Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las últimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las últimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las últimas vulnerabilidades incorporadas al repositorio.

Vulnerabilidad en wandb/openui (CVE-2024-10649)

Fecha de publicación:

10/02/2025

Idioma:

Español

El ultimo commit c945bb859979659add5f490a874140ad17c56a5d de wandb/openui contiene una vulnerabilidad en la que los endpoints no autenticados permiten la carga y descarga de archivos desde un depósito S3 de AWS. Esto puede provocar múltiples problemas de seguridad, como denegación de servicio, XSS almacenado y divulgación de información. Los endpoints afectados son &#39;/v1/share/{id:str}&#39; para la carga y &#39;/v1/share/{id:str}&#39; para la descarga de archivos JSON. La falta de autenticación permite que cualquier usuario cargue y sobrescriba archivos, lo que puede provocar que el depósito S3 se quede sin espacio, inyecte scripts maliciosos y acceda a información confidencial.

Gravedad CVSS v3.1: MEDIA

Última modificación:

15/04/2026

Vulnerabilidad en WP Foodbakery para WordPress (CVE-2024-13010)

Fecha de publicación:

10/02/2025

Idioma:

Español

El complemento WP Foodbakery para WordPress es vulnerable a Cross-Site Scripting Reflejado en versiones hasta la 4.7 incluida debido a una depuración de entrada insuficiente y al escape de salida en el parámetro &#39;search_type&#39;. Esto hace posible que atacantes no autenticados inyecten secuencias de comandos web arbitrarias en páginas que se ejecutan si logran engañar a un usuario para que realice una acción como hacer clic en un enlace.

Gravedad CVSS v3.1: MEDIA

Última modificación:

15/04/2026

Vulnerabilidad en WP Foodbakery para WordPress (CVE-2024-13011)

Fecha de publicación:

10/02/2025

Idioma:

Español

El complemento WP Foodbakery para WordPress es vulnerable a la carga de archivos arbitrarios debido a una validación insuficiente del tipo de archivo en la función &#39;upload_publisher_profile_image&#39; en versiones hasta la 4.7 incluida. Esto hace posible que atacantes no autenticados carguen archivos arbitrarios en el servidor del sitio afectado, lo que puede hacer posible la ejecución remota de código.

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

15/04/2026

Vulnerabilidad en Hickory DNS (CVE-2025-25188)

Fecha de publicación:

10/02/2025

Idioma:

Español

Hickory DNS es un cliente, servidor y solucionador de DNS basado en Rust. Una vulnerabilidad presente a partir de la versión 0.8.0 y anteriores a las versiones 0.24.3 y 0.25.0-alpha.5 afecta a los usuarios de Hickory DNS que dependen de la verificación DNSSEC en la librería cliente, el solucionador de stub o el solucionador recursivo. Las rutinas de validación DNSSEC tratan conjuntos RR completos de registros DNSKEY como confiables una vez que han establecido confianza en solo uno de los DNSKEY. Como resultado, si una zona incluye un DNSKEY con una clave pública que coincide con un ancla de confianza configurada, se confiará en todas las claves de esa zona para autenticar otros registros en la zona. Existe una segunda variante de esta vulnerabilidad que involucra registros DS, donde un registro DS autenticado que cubre un DNSKEY lleva a confiar en las firmas realizadas por un DNSKEY no relacionado en la misma zona. Las versiones 0.24.3 y 0.25.0-alpha.5 solucionan el problema.

Gravedad CVSS v4.0: MEDIA

Última modificación:

15/04/2026

Vulnerabilidad en GNU Binutils 2.43 (CVE-2025-1152)

Fecha de publicación:

10/02/2025

Idioma:

Español

Se ha encontrado una vulnerabilidad clasificada como problemática en GNU Binutils 2.43. La función xstrdup del archivo xstrdup.c del componente ld está afectada. La manipulación provoca una fuga de memoria. Es posible lanzar el ataque de forma remota. La complejidad de un ataque es bastante alta. Se dice que la explotabilidad es difícil. El exploit se ha hecho público y puede utilizarse. Se recomienda aplicar un parche para solucionar este problema. El responsable del código explica: "No voy a enviar algunas de las correcciones de fugas en las que he estado trabajando a la rama 2.44 debido a la preocupación de que desestabilizarían ld. Todas las fugas informadas en este bugzilla se han solucionado en binutils master".

