Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las ultimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las ultimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las ultimas vulnerabilidades incorporadas al repositorio.

Vulnerabilidad en mqlink.elf en Ruijie RG-EW300N (CVE-2024-42936)

Fecha de publicación:
21/01/2025
Idioma:
Español
El componente de servicio mqlink.elf en Ruijie RG-EW300N con firmware ReyeeOS 1.300.1422 es vulnerable a la ejecución remota de código a través de un mensaje de agente MQTT modificado.
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
15/12/2025

Vulnerabilidad en GitHub Enterprise Server (CVE-2025-23369)

Fecha de publicación:
21/01/2025
Idioma:
Español
Se identificó una vulnerabilidad de verificación incorrecta de la firma criptográfica en GitHub Enterprise Server que permitía la suplantación de firmas para usuarios internos no autorizados. Las instancias que no utilizaban el inicio de sesión único SAML o en las que el atacante no era un usuario existente no se vieron afectadas. Esta vulnerabilidad afectó a todas las versiones de GitHub Enterprise Server anteriores a 3.12.14, 3.13.10, 3.14.7, 3.15.2 y 3.16.0. Esta vulnerabilidad se informó a través del programa de recompensas por errores de GitHub.
Gravedad CVSS v4.0: ALTA
Última modificación:
05/09/2025

Vulnerabilidad en RAR Extractor - Unarchiver Free and Pro v.6.4.0 (CVE-2024-55504)

Fecha de publicación:
21/01/2025
Idioma:
Español
Un problema en RAR Extractor - Unarchiver Free and Pro v.6.4.0 permite a atacantes locales inyectar código arbitrario que potencialmente conduce al control remoto y acceso no autorizado a datos confidenciales del usuario a través del componente exploit_combined.dylib en MacOS.
Gravedad CVSS v3.1: MEDIA
Última modificación:
04/02/2025

Vulnerabilidad en System.Linq.Dynamic.Core (CVE-2024-51417)

Fecha de publicación:
21/01/2025
Idioma:
Español
Un problema en System.Linq.Dynamic.Core La última versión v.1.4.6 permite el acceso remoto a propiedades en tipos de reflexión y propiedades/campos estáticos.
Gravedad CVSS v3.1: MEDIA
Última modificación:
04/02/2025

Vulnerabilidad en JetBrains TeamCity (CVE-2025-24460)

Fecha de publicación:
21/01/2025
Idioma:
Español
En JetBrains TeamCity antes del 1 de diciembre de 2024, un control de acceso incorrecto permitía ver los nombres de los proyectos en el grupo de agentes
Gravedad CVSS v3.1: MEDIA
Última modificación:
30/01/2025

Vulnerabilidad en JetBrains TeamCity (CVE-2025-24461)

Fecha de publicación:
21/01/2025
Idioma:
Español
En JetBrains TeamCity antes de 2024.12.1 era posible descifrar secretos de conexión sin los permisos adecuados a través de Conexión de prueba endpoint
Gravedad CVSS v3.1: MEDIA
Última modificación:
30/01/2025

Vulnerabilidad en WeGIA (CVE-2025-24020)

Fecha de publicación:
21/01/2025
Idioma:
Español
WeGIA es un gestor web para instituciones benéficas. Se ha identificado una vulnerabilidad de Open Redirect en el `control.php` endpoint de las versiones hasta incluida 3.2.10 de la aplicación WeGIA. La vulnerabilidad permite manipular el parámetro `nextPage`, redirigiendo a los usuarios autenticados a URL externas arbitrarias sin validación. El problema surge de la falta de validación del parámetro `nextPage`, que acepta URL externas como destinos de redirección. Esta vulnerabilidad puede explotarse para realizar ataques de phishing o redirigir a los usuarios a sitios web maliciosos. La versión 3.2.11 contiene una solución para el problema.
Gravedad CVSS v4.0: MEDIA
Última modificación:
13/02/2025

Vulnerabilidad en JetBrains Hub (CVE-2025-24456)

Fecha de publicación:
21/01/2025
Idioma:
Español
En JetBrains Hub antes de 2024.3.55417, la escalada de privilegios era posible a través del mapeo de autenticación LDAP
Gravedad CVSS v3.1: MEDIA
Última modificación:
30/01/2025

Vulnerabilidad en JetBrains YouTrack (CVE-2025-24457)

Fecha de publicación:
21/01/2025
Idioma:
Español
En JetBrains YouTrack antes de 2024.3.55417, los tokens permanentes podrían quedar expuestos en los registros
Gravedad CVSS v3.1: MEDIA
Última modificación:
30/01/2025

Vulnerabilidad en JetBrains YouTrack (CVE-2025-24458)

Fecha de publicación:
21/01/2025
Idioma:
Español
En JetBrains YouTrack antes de 2024.3.55417, la apropiación de cuentas era posible a través de correo electrónico falsificado e integración con Helpdesk.
Gravedad CVSS v3.1: ALTA
Última modificación:
30/01/2025

Vulnerabilidad en JetBrains TeamCity (CVE-2025-24459)

Fecha de publicación:
21/01/2025
Idioma:
Español
En JetBrains TeamCity antes de 2024.12.1, el XSS reflejado era posible en la página de Conexión de Vault
Gravedad CVSS v3.1: MEDIA
Última modificación:
30/01/2025

Vulnerabilidad en YesWiki (CVE-2025-24019)

Fecha de publicación:
21/01/2025
Idioma:
Español
YesWiki es un wiki sistema escrito en PHP. En versiones hasta incluida 4.4.5, es posible que cualquier usuario autenticado, mediante el uso del administrador de archivos, elimine cualquier archivo propiedad del usuario que ejecuta el Administrador de procesos FastCGI (FPM) en el host sin ninguna limitación en el alcance del sistema de archivos. Esta vulnerabilidad permite a cualquier usuario autenticado eliminar contenido del Wiki de forma arbitraria, lo que resulta en la pérdida parcial de datos y la desfiguración/deterioro del sitio web. En el contexto de una instalación de contenedor de YesWiki sin ninguna modificación, los archivos `yeswiki` (por ejemplo .php) no son propiedad del mismo usuario (superusuario) que el que ejecuta el proceso FPM (www-data). Sin embargo, en una instalación estándar, www-data también puede ser el propietario de los archivos PHP, lo que permite a un usuario malintencionado cortar por completo el acceso al wiki eliminando todos los archivos PHP importantes (como index.php o los archivos principales de YesWiki). La versión 4.5.0 contiene un parche para este problema.
Gravedad CVSS v3.1: ALTA
Última modificación:
09/05/2025