Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las últimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las últimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las últimas vulnerabilidades incorporadas al repositorio.

Vulnerabilidad en Iglu Server (CVE-2024-47217)

Fecha de publicación:

03/04/2025

Idioma:

Español

Se detectó un problema en Iglu Server 0.13.0 y anteriores. Es similar a CVE-2024-47214, pero afecta a un endpoint autenticado. Puede dejar a Iglu Server completamente inoperante. Si no se restablece el funcionamiento de Iglu Server, el procesamiento de eventos en la canalización podría detenerse.

Gravedad CVSS v3.1: MEDIA

Última modificación:

08/04/2025

Vulnerabilidad en Insightsoftware Hive JDBC (CVE-2024-45199)

Fecha de publicación:

03/04/2025

Idioma:

Español

Insightsoftware Hive JDBC hasta la versión 2.6.13 presenta una vulnerabilidad de ejecución remota de código. Los atacantes pueden inyectar parámetros maliciosos en la URL de JDBC, lo que desencadena la inyección de JNDI durante el proceso cuando el controlador JDBC utiliza esta URL para conectarse a la base de datos. Esto puede provocar la ejecución remota de código.

Gravedad CVSS v3.1: ALTA

Última modificación:

15/04/2026

Vulnerabilidad en Project Worlds Online Lawyer Management System 1.0 (CVE-2025-3176)

Fecha de publicación:

03/04/2025

Idioma:

Español

Se encontró una vulnerabilidad en Project Worlds Online Lawyer Management System 1.0. Se ha clasificado como crítica. Afecta una parte desconocida del archivo /single_lawyer.php. La manipulación del argumento u_id provoca una inyección SQL. Es posible iniciar el ataque de forma remota. Se ha hecho público el exploit y puede que sea utilizado.

Gravedad CVSS v4.0: MEDIA

Última modificación:

15/05/2025

Vulnerabilidad en FastCMS 0.1.5 (CVE-2025-3177)

Fecha de publicación:

03/04/2025

Idioma:

Español

Se encontró una vulnerabilidad en FastCMS 0.1.5. Se ha declarado crítica. Esta vulnerabilidad afecta al código desconocido del componente JWT Handler. La manipulación implica el uso de una clave criptográfica predefinida. El ataque puede iniciarse en remoto. Es un ataque de complejidad bastante alta. Parece difícil de explotar. Se ha hecho público el exploit y puede que sea utilizado.

Gravedad CVSS v4.0: BAJA

Última modificación:

08/04/2025

Vulnerabilidad en CrushFTP 10 (CVE-2025-31161)

Fecha de publicación:

03/04/2025

Idioma:

Español

CrushFTP 10 anterior a la 10.8.4 y 11 anterior a la 11.3.1 permite omitir la autenticación y tomar el control de la cuenta crushadmin (a menos que se utilice una instancia de proxy DMZ), como se explotó en marzo y abril de 2025, también conocido como "Acceso al puerto HTTP(S) sin autenticar". Existe una condición de ejecución en el método de autorización AWS4-HMAC (compatible con S3) del componente HTTP del servidor FTP. El servidor verifica primero la existencia del usuario mediante una llamada a login_user_pass() sin necesidad de contraseña. Esto autenticará la sesión mediante el proceso de verificación HMAC hasta que el servidor vuelva a verificar la verificación del usuario. La vulnerabilidad se puede estabilizar aún más, eliminando la necesidad de activar una condición de ejecución, mediante el envío de un encabezado AWS4-HMAC alterado. Al proporcionar únicamente el nombre de usuario y una barra diagonal (/), el servidor encontrará un nombre de usuario, lo que activará la autenticación anypass. Sin embargo, no encontrará la entrada SignedHeaders esperada, lo que generará un error de indexación fuera de los límites que impedirá que el código complete la limpieza de la sesión. En conjunto, estos problemas dificultan la autenticación con cualquier usuario conocido o indeterminado (p. ej., crushadmin) y pueden comprometer por completo el sistema al obtener una cuenta administrativa.

