Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las ultimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las ultimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las ultimas vulnerabilidades incorporadas al repositorio.

Vulnerabilidad en PC UA .NET Standard Stack (CVE-2024-42512)

Fecha de publicación:
10/02/2025
Idioma:
Español
Una vulnerabilidad en PC UA .NET Standard Stack anterior a 1.5.374.158 permite que un atacante no autorizado eluda la autenticación de la aplicación cuando la política de seguridad obsoleta Basic128Rsa15 está habilitada.
Gravedad CVSS v3.1: ALTA
Última modificación:
29/09/2025

Vulnerabilidad en iOS, iPadOS, tvOS, watchOS, visionOS y macOS Sonoma (CVE-2024-27859)

Fecha de publicación:
10/02/2025
Idioma:
Español
El problema se solucionó mejorando la gestión de la memoria. Este problema se solucionó en iOS 17.4 y iPadOS 17.4, tvOS 17.4, watchOS 10.4, visionOS 1.1 y macOS Sonoma 14.4. El procesamiento de contenido web puede provocar la ejecución de código arbitrario.
Gravedad CVSS v3.1: ALTA
Última modificación:
02/04/2026

Vulnerabilidad en WP Foodbakery para WordPress (CVE-2024-13010)

Fecha de publicación:
10/02/2025
Idioma:
Español
El complemento WP Foodbakery para WordPress es vulnerable a Cross-Site Scripting Reflejado en versiones hasta la 4.7 incluida debido a una depuración de entrada insuficiente y al escape de salida en el parámetro 'search_type'. Esto hace posible que atacantes no autenticados inyecten secuencias de comandos web arbitrarias en páginas que se ejecutan si logran engañar a un usuario para que realice una acción como hacer clic en un enlace.
Gravedad CVSS v3.1: MEDIA
Última modificación:
08/04/2026

Vulnerabilidad en Hickory DNS (CVE-2025-25188)

Fecha de publicación:
10/02/2025
Idioma:
Español
Hickory DNS es un cliente, servidor y solucionador de DNS basado en Rust. Una vulnerabilidad presente a partir de la versión 0.8.0 y anteriores a las versiones 0.24.3 y 0.25.0-alpha.5 afecta a los usuarios de Hickory DNS que dependen de la verificación DNSSEC en la librería cliente, el solucionador de stub o el solucionador recursivo. Las rutinas de validación DNSSEC tratan conjuntos RR completos de registros DNSKEY como confiables una vez que han establecido confianza en solo uno de los DNSKEY. Como resultado, si una zona incluye un DNSKEY con una clave pública que coincide con un ancla de confianza configurada, se confiará en todas las claves de esa zona para autenticar otros registros en la zona. Existe una segunda variante de esta vulnerabilidad que involucra registros DS, donde un registro DS autenticado que cubre un DNSKEY lleva a confiar en las firmas realizadas por un DNSKEY no relacionado en la misma zona. Las versiones 0.24.3 y 0.25.0-alpha.5 solucionan el problema.
Gravedad CVSS v4.0: MEDIA
Última modificación:
10/02/2025

Vulnerabilidad en GNU Binutils 2.43 (CVE-2025-1152)

Fecha de publicación:
10/02/2025
Idioma:
Español
Se ha encontrado una vulnerabilidad clasificada como problemática en GNU Binutils 2.43. La función xstrdup del archivo xstrdup.c del componente ld está afectada. La manipulación provoca una fuga de memoria. Es posible lanzar el ataque de forma remota. La complejidad de un ataque es bastante alta. Se dice que la explotabilidad es difícil. El exploit se ha hecho público y puede utilizarse. Se recomienda aplicar un parche para solucionar este problema. El responsable del código explica: "No voy a enviar algunas de las correcciones de fugas en las que he estado trabajando a la rama 2.44 debido a la preocupación de que desestabilizarían ld. Todas las fugas informadas en este bugzilla se han solucionado en binutils master".
Gravedad CVSS v4.0: BAJA
Última modificación:
03/03/2025

Vulnerabilidad en /userPicture de Timo v2.0.3 (CVE-2024-57407)

