Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las ultimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las ultimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las ultimas vulnerabilidades incorporadas al repositorio.

Vulnerabilidad en Sunshine (CVE-2024-51738)

Fecha de publicación:
20/01/2025
Idioma:
Español
Sunshine es un servidor de transmisión de juegos autoalojado para Moonlight. En la versión 0.23.1 y anteriores, la implementación del protocolo de emparejamiento de Sunshine no valida el orden de las solicitudes y, por lo tanto, es vulnerable a un ataque MITM, lo que potencialmente permite que un atacante no autenticado empareje un cliente secuestrando un intento de emparejamiento legítimo. Un atacante remoto también puede usar este error para bloquear Sunshine. Esta vulnerabilidad se corrigió en 2025.118.151840.
Gravedad CVSS v4.0: ALTA
Última modificación:
11/09/2025

Vulnerabilidad en PhpSpreadsheet (CVE-2025-22131)

Fecha de publicación:
20/01/2025
Idioma:
Español
PhpSpreadsheet es una librería de PHP para leer y escribir archivos de hojas de cálculo. Vulnerabilidad de Cross-Site Scripting (XSS) en el código que traduce el archivo XLSX a una representación HTML y lo muestra en la respuesta.
Gravedad CVSS v4.0: MEDIA
Última modificación:
06/03/2025

Vulnerabilidad en IBM Security Verify Access e IBM Security Verify Access Docker (CVE-2024-45647)

Fecha de publicación:
20/01/2025
Idioma:
Español
IBM Security Verify Access 10.0.0 a 10.0.8 e IBM Security Verify Access Docker 10.0.0 a 10.0.8 podrían permitir que un usuario no verificado cambie la contraseña de un usuario vencido sin conocimiento previo de dicha contraseña.
Gravedad CVSS v3.1: MEDIA
Última modificación:
29/01/2025

Vulnerabilidad en WriteFreely (CVE-2025-24337)

Fecha de publicación:
20/01/2025
Idioma:
Español
WriteFreely hasta 0.15.1, cuando se utiliza MySQL, permite a los usuarios locales descubrir credenciales leyendo config.ini.
Gravedad CVSS v3.1: ALTA
Última modificación:
20/01/2025

Vulnerabilidad en kernel de Linux (CVE-2025-21655)

Fecha de publicación:
20/01/2025
Idioma:
Español
En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: io_uring/eventfd: garantizar que io_eventfd_signal() posponga otro período de RCU io_eventfd_do_signal() se invoca desde una devolución de llamada de RCU, pero al eliminar la referencia a io_ev_fd, llama a io_eventfd_free() directamente si El recuento cae a cero. Esto no es correcto, ya que cualquier posible liberación de io_ev_fd debería posponerse otro período de gracia de RCU. Simplemente llame a io_eventfd_put() en lugar de abrir el código dec-and-test y free, lo que lo diferirá correctamente a otro período de gracia de RCU.
Gravedad CVSS v3.1: MEDIA
Última modificación:
03/11/2025

Vulnerabilidad en OpenSSL Software Foundation (CVE-2024-13176)

Fecha de publicación:
20/01/2025
Idioma:
Español
Resumen del problema: Existe un canal lateral de temporización que potencialmente podría permitir recuperar la clave privada en el cálculo de la firma ECDSA. Resumen del impacto: Un canal lateral de temporización en los cálculos de firmas ECDSA podría permitir que un atacante recupere la clave privada. Sin embargo, para medir el tiempo se necesitaría acceso local a la aplicación de firma o una conexión de red muy rápida con baja latencia. Hay una señal de tiempo de alrededor de 300 nanosegundos cuando la palabra superior del valor nonce ECDSA invertido es cero. Esto puede suceder con una probabilidad significativa sólo para algunas de las curvas elípticas admitidas. En particular, la curva NIST P-521 se ve afectada. Para poder medir esta fuga, el proceso atacante debe estar ubicado en la misma computadora física o debe tener una conexión de red muy rápida con baja latencia. Por esa razón la severidad de esta vulnerabilidad es Baja.
Gravedad CVSS v3.1: MEDIA
Última modificación:
03/11/2025

Vulnerabilidad en CP Plus Router (CVE-2025-0479)

Fecha de publicación:
20/01/2025
Idioma:
Español
Esta vulnerabilidad existe en el enrutador CP Plus debido a la gestión insegura de los indicadores de cookies utilizados dentro de su interfaz web. Un atacante remoto podría aprovechar esta vulnerabilidad interceptando transmisiones de datos durante una sesión HTTP en el sistema vulnerable. La explotación exitosa de esta vulnerabilidad podría permitir al atacante obtener información confidencial y comprometer el sistema objetivo.
Gravedad CVSS v4.0: ALTA
Última modificación:
20/01/2025

Vulnerabilidad en kernel de Linux (CVE-2023-52923)

Fecha de publicación:
20/01/2025
Idioma:
Español
En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: netfilter: nf_tables: adaptar el backend del conjunto para usar la API de transacción de GC Use la API de transacción de GC para reemplazar la antigua y defectuosa API de gc y el enfoque de marca de ocupado. Ya no se eliminan elementos del conjunto de la recolección de basura asíncrona, en su lugar, se activa el bit _DEAD para que el elemento del conjunto ya no sea visible desde la ruta de búsqueda. La recolección de basura asíncrona pone en cola el trabajo de la transacción que podría abortarse y reintentarse más tarde. Los backends de conjunto de rbtree y pipapo no activan el bit _DEAD de la ruta de GC de sincronización, ya que esto se ejecuta en la ruta del plano de control donde se mantiene el mutex. En este caso, los elementos del conjunto se desactivan, se eliminan y luego se liberan a través de la devolución de llamada de RCU, la GC de sincronización nunca falla.
Gravedad CVSS v3.1: MEDIA
Última modificación:
15/10/2025

Vulnerabilidad en TECNOMobile (CVE-2025-0590)

Fecha de publicación:
20/01/2025
Idioma:
Español
La configuración de permisos incorrecta para aplicaciones móviles (com.transsion.carlcare) puede generar riesgo de fuga de información.
Gravedad CVSS v3.1: ALTA
Última modificación:
24/03/2025

Vulnerabilidad en a+HRD de aEnrich Technology (CVE-2025-0586)

Fecha de publicación:
20/01/2025
Idioma:
Español
a+HRD de aEnrich Technology tiene una vulnerabilidad de deserialización insegura, que permite a atacantes remotos con privilegios de modificación de base de datos y privilegios regulares del sistema realizar la ejecución de código arbitrario.
Gravedad CVSS v3.1: ALTA
Última modificación:
17/11/2025

Vulnerabilidad en a+HRD de aEnrich Technology (CVE-2025-0585)

Fecha de publicación:
20/01/2025
Idioma:
Español
a+HRD de aEnrich Technology tiene una vulnerabilidad de inyección SQL, que permite a atacantes remotos no autenticados inyectar comandos SQL arbitrarios para leer, modificar y eliminar contenidos de la base de datos.
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
17/11/2025

Vulnerabilidad en a+HRD de aEnrich Technology (CVE-2025-0584)

Fecha de publicación:
20/01/2025
Idioma:
Español
a+HRD de aEnrich Technology tiene un Server-side Request Forgery, lo que permite a atacantes remotos no autenticados explotar esta vulnerabilidad para sondear la red interna.
Gravedad CVSS v3.1: MEDIA
Última modificación:
17/11/2025