Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las últimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las últimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las últimas vulnerabilidades incorporadas al repositorio.

Vulnerabilidad en KUNBUS PiCtory (CVE-2025-36558)

Fecha de publicación:

01/05/2025

Idioma:

Español

KUNBUS PiCtory versión 2.11.1 y anteriores son vulnerables a ataques de cross-site scripting mediante el token sso_token utilizado para la autenticación. Si un atacante proporciona al usuario una URL de PiCtory que contiene un script HTML como token sso_token, dicho script responderá al usuario y se ejecutará.

Gravedad CVSS v4.0: MEDIA

Última modificación:

15/04/2026

Vulnerabilidad en KUNBUS Revolution Pi OS Bookworm 01/2025 (CVE-2025-24522)

Fecha de publicación:

01/05/2025

Idioma:

Español

KUNBUS Revolution Pi OS Bookworm 01/2025 es vulnerable porque la autenticación no está configurada por defecto para el servidor Node-RED. Esto puede otorgar a un atacante remoto no autenticado acceso total al servidor Node-RED, donde puede ejecutar comandos arbitrarios en el sistema operativo subyacente.

Gravedad CVSS v4.0: CRÍTICA

Última modificación:

15/04/2026

Vulnerabilidad en KUNBUS PiCtory (CVE-2025-32011)

Fecha de publicación:

01/05/2025

Idioma:

Español

Las versiones 2.5.0 a 2.11.1 de KUNBUS PiCtory tienen una vulnerabilidad de omisión de autenticación donde un atacante remoto puede omitir la autenticación para obtener acceso debido a path traversal.

Gravedad CVSS v4.0: CRÍTICA

Última modificación:

15/04/2026

Vulnerabilidad en MicroDicom DICOM Viewer (CVE-2025-35975)

Fecha de publicación:

01/05/2025

Idioma:

Español

MicroDicom DICOM Viewer es vulnerable a una escritura fuera de los límites, lo que podría permitir que un atacante ejecute código arbitrario. El usuario debe abrir un archivo DCM malicioso para explotar esta vulnerabilidad.

Gravedad CVSS v4.0: ALTA

Última modificación:

15/04/2026

Vulnerabilidad en LLama Factory (CVE-2025-46567)

Fecha de publicación:

01/05/2025

Idioma:

Español

LLama Factory permite el ajuste fino de modelos de lenguaje grandes. Antes de la versión 1.0.0, existía una vulnerabilidad crítica en el script `llamafy_baichuan2.py` del proyecto LLaMA-Factory. Este script realiza una deserialización insegura mediante `torch.load()` en archivos `.bin` proporcionados por el usuario desde un directorio de entrada. Un atacante puede explotar este comportamiento manipulando un archivo `.bin` malicioso que ejecute comandos arbitrarios durante la deserialización. Este problema se ha corregido en la versión 1.0.0.

Gravedad CVSS v3.1: MEDIA

Última modificación:

17/06/2025

Vulnerabilidad en Stirling-PDF (CVE-2025-46568)

Fecha de publicación:

01/05/2025

Idioma:

Español

Stirling-PDF es una aplicación web alojada localmente que permite realizar diversas operaciones con archivos PDF. Antes de la versión 0.45.0, Stirling-PDF era vulnerable a la lectura arbitraria de archivos inducida por SSRF. WeasyPrint redefine un conjunto de etiquetas HTML, como img, embed, object y otras. Las referencias a varios archivos que contiene permiten adjuntar contenido de cualquier página web o archivo local a un PDF. Esto permite al atacante leer cualquier archivo del servidor, incluyendo archivos confidenciales y de configuración. Todos los usuarios que utilicen esta función se verán afectados. Este problema se ha corregido en la versión 0.45.0.

Gravedad CVSS v4.0: ALTA

Última modificación:

06/02/2026

Vulnerabilidad en Tenda W20E V15.11.0.6 (CVE-2025-44865)

Fecha de publicación:

01/05/2025

Idioma:

Español

Se descubrió que Tenda W20E V15.11.0.6 contenía una vulnerabilidad de inyección de comandos en la función formSetDebugCfg mediante el parámetro enable. Esta vulnerabilidad permite a los atacantes ejecutar comandos arbitrarios mediante una solicitud manipulada.

Gravedad CVSS v3.1: MEDIA

Última modificación:

27/05/2025

Vulnerabilidad en Tenda W20E V15.11.0.6 (CVE-2025-44866)

Fecha de publicación:

01/05/2025

Idioma:

Español

Se detectó que Tenda W20E V15.11.0.6 contenía una vulnerabilidad de inyección de comandos en la función formSetDebugCfg mediante el parámetro level. Esta vulnerabilidad permite a los atacantes ejecutar comandos arbitrarios mediante una solicitud manipulada.

Gravedad CVSS v3.1: MEDIA

Última modificación:

27/05/2025

Vulnerabilidad en Tenda W20E V15.11.0.6 (CVE-2025-44867)

Fecha de publicación:

01/05/2025

Idioma:

Español

Se descubrió que Tenda W20E V15.11.0.6 contenía una vulnerabilidad de inyección de comandos en la función formSetNetCheckTools mediante el parámetro hostName. Esta vulnerabilidad permite a los atacantes ejecutar comandos arbitrarios mediante una solicitud manipulada.

Gravedad CVSS v3.1: MEDIA

Última modificación:

27/05/2025

Vulnerabilidad en Vite (CVE-2025-46565)

Fecha de publicación:

01/05/2025

Idioma:

Español

Vite es un framework de herramientas frontend para JavaScript. En versiones anteriores a las 6.3.4, 6.2.7, 6.1.6, 5.4.19 y 4.5.14, el contenido de los archivos en la root del proyecto que se deniegan por un patrón de coincidencia de archivos se puede devolver al navegador. Solo las aplicaciones que exponen explícitamente el servidor de desarrollo de Vite a la red (mediante la opción de configuración --host o server.host) se ven afectadas. Solo se pueden omitir los archivos que se encuentran en la root del proyecto y se deniegan por un patrón de coincidencia de archivos. `server.fs.deny` puede contener patrones que coinciden con archivos (por defecto, incluye .env, .env.*, *.{crt,pem} como tales patrones). Estos patrones se podían omitir para los archivos en `root` mediante una combinación de barra diagonal y punto (/.). Este problema se ha solucionado en las versiones 6.3.4, 6.2.7, 6.1.6, 5.4.19 y 4.5.14.

Gravedad CVSS v4.0: MEDIA

Última modificación:

02/10/2025

Vulnerabilidad en DataEase (CVE-2025-46566)

Fecha de publicación:

01/05/2025

Idioma:

Español

DataEase es una herramienta de inteligencia empresarial (BI) de código abierto alternativa a Tableau. Antes de la versión 2.10.9, los usuarios autenticados podían completar RCE mediante el enlace JDBC del backend. Este problema se ha corregido en la versión 2.10.9.

Gravedad CVSS v4.0: MEDIA

Última modificación:

28/05/2025

Vulnerabilidad en ADOdb (CVE-2025-46337)

Fecha de publicación:

01/05/2025

Idioma:

Español

ADOdb es una librería de clases de bases de datos PHP que proporciona abstracciones para realizar consultas y administrar bases de datos. Antes de la versión 5.22.9, el escape incorrecto de un parámetro de consulta podía permitir que un atacante ejecutara sentencias SQL arbitrarias cuando el código que usa ADOdb se conecta a una base de datos PostgreSQL e invoca pg_insert_id() con datos proporcionados por el usuario. Este problema se ha corregido en la versión 5.22.9.

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

15/04/2026

Suscribirse a Vulnerabilidades