Fecha de publicación:
10/02/2025
Idioma:
Español
Una vulnerabilidad de carga de archivos arbitrarios en el componente /userPicture de Timo v2.0.3 permite a los atacantes ejecutar código arbitrario mediante la carga de un archivo manipulado específicamente.
Gravedad CVSS v3.1: ALTA
Última modificación:
19/02/2025

Vulnerabilidad en /comm/upload de cool-admin-java v1.0 (CVE-2024-57408)

Fecha de publicación:
10/02/2025
Idioma:
Español
Una vulnerabilidad de carga de archivos arbitrarios en el componente /comm/upload de cool-admin-java v1.0 permite a los atacantes ejecutar código arbitrario mediante la carga de un archivo manipulado específicamente.
Gravedad CVSS v3.1: ALTA
Última modificación:
22/10/2025

Vulnerabilidad en cool-admin-java v1.0 (CVE-2024-57409)

Fecha de publicación:
10/02/2025
Idioma:
Español
Una vulnerabilidad de cross site scripting (XSS) almacenado en el módulo Lista de parámetros de cool-admin-java v1.0 permite a los atacantes ejecutar scripts web o HTML arbitrarios mediante la inyección de un payload especialmente manipulado en el campo de imágenes de Internet.
Gravedad CVSS v3.1: MEDIA
Última modificación:
23/10/2025

Vulnerabilidad en OneBlog v2.3.6 (CVE-2024-54954)

Fecha de publicación:
10/02/2025
Idioma:
Español
Se descubrió que OneBlog v2.3.6 contenía una vulnerabilidad de inyección de plantillas a través del departamento de gestión de plantillas.
Gravedad CVSS v3.1: ALTA
Última modificación:
28/03/2025

Vulnerabilidad en PHPGurukul Small CRM 3.0 (CVE-2024-48170)

Fecha de publicación:
10/02/2025
Idioma:
Español
PHPGurukul Small CRM 3.0 es vulnerable a Cross Site Scripting (XSS) a través de un payload manipulado inyectado en el nombre en profile.php.
Gravedad CVSS v3.1: MEDIA
Última modificación:
18/02/2025

Vulnerabilidad en GNU Binutils 2.43 (CVE-2025-1150)

Fecha de publicación:
10/02/2025
Idioma:
Español
Se ha encontrado una vulnerabilidad en GNU Binutils 2.43. Se ha declarado como problemática. Esta vulnerabilidad afecta a la función bfd_malloc del archivo libbfd.c del componente ld. La manipulación provoca una fuga de memoria. El ataque puede iniciarse de forma remota. La complejidad de un ataque es bastante alta. La explotación parece ser difícil. El exploit se ha hecho público y puede utilizarse. Se recomienda aplicar un parche para solucionar este problema. El responsable del código explica: "No voy a enviar algunas de las correcciones de fugas en las que he estado trabajando a la rama 2.44 debido a la preocupación de que desestabilizarían ld. Todas las fugas informadas en este bugzilla se han solucionado en binutils master".
Gravedad CVSS v4.0: BAJA
Última modificación:
11/03/2025

Vulnerabilidad en GNU Binutils 2.43 (CVE-2025-1151)

Fecha de publicación:
10/02/2025
Idioma:
Español
Se ha encontrado una vulnerabilidad en GNU Binutils 2.43. Se ha calificado como problemática. Este problema afecta a la función xmemdup del archivo xmemdup.c del componente ld. La manipulación provoca una fuga de memoria. El ataque puede iniciarse de forma remota. La complejidad de un ataque es bastante alta. Se sabe que la explotación es difícil. El exploit se ha revelado al público y puede utilizarse. Se recomienda aplicar un parche para solucionar este problema. El responsable del código explica: "No voy a enviar algunas de las correcciones de fugas en las que he estado trabajando a la rama 2.44 debido a la preocupación de que desestabilizarían ld. Todas las fugas informadas en este bugzilla se han solucionado en binutils master".
Gravedad CVSS v4.0: BAJA
Última modificación:
10/02/2025