Gravedad CVSS v4.0: BAJA

Última modificación:

03/03/2025

Vulnerabilidad en /comm/upload de cool-admin-java v1.0 (CVE-2024-57408)

Fecha de publicación:

10/02/2025

Idioma:

Español

Una vulnerabilidad de carga de archivos arbitrarios en el componente /comm/upload de cool-admin-java v1.0 permite a los atacantes ejecutar código arbitrario mediante la carga de un archivo manipulado específicamente.

Gravedad CVSS v3.1: ALTA

Última modificación:

22/10/2025

Vulnerabilidad en cool-admin-java v1.0 (CVE-2024-57409)

Fecha de publicación:

10/02/2025

Idioma:

Español

Una vulnerabilidad de cross site scripting (XSS) almacenado en el módulo Lista de parámetros de cool-admin-java v1.0 permite a los atacantes ejecutar scripts web o HTML arbitrarios mediante la inyección de un payload especialmente manipulado en el campo de imágenes de Internet.

Gravedad CVSS v3.1: MEDIA

Última modificación:

23/10/2025

Vulnerabilidad en /userPicture de Timo v2.0.3 (CVE-2024-57407)

Fecha de publicación:

10/02/2025

Idioma:

Español

Una vulnerabilidad de carga de archivos arbitrarios en el componente /userPicture de Timo v2.0.3 permite a los atacantes ejecutar código arbitrario mediante la carga de un archivo manipulado específicamente.

Gravedad CVSS v3.1: ALTA

Última modificación:

15/04/2026

Vulnerabilidad en OneBlog v2.3.6 (CVE-2024-54954)

Fecha de publicación:

10/02/2025

Idioma:

Español

Se descubrió que OneBlog v2.3.6 contenía una vulnerabilidad de inyección de plantillas a través del departamento de gestión de plantillas.

Gravedad CVSS v3.1: ALTA

Última modificación:

28/03/2025

Vulnerabilidad en PHPGurukul Small CRM 3.0 (CVE-2024-48170)

Fecha de publicación:

10/02/2025

Idioma:

Español

PHPGurukul Small CRM 3.0 es vulnerable a Cross Site Scripting (XSS) a través de un payload manipulado inyectado en el nombre en profile.php.

Gravedad CVSS v3.1: MEDIA

Última modificación:

18/02/2025

Vulnerabilidad en GNU Binutils 2.43 (CVE-2025-1150)

Fecha de publicación:

10/02/2025

Idioma:

Español

Se ha encontrado una vulnerabilidad en GNU Binutils 2.43. Se ha declarado como problemática. Esta vulnerabilidad afecta a la función bfd_malloc del archivo libbfd.c del componente ld. La manipulación provoca una fuga de memoria. El ataque puede iniciarse de forma remota. La complejidad de un ataque es bastante alta. La explotación parece ser difícil. El exploit se ha hecho público y puede utilizarse. Se recomienda aplicar un parche para solucionar este problema. El responsable del código explica: "No voy a enviar algunas de las correcciones de fugas en las que he estado trabajando a la rama 2.44 debido a la preocupación de que desestabilizarían ld. Todas las fugas informadas en este bugzilla se han solucionado en binutils master".

Gravedad CVSS v4.0: BAJA

Última modificación:

11/03/2025

Vulnerabilidad en GNU Binutils 2.43 (CVE-2025-1151)

Fecha de publicación:

10/02/2025

Idioma:

Español

Se ha encontrado una vulnerabilidad en GNU Binutils 2.43. Se ha calificado como problemática. Este problema afecta a la función xmemdup del archivo xmemdup.c del componente ld. La manipulación provoca una fuga de memoria. El ataque puede iniciarse de forma remota. La complejidad de un ataque es bastante alta. Se sabe que la explotación es difícil. El exploit se ha revelado al público y puede utilizarse. Se recomienda aplicar un parche para solucionar este problema. El responsable del código explica: "No voy a enviar algunas de las correcciones de fugas en las que he estado trabajando a la rama 2.44 debido a la preocupación de que desestabilizarían ld. Todas las fugas informadas en este bugzilla se han solucionado en binutils master".

Gravedad CVSS v4.0: BAJA

Última modificación:

10/02/2025

Suscribirse a Vulnerabilidades