupción de la memoria. El ataque puede ejecutarse de forma remota. La complejidad de un ataque es bastante alta. La explotación parece ser difícil. La actualización a la versión 2.45 puede solucionar este problema. El identificador del parche es 8d97c1a53f3dc9fd8e1ccdb039b8a33d50133150. Se recomienda actualizar el componente afectado.
Gravedad CVSS v4.0: BAJA
Última modificación:
04/04/2025

Vulnerabilidad en Tenda W18E V16.01.0.8(1625) (CVE-2024-46436)

Fecha de publicación:
10/02/2025
Idioma:
Español
Las credenciales codificadas en Tenda W18E V16.01.0.8(1625) permiten a atacantes remotos no autenticados obtener acceso de superusuario al dispositivo a través del servicio telnet.
Gravedad CVSS v3.1: ALTA
Última modificación:
25/03/2025

Vulnerabilidad en Tenda W18E V16.01.0.8(1625) (CVE-2024-46437)

Fecha de publicación:
10/02/2025
Idioma:
Español
Una vulnerabilidad de divulgación de información confidencial en el portal de administración web Tenda W18E V16.01.0.8(1625) permite a un atacante remoto no autenticado recuperar información de configuración confidencial, incluido el SSID de WiFi, la contraseña de WiFi y las credenciales de administrador codificadas en base64, enviando una solicitud HTTP POST especialmente manipulada a la función getQuickCfgWifiAndLogin, eludiendo los controles de autenticación.
Gravedad CVSS v3.1: MEDIA
Última modificación:
25/03/2025

Vulnerabilidad en OPC UA .NET Standard Stack (CVE-2024-42513)

Fecha de publicación:
10/02/2025
Idioma:
Español
Una vulnerabilidad en OPC UA .NET Standard Stack anterior a 1.5.374.158 permite que un atacante no autorizado eluda la autenticación de la aplicación cuando utiliza endpoints HTTPS.
Gravedad CVSS v3.1: MEDIA
Última modificación:
02/10/2025

Vulnerabilidad en Tenda W18E V16.01.0.8(1625) (CVE-2024-46429)

Fecha de publicación:
10/02/2025
Idioma:
Español
Una vulnerabilidad de credenciales codificadas en Tenda W18E V16.01.0.8(1625) permite a atacantes remotos no autenticados acceder al portal de administración web utilizando una cuenta de invitado predeterminada con privilegios administrativos.
Gravedad CVSS v3.1: ALTA
Última modificación:
28/03/2025

Vulnerabilidad en Tenda W18E V16.01.0.8(1625) (CVE-2024-46430)

Fecha de publicación:
10/02/2025
Idioma:
Español
Tenda W18E V16.01.0.8(1625) es vulnerable a un control de acceso incorrecto. El cambio de contraseña no autorizado a través del portal de administración web permite que un atacante remoto no autenticado cambie la contraseña del administrador mediante el envío de una solicitud HTTP POST especialmente manipulada a la función setLoginPassword, omitiendo así el mecanismo de autenticación.
Gravedad CVSS v3.1: MEDIA
Última modificación:
25/03/2025