Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las ultimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las ultimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las ultimas vulnerabilidades incorporadas al repositorio.

CVE-2025-12678

Fecha de publicación:

21/11/2025

Idioma:

Inglés

*** Pendiente de traducción *** Rejected reason: This CVE ID has been rejected or withdrawn by its CVE Numbering Authority.

Gravedad: Pendiente de análisis

Última modificación:

21/11/2025

CVE-2025-12888

Fecha de publicación:

21/11/2025

Idioma:

Inglés

*** Pendiente de traducción *** Vulnerability in X25519 constant-time cryptographic implementations due to timing side channels introduced by compiler optimizations and CPU architecture limitations, specifically with the Xtensa-based ESP32 chips. If targeting Xtensa it is recommended to use the low memory implementations of X25519, which is now turned on as the default for Xtensa.

Gravedad CVSS v4.0: BAJA

Última modificación:

21/11/2025

CVE-2025-11931

Fecha de publicación:

21/11/2025

Idioma:

Inglés

*** Pendiente de traducción *** Integer Underflow Leads to Out-of-Bounds Access in XChaCha20-Poly1305 Decrypt. This issue is hit specifically with a call to the function wc_XChaCha20Poly1305_Decrypt() which is not used with TLS connections, only from direct calls from an application.

Gravedad CVSS v4.0: BAJA

Última modificación:

21/11/2025

CVE-2025-65107

Fecha de publicación:

21/11/2025

Idioma:

Inglés

*** Pendiente de traducción *** Langfuse is an open source large language model engineering platform. In versions from 2.95.0 to before 2.95.12 and from 3.17.0 to before 3.131.0, in SSO provider configurations without an explicit AUTH__CHECK setting, a potential account takeover may happen if an authenticated user is made to call a specifically crafted URL via a CSRF or phishing attack. This issue has been patched in versions 2.95.12 and 3.131.0. A workaround for this issue involves setting AUTH__CHECK.

Gravedad CVSS v3.1: MEDIA

Última modificación:

21/11/2025

CVE-2025-65108

Fecha de publicación:

21/11/2025

Idioma:

Inglés

*** Pendiente de traducción *** md-to-pdf is a CLI tool for converting Markdown files to PDF using Node.js and headless Chrome. Prior to version 5.2.5, a Markdown front-matter block that contains JavaScript delimiter causes the JS engine in gray-matter library to execute arbitrary code in the Markdown to PDF converter process of md-to-pdf library, resulting in remote code execution. This issue has been patched in version 5.2.5.

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

21/11/2025

CVE-2025-65109

Fecha de publicación:

21/11/2025

Idioma:

Inglés

*** Pendiente de traducción *** Minder is an open source software supply chain security platform. In Minder Helm version 0.20241106.3386+ref.2507dbf and Minder Go versions from 0.0.72 to 0.0.83, Minder users may fetch content in the context of the Minder server, which may include URLs which the user would not normally have access to. This issue has been patched in Minder Helm version 0.20250203.3849+ref.fdc94f0 and Minder Go version 0.0.84.

Gravedad CVSS v4.0: ALTA

Última modificación:

21/11/2025

CVE-2025-65111

Fecha de publicación:

21/11/2025

Idioma:

Inglés

*** Pendiente de traducción *** SpiceDB is an open source database system for creating and managing security-critical application permissions. Prior to version 1.47.1, if a schema includes the following characteristics: permission defined in terms of a union (+) and that union references the same relation on both sides (but one side arrows to a different permission). Then SpiceDB may have missing LookupResources results when checking the permission. This only affects LookupResources; other APIs calculate permissionship correctly. The issue is fixed in version 1.47.1.

Gravedad CVSS v4.0: BAJA

Última modificación:

21/11/2025

CVE-2025-65092

Fecha de publicación:

21/11/2025

Idioma:

Inglés

*** Pendiente de traducción *** ESF-IDF is the Espressif Internet of Things (IOT) Development Framework. In versions 5.5.1, 5.4.3, and 5.3.4, when the ESP32-P4 uses its hardware JPEG decoder, the software parser lacks necessary validation checks. A specially crafted (malicious) JPEG image could exploit the parsing routine and trigger an out-of-bounds array access. This issue has been fixed in versions 5.5.2, 5.4.4, and 5.3.5. At time of publication versions 5.5.2, 5.4.4, and 5.3.5 have not been released but are fixed respectively in commits 4b8f585, c79cb4d, and 34e2726.

Gravedad CVSS v4.0: MEDIA

Última modificación:

21/11/2025

CVE-2025-65102

Fecha de publicación:

21/11/2025

Idioma:

Inglés

*** Pendiente de traducción *** PJSIP is a free and open source multimedia communication library. Prior to version 2.16, Opus PLC may zero-fill the input frame as long as the decoder ptime, while the input frame length, which is based on stream ptime, may be less than that. This issue affects PJSIP users who use the Opus audio codec in receiving direction. The vulnerability can lead to unexpected application termination due to a memory overwrite. This issue has been patched in version 2.16.

Gravedad CVSS v4.0: ALTA

Última modificación:

21/11/2025

CVE-2025-65106

Fecha de publicación:

21/11/2025

Idioma:

Inglés

*** Pendiente de traducción *** LangChain is a framework for building agents and LLM-powered applications. From versions 0.3.79 and prior and 1.0.0 to 1.0.6, a template injection vulnerability exists in LangChain&#39;s prompt template system that allows attackers to access Python object internals through template syntax. This vulnerability affects applications that accept untrusted template strings (not just template variables) in ChatPromptTemplate and related prompt template classes. This issue has been patched in versions 0.3.80 and 1.0.7.

Gravedad CVSS v4.0: ALTA

Última modificación:

21/11/2025

CVE-2025-31216

Fecha de publicación:

21/11/2025

Idioma:

Inglés

*** Pendiente de traducción *** The issue was addressed with improved checks. This issue is fixed in iPadOS 17.7.7, iOS 18.5 and iPadOS 18.5. An attacker with physical access to a device may be able to override managed Wi-Fi profiles.

Gravedad CVSS v3.1: BAJA

Última modificación:

23/11/2025

CVE-2025-31248

Fecha de publicación:

21/11/2025

Idioma:

Inglés

*** Pendiente de traducción *** A parsing issue in the handling of directory paths was addressed with improved path validation. This issue is fixed in macOS Ventura 13.7.3, macOS Sequoia 15.5, macOS Sonoma 14.7.3. An app may be able to access sensitive user data.

Gravedad CVSS v3.1: MEDIA

Última modificación:

23/11/2025

Suscribirse a Vulnerabilidades