Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

017 - Ir a la línea de ayuda en Ciberseguridad    Ir a Agenda     Ir a Sala de prensa     Ir a suscripción de boletines

Ir al buscador

Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las últimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las últimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las últimas vulnerabilidades incorporadas al repositorio.

Vulnerabilidad en Streamit para WordPress (CVE-2025-2526)
Fecha de publicación:
08/04/2025
Idioma:
Español
El tema Streamit para WordPress es vulnerable a la escalada de privilegios mediante robo de cuenta en todas las versiones hasta la 4.0.2 incluida. Esto se debe a que el complemento no valida correctamente la identidad del usuario antes de actualizar sus datos, como el correo electrónico, en la función 'st_Authentication_Controller::edit_profile'. Esto permite que atacantes no autenticados cambien las direcciones de correo electrónico de usuarios arbitrarios, incluidos los administradores, y aprovechen esta situación para restablecer la contraseña del usuario y acceder a su cuenta.
Gravedad CVSS v3.1: ALTA
Última modificación:
15/04/2026

Vulnerabilidad en iSherlock de HGiga (CVE-2025-3361)
Fecha de publicación:
08/04/2025
Idioma:
Español
El servicio web iSherlock de HGiga tiene una vulnerabilidad de inyección de comandos del sistema operativo, que permite a atacantes remotos no autenticados inyectar comandos arbitrarios del sistema operativo y ejecutarlos en el servidor.
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
15/04/2026

Vulnerabilidad en iSherlock de HGiga (CVE-2025-3362)
Fecha de publicación:
08/04/2025
Idioma:
Español
El servicio web iSherlock de HGiga tiene una vulnerabilidad de inyección de comandos del sistema operativo, que permite a atacantes remotos no autenticados inyectar comandos arbitrarios del sistema operativo y ejecutarlos en el servidor.
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
15/04/2026

Vulnerabilidad en Sreamit para WordPress (CVE-2025-2519)
Fecha de publicación:
08/04/2025
Idioma:
Español
El tema Sreamit para WordPress es vulnerable a la descarga de archivos arbitrarios en todas las versiones hasta la 4.0.1 incluida. Esto se debe a una validación de archivos insuficiente en la función 'st_send_download_file'. Esto permite que atacantes autenticados, con acceso de suscriptor o superior, descarguen archivos arbitrarios.
Gravedad CVSS v3.1: MEDIA
Última modificación:
15/04/2026

Vulnerabilidad en hailey888 oa_system (CVE-2025-3391)
Fecha de publicación:
08/04/2025
Idioma:
Español
Se ha detectado una vulnerabilidad en hailey888 oa_system hasta la versión 2025.01.01, clasificada como problemática. Esta vulnerabilidad afecta a la función outAddress del archivo cn/gson/oass/controller/address/AddrController.java del componente Backend. La manipulación del argumento outtype provoca ataques de cross site scripting. El ataque puede ejecutarse remotamente. Se ha hecho público el exploit y puede que sea utilizado. Este producto utiliza el enfoque de lanzamiento continuo para garantizar una distribución continua. Por lo tanto, no se dispone de información sobre las versiones afectadas ni sobre las actualizadas.
Gravedad CVSS v4.0: MEDIA
Última modificación:
07/05/2025

Vulnerabilidad en hailey888 oa_system (CVE-2025-3389)
Fecha de publicación:
08/04/2025
Idioma:
Español
Se ha detectado una vulnerabilidad clasificada como problemática en hailey888 oa_system hasta la versión 2025.01.01. Este problema afecta a la función testMess del archivo cn/gson/oasys/controller/inform/InformManageController.java del componente Backend. La manipulación del menú de argumentos provoca ataques de cross site scripting. El ataque puede iniciarse remotamente. Se ha hecho público el exploit y puede que sea utilizado. Este producto no utiliza control de versiones. Por ello, no hay información disponible sobre las versiones afectadas y no afectadas.
Gravedad CVSS v4.0: MEDIA
Última modificación:
07/05/2025

