Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las últimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las últimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las últimas vulnerabilidades incorporadas al repositorio.

Vulnerabilidad en kernel de Linux (CVE-2024-58096)

Fecha de publicación:

16/04/2025

Idioma:

Español

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: wifi: ath11k: añadir srng-&gt;lock para ath11k_hal_srng_* en modo monitor. ath11k_hal_srng_* debe usarse con srng-&gt;lock para proteger los datos de srng. Para ath11k_dp_rx_mon_dest_process() y ath11k_dp_full_mon_process_rx(), usan ath11k_hal_srng_* repetidamente, pero nunca llaman a srng-&gt;lock. Por lo tanto, al ejecutar el modo monitor (completo), se mostrará la advertencia: RIP: 0010:ath11k_hal_srng_dst_peek+0x18/0x30 [ath11k] Seguimiento de llamadas: ? ath11k_hal_srng_dst_peek+0x18/0x30 [ath11k] ath11k_dp_rx_process_mon_status+0xc45/0x1190 [ath11k] ? idr_alloc_u32+0x97/0xd0 ath11k_dp_rx_process_mon_rings+0x32a/0x550 [ath11k] ath11k_dp_service_srng+0x289/0x5a0 [ath11k] ath11k_pcic_ext_grp_napi_poll+0x30/0xd0 [ath11k] __napi_poll+0x30/0x1f0 net_rx_action+0x198/0x320 __do_softirq+0xdd/0x319 Por lo tanto, agregue srng-&gt;lock para evitar estas advertencias. Para obtener srng-&gt;lock, debe cambiar la definición de srng de &#39;void&#39; a &#39;struct hal_srng&#39;. Inicialícelos en otro lugar para evitar que una línea de código sea demasiado larga. Esto es coherente con otras funciones de proceso de anillo, como ath11k_dp_process_rx(). Probado en: WCN6855 hw2.0 PCI WLAN.HSP.1.1-03125-QCAHSPSWPL_V1_V2_SILICONZ_LITE-3.6510.30 Probado en: QCN9074 hw1.0 PCI WLAN.HK.2.7.0.1-01744-QCAHKSWPL_SILICONZ-1

Gravedad CVSS v3.1: MEDIA

Última modificación:

06/04/2026

Vulnerabilidad en kernel de Linux (CVE-2024-58097)

Fecha de publicación:

16/04/2025

Idioma:

Español

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: wifi: ath11k: corrección del bloqueo de la RCU al extraer el anillo de destino del monitor. Al procesar el anillo de destino del monitor, se extraen las MSDU del descriptor de enlace según el buf_id correspondiente. Sin embargo, en ocasiones, el controlador no puede obtener un búfer válido que corresponda al buf_id recibido del hardware. Esto provoca un bucle infinito en el procesamiento del destino, lo que provoca un fallo del kernel. registro del núcleo: ath11k_pci 0000:58:00.0: datos msdu_pop: buf_id 309 no válido ath11k_pci 0000:58:00.0: datos dp_rx_monitor_link_desc_return fallaron ath11k_pci 0000:58:00.0: datos msdu_pop: buf_id 309 no válido ath11k_pci 0000:58:00.0: datos dp_rx_monitor_link_desc_return fallaron Solucione esto omitiendo el buf_id problemático y cosechando la siguiente entrada, reemplazando el salto con el siguiente procesamiento de MSDU. Probado en: WCN6855 hw2.0 PCI WLAN.HSP.1.1-03125-QCAHSPSWPL_V1_V2_SILICONZ_LITE-3.6510.30 Probado en: QCN9074 hw1.0 PCI WLAN.HK.2.7.0.1-01744-QCAHKSWPL_SILICONZ-1

Gravedad CVSS v3.1: MEDIA

Última modificación:

06/04/2026

Vulnerabilidad en kernel de Linux (CVE-2023-53034)

Fecha de publicación:

16/04/2025

Idioma:

Español

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: ntb_hw_switchtec: Se corrige el desplazamiento fuera de los límites en switchtec_ntb_mw_set_trans. Existe una API del kernel ntb_mw_clear_trans() que pasaría 0 tanto a addr como a size. Esto haría que xlate_pos fuera negativo. [ 23.734156] switchtec switchtec0: MW 0: parte 0 addr 0x0000000000000000 tamaño 0x0000000000000000 [ 23.734158] ======================================================================================== [ 23.734172] UBSAN: desplazamiento fuera de los límites en drivers/ntb/hw/mscc/ntb_hw_switchtec.c:293:7 [ 23.734418] el exponente de desplazamiento -1 es negativo. Se garantiza que xlate_pos sea positivo o cero antes de BIT.

