Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las ultimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las ultimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las ultimas vulnerabilidades incorporadas al repositorio.

Vulnerabilidad en Esri ArcGIS Pro (CVE-2025-1067)

Fecha de publicación:

25/02/2025

Idioma:

Español

Existe una vulnerabilidad de ruta de búsqueda no confiable en Esri ArcGIS Pro 3.3 y 3.4 que puede permitir que un atacante con pocos privilegios y privilegios de escritura en el sistema de archivos local introduzca un ejecutable malicioso en el sistema de archivos. Cuando la víctima realiza una acción específica con ArcGIS Pro, el archivo podría ejecutar comandos maliciosos en el contexto de la víctima. Este problema se soluciona en ArcGIS Pro 3.3.3 y 3.4.1.

Gravedad CVSS v3.1: ALTA

Última modificación:

20/06/2025

Vulnerabilidad en Esri ArcGIS AllSource (CVE-2025-1068)

Fecha de publicación:

25/02/2025

Idioma:

Español

Existe una vulnerabilidad de ruta de búsqueda no confiable en Esri ArcGIS AllSource 1.2 y 1.3 que puede permitir que un atacante con pocos privilegios y con privilegios de escritura en el sistema de archivos local introduzca un ejecutable malicioso en el sistema de archivos. Cuando la víctima realiza una acción específica con ArcGIS AllSource, el archivo podría ejecutar comandos maliciosos en el contexto de la víctima. Este problema se corrigió en ArcGIS AllSource 1.2.1 y 1.3.1.

Gravedad CVSS v3.1: ALTA

Última modificación:

20/06/2025

Vulnerabilidad en X.Org y Xwayland (CVE-2025-26599)

Fecha de publicación:

25/02/2025

Idioma:

Español

Se encontró un error en el acceso a un puntero no inicializado en X.Org y Xwayland. La función compCheckRedirect() puede fallar si no puede asignar el mapa de píxeles de respaldo. En ese caso, compRedirectWindow() devolverá un error BadAlloc sin validar el árbol de ventanas marcado justo antes, lo que deja los datos validados parcialmente inicializados y el uso de un puntero no inicializado más adelante.

Gravedad CVSS v3.1: ALTA

Última modificación:

03/11/2025

Vulnerabilidad en X.Org y Xwayland (CVE-2025-26600)

Fecha de publicación:

25/02/2025

Idioma:

Español

Se encontró una falla de use-after-free en X.Org y Xwayland. Cuando se elimina un dispositivo mientras aún está congelado, los eventos en cola para ese dispositivo permanecen mientras se libera el dispositivo. La reproducción de los eventos provocará un use-after-free.

Gravedad CVSS v3.1: ALTA

Última modificación:

03/11/2025

Vulnerabilidad en X.Org y Xwayland (CVE-2025-26601)

Fecha de publicación:

25/02/2025

Idioma:

Español

Se encontró una falla de use-after-free en X.Org y Xwayland. Al cambiar una alarma, los valores de la máscara de cambio se evalúan uno tras otro, cambiando los valores de activación según lo solicitado y, finalmente, se llama a SyncInitTrigger(). Si uno de los cambios activa un error, la función regresará antes, sin agregar el nuevo objeto de sincronización, lo que posiblemente cause un use-after-free cuando finalmente se active la alarma.

Gravedad CVSS v3.1: ALTA

Última modificación:

03/11/2025

Vulnerabilidad en GLPI (CVE-2025-23024)

Fecha de publicación:

25/02/2025

Idioma:

Español

GLPI es un paquete de software gratuito de gestión de activos y TI. A partir de la versión 0.72 y antes de la versión 10.0.18, un usuario anónimo puede desactivar todos los complementos activos. La versión 10.0.18 contiene un parche. Como workaround, se puede eliminar el archivo `install/update.php`.

Gravedad CVSS v4.0: MEDIA

Última modificación:

04/03/2025

Vulnerabilidad en X.Org y Xwayland (CVE-2025-26594)

Fecha de publicación:

25/02/2025

Idioma:

Español

Se encontró una falla de use-after-free en X.Org y Xwayland. El cursor raíz se referencia en el servidor X como una variable global. Si un cliente libera el cursor raíz, la referencia interna apunta a la memoria liberada y provoca un use-after-free.

Gravedad CVSS v3.1: ALTA

Última modificación:

03/11/2025

Vulnerabilidad en X.Org y Xwayland (CVE-2025-26595)

Fecha de publicación:

25/02/2025

Idioma:

Español

Se encontró una falla de desbordamiento de búfer en X.Org y Xwayland. El código en XkbVModMaskText() asigna un búfer de tamaño fijo en la pila y copia los nombres de los modificadores virtuales en ese búfer. El código no verifica los límites del búfer y copia los datos independientemente del tamaño.

Gravedad CVSS v3.1: ALTA

Última modificación:

03/11/2025

Vulnerabilidad en X.Org y Xwayland (CVE-2025-26596)

Fecha de publicación:

25/02/2025

Idioma:

Español

Se encontró una falla de desbordamiento de búfer en X.Org y Xwayland. El cálculo de la longitud en XkbSizeKeySyms() difiere de lo que está escrito en XkbWriteKeySyms(), lo que puede provocar un desbordamiento de búfer en el búfer.

Gravedad CVSS v3.1: ALTA

Última modificación:

03/11/2025

Vulnerabilidad en X.Org y Xwayland (CVE-2025-26597)

Fecha de publicación:

25/02/2025

Idioma:

Español

Se encontró una falla de desbordamiento de búfer en X.Org y Xwayland. Si se llama a XkbChangeTypesOfKey() con un grupo 0, cambiará el tamaño de la tabla de símbolos de teclas a 0, pero dejará las acciones de teclas sin cambios. Si luego se llama a la misma función con un valor de grupos distinto de cero, esto provocará un desbordamiento de búfer porque las acciones de teclas tienen un tamaño incorrecto.

Gravedad CVSS v3.1: ALTA

Última modificación:

03/11/2025

Vulnerabilidad en X.Org y Xwayland (CVE-2025-26598)

Fecha de publicación:

25/02/2025

Idioma:

Español

Se encontró una falla de escritura fuera de los límites en X.Org y Xwayland. La función GetBarrierDevice() busca el dispositivo puntero en función de su ID de dispositivo y devuelve el valor coincidente, o supuestamente NULL, si no se encuentra ninguna coincidencia. Sin embargo, el código devolverá el último elemento de la lista si no se encuentra ninguna ID de dispositivo coincidente, lo que puede provocar un acceso a la memoria fuera de los límites.

Gravedad CVSS v3.1: ALTA

Última modificación:

03/11/2025

Vulnerabilidad en GLPI (CVE-2024-11955)

Fecha de publicación:

25/02/2025

Idioma:

Español

Se ha detectado una vulnerabilidad en GLPI hasta la versión 10.0.17. Se ha declarado como problemática. Esta vulnerabilidad afecta a una funcionalidad desconocida del archivo /index.php. La manipulación del argumento redirect provoca una redirección abierta. El ataque se puede ejecutar de forma remota. El exploit se ha hecho público y puede utilizarse. La actualización a la versión 10.0.18 puede solucionar este problema. Se recomienda actualizar el componente afectado.

Gravedad CVSS v4.0: MEDIA

Última modificación:

04/03/2025

Suscribirse a Vulnerabilidades