Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

017 - Ir a la línea de ayuda en Ciberseguridad    Ir a Agenda     Ir a Sala de prensa     Ir a suscripción de boletines

Ir al buscador

Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las ultimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las ultimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las ultimas vulnerabilidades incorporadas al repositorio.

Vulnerabilidad en HCL SX (CVE-2024-30154)
Fecha de publicación:
03/03/2025
Idioma:
Español
HCL SX es vulnerable a una vulnerabilidad de Cross Site Request Forgery que podría permitir a un atacante ejecutar acciones maliciosas y no autorizadas transmitidas desde un usuario en el que el sitio web confía.
Gravedad CVSS v3.1: MEDIA
Última modificación:
03/07/2025

Vulnerabilidad en OpenID Connect Core (CVE-2025-27370)
Fecha de publicación:
03/03/2025
Idioma:
Español
OpenID Connect Core a través del conjunto de erratas 1.0 2 permite la inyección de audiencia en determinadas situaciones. Cuando se utiliza el mecanismo de autenticación private_key_jwt, un servidor de autorización malintencionado podría engañar a un cliente para que escriba valores controlados por el atacante en la audiencia, incluidos endpoints de token o identificadores de emisor de otros servidores de autorización. El servidor de autorización malintencionado podría entonces utilizar estos JWT de clave privada para hacerse pasar por el cliente.
Gravedad CVSS v3.1: MEDIA
Última modificación:
15/04/2026

Vulnerabilidad en OAuth 2.0 de IETF (CVE-2025-27371)
Fecha de publicación:
03/03/2025
Idioma:
Español
En ciertas especificaciones relacionadas con OAuth 2.0 de IETF, cuando se utiliza el mecanismo de autenticación de cliente JSON Web Token Profile for OAuth 2.0, existen ambigüedades en los valores de audiencia de los JWT enviados a los servidores de autorización. Las RFC afectadas pueden incluir RFC 7523, y también RFC 7521, RFC 7522, RFC 9101 (JAR) y RFC 9126 (PAR).
Gravedad CVSS v3.1: MEDIA
Última modificación:
15/04/2026

Vulnerabilidad en grub2 (CVE-2025-0684)
Fecha de publicación:
03/03/2025
Idioma:
Español
Se encontró una falla en grub2. Al realizar una búsqueda de enlace simbólico desde un sistema de archivos reiserfs, el módulo de sistema de archivos reiserfs de grub utiliza parámetros controlados por el usuario de la geometría del sistema de archivos para determinar el tamaño del búfer interno; sin embargo, verifica incorrectamente si hay desbordamientos de enteros. Un sistema de archivos manipulados con fines malintencionados puede provocar que algunos de esos cálculos de tamaño de búfer se desborden, lo que hace que realice una operación grub_malloc() con un tamaño menor al esperado. Como resultado, grub_reiserfs_read_symlink() llamará a grub_reiserfs_read_real() con un parámetro de longitud desbordado, lo que lleva a una escritura fuera de los límites basada en el montón durante la lectura de datos. Esta falla puede aprovecharse para corromper los datos críticos internos de grub y puede resultar en la ejecución de código arbitrario, eludiendo las protecciones de arranque seguro.
Gravedad CVSS v3.1: MEDIA
Última modificación:
28/07/2025

Vulnerabilidad en grub2 (CVE-2025-0685)
Fecha de publicación:
03/03/2025
Idioma:
Español
Se encontró una falla en grub2. Al leer datos de un sistema de archivos jfs, el módulo de sistema de archivos jfs de grub utiliza parámetros controlados por el usuario de la geometría del sistema de archivos para determinar el tamaño del búfer interno; sin embargo, verifica incorrectamente si hay desbordamientos de números enteros. Un sistema de archivos malipulados con fines malintencionados puede provocar que algunos de esos cálculos de tamaño de búfer se desborden, lo que hace que realice una operación grub_malloc() con un tamaño menor al esperado. Como resultado, la función grub_jfs_lookup_symlink() escribirá más allá de la longitud del búfer interno durante grub_jfs_read_file(). Este problema se puede aprovechar para corromper los datos críticos internos de grub y puede resultar en la ejecución de código arbitrario, eludiendo las protecciones de arranque seguro.
Gravedad CVSS v3.1: MEDIA
Última modificación:
28/07/2025