Gravedad CVSS v3.1: ALTA

Última modificación:

03/11/2025

Vulnerabilidad en SourceCodester Online Eyewear Shop 1.0 (CVE-2025-3692)

Fecha de publicación:

16/04/2025

Idioma:

Español

Se encontró una vulnerabilidad en SourceCodester Online Eyewear Shop 1.0. Se ha declarado problemática. Esta vulnerabilidad afecta a una funcionalidad desconocida del archivo /oews/classes/Master.php?f=save_product. La manipulación provoca Cross Site Scripting. El ataque puede ejecutarse remotamente. Se ha hecho público el exploit y puede que sea utilizado.

Gravedad CVSS v4.0: MEDIA

Última modificación:

29/04/2025

Vulnerabilidad en Tenda W12 3.0.0.5 (CVE-2025-3693)

Fecha de publicación:

16/04/2025

Idioma:

Español

Se encontró una vulnerabilidad en Tenda W12 3.0.0.5. Se ha clasificado como crítica. Este problema afecta a la función cgiWifiRadioSet del archivo /bin/httpd. La manipulación provoca un desbordamiento del búfer basado en la pila. El ataque puede ejecutarse remotamente. Se ha hecho público el exploit y puede que sea utilizado.

Gravedad CVSS v4.0: ALTA

Última modificación:

16/07/2025

Vulnerabilidad en nopCommerce 4.80.0 (CVE-2024-58248)

Fecha de publicación:

16/04/2025

Idioma:

Español

Las versiones anteriores a nopCommerce 4.80.0 no ofrecen bloqueo para la realización de pedidos. Por lo tanto, existe una condición de competencia con el canje duplicado de tarjetas de regalo.

Gravedad CVSS v3.1: BAJA

Última modificación:

19/12/2025

Vulnerabilidad en PHPGurukul Men Salon Management System 1.0 (CVE-2025-3689)

Fecha de publicación:

16/04/2025

Idioma:

Español

Se ha encontrado una vulnerabilidad en PHPGurukul Men Salon Management System 1.0, clasificada como crítica. Esta vulnerabilidad afecta al código desconocido del archivo /admin/edit-customer-detailed.php. La manipulación del argumento editid provoca una inyección SQL. El ataque puede iniciarse remotamente. Se ha hecho público el exploit y puede que sea utilizado.

Gravedad CVSS v4.0: MEDIA

Última modificación:

28/05/2025

Vulnerabilidad en PHPGurukul Men Salon Management System 1.0 (CVE-2025-3690)

Fecha de publicación:

16/04/2025

Idioma:

Español

Se encontró una vulnerabilidad en PHPGurukul Men Salon Management System 1.0, clasificada como crítica. Este problema afecta a un procesamiento desconocido del archivo /admin/edit-services.php. La manipulación del argumento "cost" provoca una inyección SQL. El ataque puede iniciarse remotamente. Se ha hecho público el exploit y puede que sea utilizado.

Gravedad CVSS v4.0: MEDIA

Última modificación:

24/04/2025

Vulnerabilidad en mirweiye Seven Bears Library CMS 2023 (CVE-2025-3691)

Fecha de publicación:

16/04/2025

Idioma:

Español

Se encontró una vulnerabilidad en mirweiye Seven Bears Library CMS 2023. Se ha clasificado como problemática. Se ve afectada una función desconocida del componente Add Link Handler. La manipulación provoca server-side request forgery. Es posible ejecutar el ataque de forma remota. Se ha hecho público el exploit y puede que sea utilizado.

Gravedad CVSS v4.0: MEDIA

Última modificación:

24/04/2025

Vulnerabilidad en EverAccounting Ever Accounting (CVE-2025-39593)

Fecha de publicación:

16/04/2025

Idioma:

Español

Vulnerabilidad de Cross-Site Request Forgery (CSRF) en EverAccounting Ever Accounting permite Cross-Site Request Forgery. Este problema afecta a Ever Accounting desde n/d hasta la versión 2.1.5.

Gravedad CVSS v3.1: MEDIA

Última modificación:

23/04/2026

Vulnerabilidad en Arthur Yarwood Fast eBay Listings (CVE-2025-39597)

Fecha de publicación:

16/04/2025

Idioma:

Español

La vulnerabilidad de redirección de URL a un sitio no confiable (&#39;Redirección abierta&#39;) en Arthur Yarwood Fast eBay Listings permite el phishing. Este problema afecta a Fast eBay Listings desde n/d hasta la versión 2.12.15.

Gravedad CVSS v3.1: MEDIA

Última modificación:

23/04/2026

Vulnerabilidad en Quý Lê 91 Administrator Z (CVE-2025-39598)

Fecha de publicación:

16/04/2025

Idioma:

Español

La vulnerabilidad de Path Traversal en Quý Lê 91 Administrator Z permite el Path Traversal. Este problema afecta a Administrator Z desde n/d hasta el 28/03/2025.

Gravedad CVSS v3.1: MEDIA

Última modificación:

23/04/2026

Suscribirse a Vulnerabilidades