Vulnerabilidad en hailey888 oa_system (CVE-2025-3390)
Fecha de publicación:
08/04/2025
Idioma:
Español
Se encontró una vulnerabilidad clasificada como problemática en hailey888 oa_system hasta la versión 2025.01.01. La función addandchangeday del archivo cn/gson/oass/controller/daymanager/DaymanageController.java del componente Backend se ve afectada. La manipulación del argumento "scheduleList" provoca ataques de cross site scripting. Es posible ejecutar el ataque de forma remota. Se ha hecho público el exploit y puede que sea utilizado. Este producto utiliza una versión continua para garantizar una distribución continua. Por lo tanto, no se dispone de detalles de las versiones afectadas ni de las versiones actualizadas.
Gravedad CVSS v4.0: MEDIA
Última modificación:
07/05/2025

Vulnerabilidad en hailey888 oa_system (CVE-2025-3388)
Fecha de publicación:
07/04/2025
Idioma:
Español
Se detectó una vulnerabilidad clasificada como problemática en hailey888 oa_system hasta la versión 2025.01.01. Esta vulnerabilidad afecta a la función loginCheck del archivo cn/gson/oasys/controller/login/LoginsController.java del componente Frontend. La manipulación del argumento "Username" provoca ataques de cross site scripting. El ataque puede iniciarse remotamente. Se ha hecho público el exploit y puede que sea utilizado. Este producto utiliza un sistema de entrega continua con versiones continuas. Por lo tanto, no se dispone de detalles de las versiones afectadas ni de las versiones actualizadas.
Gravedad CVSS v4.0: MEDIA
Última modificación:
07/05/2025

Vulnerabilidad en renrenio renren-security (CVE-2025-3387)
Fecha de publicación:
07/04/2025
Idioma:
Español
Se ha detectado una vulnerabilidad clasificada como problemática en renrenio renren-security (hasta la versión 5.4.0). Esta afecta a una parte desconocida del componente JSON Handler. La manipulación provoca ataques de cross site scripting. Es posible iniciar el ataque de forma remota. Se ha hecho público el exploit y puede que sea utilizado.
Gravedad CVSS v4.0: MEDIA
Última modificación:
29/04/2025

Vulnerabilidad en LinZhaoguan pb-cms 2.0 (CVE-2025-3385)
Fecha de publicación:
07/04/2025
Idioma:
Español
Se encontró una vulnerabilidad en LinZhaoguan pb-cms 2.0. Se ha declarado problemática. Esta vulnerabilidad afecta a una funcionalidad desconocida del componente Página de Gestión de Clasificación. La manipulación del argumento "Nombre de la clasificación" provoca ataques de cross site scripting. El ataque puede ejecutarse remotamente. Se ha hecho público el exploit y puede que sea utilizado.
Gravedad CVSS v4.0: MEDIA
Última modificación:
29/04/2025

Vulnerabilidad en LinZhaoguan pb-cms 2.0 (CVE-2025-3386)
Fecha de publicación:
07/04/2025
Idioma:
Español
Se encontró una vulnerabilidad en LinZhaoguan pb-cms 2.0. Se ha clasificado como problemática. Este problema afecta a una funcionalidad desconocida del archivo /admin#links del componente Friendship Link Handler. Esta manipulación provoca Cross-Site Scripting. El ataque puede ejecutarse remotamente. Se ha hecho público el exploit y puede que sea utilizado.
Gravedad CVSS v4.0: MEDIA
Última modificación:
29/04/2025

Vulnerabilidad en Jalios JPlatform 10 SP6 (CVE-2025-0942)
Fecha de publicación:
07/04/2025
Idioma:
Español
La función de selección de base de datos en Jalios JPlatform 10 SP6 anterior a la versión 10.0.6 neutraliza incorrectamente los elementos especiales utilizados en un comando SQL, lo que permite que usuarios administrativos autenticados activen la inyección SQL. Este problema afecta a JPlatform anterior a la versión 10.0.6 y se publicó un PatchPlugin 10.0.6 el 6 de febrero de 2023.
Gravedad CVSS v3.1: ALTA
Última modificación:
15/04/2026
Suscribirse a Vulnerabilidades