Vulnerabilidad en grub2 (CVE-2025-0686)
Fecha de publicación:
03/03/2025
Idioma:
Español
Se encontró una falla en grub2. Al realizar una búsqueda de enlace simbólico desde un sistema de archivos romfs, el módulo de sistema de archivos romfs de grub utiliza parámetros controlados por el usuario de la geometría del sistema de archivos para determinar el tamaño del búfer interno; sin embargo, verifica incorrectamente si hay desbordamientos de números enteros. Un sistema de archivos manipulado con fines malintencionados puede provocar que algunos de esos cálculos de tamaño de búfer se desborden, lo que hace que realice una operación grub_malloc() con un tamaño menor al esperado. Como resultado, grub_romfs_read_symlink() puede provocar escrituras fuera de los límites cuando se llama a la función grub_disk_read(). Este problema se puede aprovechar para corromper los datos críticos internos de grub y puede provocar la ejecución de código arbitrario que pasa por alto las protecciones de arranque seguro.
Gravedad CVSS v3.1: MEDIA
Última modificación:
28/07/2025

Vulnerabilidad en seajs v.2.2.3 (CVE-2024-51091)
Fecha de publicación:
03/03/2025
Idioma:
Español
La vulnerabilidad de cross-site scripting en seajs v.2.2.3 permite que un atacante remoto ejecute código arbitrario a través del paquete seajs
Gravedad CVSS v3.1: MEDIA
Última modificación:
07/07/2025

Vulnerabilidad en tsup v8.3.4 (CVE-2024-53384)
Fecha de publicación:
03/03/2025
Idioma:
Español
Una vulnerabilidad de DOM Clobbering en tsup v8.3.4 permite a los atacantes ejecutar código arbitrario a través de un script manipulado en import.meta.url a document.currentScript en los componentes cjs_shims.js
Gravedad CVSS v3.1: MEDIA
Última modificación:
07/07/2025

Vulnerabilidad en Tikit eMarketing platform 6.8.3.0 (CVE-2023-49031)
Fecha de publicación:
03/03/2025
Idioma:
Español
La vulnerabilidad de Directory Traversal (inclusión de archivo local) en Tikit (now Advanced) eMarketing platform 6.8.3.0 permite a un atacante remoto leer archivos arbitrarios y obtener información confidencial a través de un payload manipulado en el parámetro de nombre de archivo en el endpoint OpenLogFile.
Gravedad CVSS v3.1: MEDIA
Última modificación:
11/07/2025

Vulnerabilidad en aes-gcm (CVE-2025-27498)
Fecha de publicación:
03/03/2025
Idioma:
Español
aes-gcm es una implementación pura de Rust de AES-GCM. En decrypt_in_place_ Separate, el texto cifrado descifrado (que es el texto cifrado correcto) queda expuesto incluso si la etiqueta es incorrecta. Esto se debe a que en decrypt_inplace en asconcore.rs, la verificación de la etiqueta hace que se devuelva un error con el contenido del texto sin formato aún en el búfer. La vulnerabilidad se corrigió en 0.4.3.
Gravedad CVSS v4.0: MEDIA
Última modificación:
15/04/2026

Vulnerabilidad en Vim (CVE-2025-27423)
Fecha de publicación:
03/03/2025
Idioma:
Español
Vim es un editor de texto de línea de comandos de código abierto. Vim se distribuye con el complemento tar.vim, que permite editar y ver fácilmente archivos tar (comprimidos o sin comprimir). A partir de la versión 9.1.0858, el complemento tar.vim utiliza la línea de comandos ex ":read" para agregar debajo de la posición del cursor, sin embargo, no se depura y se toma literalmente del archivo tar. Esto permite ejecutar comandos de shell a través de archivos tar especialmente manipulados. Si esto realmente sucede, depende del shell que se use (opción 'shell', que se establece utilizando $SHELL). El problema se ha solucionado a partir del parche de Vim v9.1.1164
Gravedad CVSS v3.1: ALTA
Última modificación:
18/08/2025

Vulnerabilidad en Chrome MouseTooltipTranslator (CVE-2025-25303)
Fecha de publicación:
03/03/2025
Idioma:
Español
La extensión de Chrome MouseTooltipTranslator permite traducir cualquier idioma a la vez con el mouse. La extensión del navegador MouseTooltipTranslator es vulnerable a ataques SSRF. El script pdf.mjs usa el parámetro URL de la URL actual como el archivo que se descargará y mostrará al usuario de la extensión. Debido a que pdf.mjs se importa en viewer.html y viewer.html es accesible para todas las URL, un atacante puede forzar al navegador del usuario a realizar una solicitud a cualquier URL arbitraria. Después de discutirlo con el fabricante, para solucionar este problema sería necesario deshabilitar una característica importante de la extensión a cambio de una vulnerabilidad de baja gravedad. Se decidió no solucionar el problema.
Gravedad CVSS v4.0: MEDIA
Última modificación:
15/04/2026
Suscribirse a Vulnerabilidades