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

31/10/2025

Vulnerabilidad en generator-jhipster-entity-audit (CVE-2025-31119)

Fecha de publicación:

03/04/2025

Idioma:

Español

generator-jhipster-entity-audit es un módulo de JHipster que habilita la auditoría de entidades y la página de registro de auditoría. En versiones anteriores a la versión 5.9.1, generator-jhipster-entity-audit permitía la reflexión insegura al seleccionar Javers como marco de auditoría de entidades. Si un atacante logra insertar clases maliciosas en la ruta de clases y, además, tiene acceso a estas interfaces REST para llamar a los endpoints REST mencionados, el uso de estas líneas de código puede provocar la ejecución remota no intencionada de código. Esta vulnerabilidad se corrigió en la versión 5.9.1.

Gravedad CVSS v3.1: ALTA

Última modificación:

15/04/2026

Vulnerabilidad en API Platform Core (CVE-2025-31481)

Fecha de publicación:

03/04/2025

Idioma:

Español

API Platform Core es un sistema para crear API REST y GraphQL basadas en hipermedia. Mediante el tipo de nodo especial Relay, se puede eludir la seguridad configurada en una operación. Esta vulnerabilidad se corrigió en la versión 4.0.22.

Gravedad CVSS v3.1: ALTA

Última modificación:

15/04/2026

Vulnerabilidad en API Platform Core (CVE-2025-31485)

Fecha de publicación:

03/04/2025

Idioma:

Español

API Platform Core es un sistema para crear API REST y GraphQL basadas en hipermedia. Antes de la versión 4.0.22, una concesión GraphQL en una propiedad podía almacenarse en caché con diferentes objetos. El método ApiPlatform\GraphQl\Serializer\ItemNormalizer::isCacheKeySafe() impide el almacenamiento en caché, pero el método parent::normalize, que se invoca posteriormente, sigue creando la clave de caché y causando el problema. Esta vulnerabilidad se corrigió en la versión 4.0.22.

Gravedad CVSS v3.1: ALTA

Última modificación:

15/04/2026

Vulnerabilidad en MinIO (CVE-2025-31489)

Fecha de publicación:

03/04/2025

Idioma:

Español

MinIO es un almacenamiento de objetos de alto rendimiento publicado bajo la Licencia Pública General Affero GNU v3.0. El componente de firma de la autorización podría no ser válido, lo que significaría que, como cliente, podría usar cualquier secreto arbitrario para cargar objetos, siempre que el usuario ya tenga permisos de escritura en el bucket. Es necesario conocer previamente la clave de acceso y el nombre del bucket al que este usuario podría tener acceso, así como una clave de acceso con permisos de escritura. Sin embargo, con la información pertinente, cargar objetos aleatorios a los buckets es trivial y sencillo mediante curl. Este problema se solucionó en la versión RELEASE.2025-04-03T14-56-28Z.

Gravedad CVSS v4.0: ALTA

Última modificación:

15/04/2026

Vulnerabilidad en student-manage 1 (CVE-2025-29504)

Fecha de publicación:

03/04/2025

Idioma:

Español

La vulnerabilidad de permiso inseguro en student-manage 1 permite a un atacante local escalar privilegios a través de la verificación de permiso inseguro.

Gravedad CVSS v3.1: ALTA

Última modificación:

15/10/2025

Vulnerabilidad en TOTOLINK x18 v.9.1.0cu.2024_B20220329 (CVE-2025-29064)

Fecha de publicación:

03/04/2025

Idioma:

Español

Un problema en TOTOLINK x18 v.9.1.0cu.2024_B20220329 permite que un atacante remoto ejecute código arbitrario a través de la función sub_410E54 de cstecgi.cgi.

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

29/04/2025

Vulnerabilidad en Tenda Ac15 V15.13.07.13 (CVE-2025-29462)

Fecha de publicación:

03/04/2025

Idioma:

Español

Se ha descubierto una vulnerabilidad de desbordamiento de búfer en Tenda Ac15 V15.13.07.13. La vulnerabilidad se produce cuando la función webCgiGetUploadFile llama a la función socketRead para procesar mensajes de solicitud HTTP, lo que provoca la sobrescritura de un búfer en la pila.

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

22/04/2025

Suscribirse a Vulnerabilidades