Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

017 - Ir a la línea de ayuda en Ciberseguridad    Ir a Agenda     Ir a Sala de prensa     Ir a suscripción de boletines

Ir al buscador

Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las ultimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las ultimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las ultimas vulnerabilidades incorporadas al repositorio.

CVE-2022-50637
Fecha de publicación:
09/12/2025
Idioma:
Inglés
*** Pendiente de traducción *** In the Linux kernel, the following vulnerability has been resolved:<br /> <br /> cpufreq: qcom-hw: Fix memory leak in qcom_cpufreq_hw_read_lut()<br /> <br /> If "cpu_dev" fails to get opp table in qcom_cpufreq_hw_read_lut(),<br /> the program will return, resulting in "table" resource is not released.
Gravedad: Pendiente de análisis
Última modificación:
09/12/2025

CVE-2022-50631
Fecha de publicación:
09/12/2025
Idioma:
Inglés
*** Pendiente de traducción *** In the Linux kernel, the following vulnerability has been resolved:<br /> <br /> RISC-V: kexec: Fix memory leak of fdt buffer<br /> <br /> This is reported by kmemleak detector:<br /> <br /> unreferenced object 0xff60000082864000 (size 9588):<br /> comm "kexec", pid 146, jiffies 4294900634 (age 64.788s)<br /> hex dump (first 32 bytes):<br /> d0 0d fe ed 00 00 12 ed 00 00 00 48 00 00 11 40 ...........H...@<br /> 00 00 00 28 00 00 00 11 00 00 00 02 00 00 00 00 ...(............<br /> backtrace:<br /> [] kmemleak_alloc+0x34/0x3e<br /> [] kmalloc_order+0x9c/0xc4<br /> [] kmalloc_order_trace+0x34/0xb6<br /> [] __kmalloc+0x5c2/0x62a<br /> [] kvmalloc_node+0x66/0xd6<br /> [] of_kexec_alloc_and_setup_fdt+0xa6/0x6ea<br /> [] elf_kexec_load+0x206/0x4ec<br /> [] kexec_image_load_default+0x40/0x4c<br /> [] sys_kexec_file_load+0x1c4/0x322<br /> [] ret_from_syscall+0x0/0x2<br /> <br /> In elf_kexec_load(), a buffer is allocated via kvmalloc() to store fdt.<br /> While it&amp;#39;s not freed back to system when kexec kernel is reloaded or<br /> unloaded. Then memory leak is caused. Fix it by introducing riscv<br /> specific function arch_kimage_file_post_load_cleanup(), and freeing the<br /> buffer there.
Gravedad: Pendiente de análisis
Última modificación:
09/12/2025

CVE-2013-10031
Fecha de publicación:
09/12/2025
Idioma:
Inglés
*** Pendiente de traducción *** Plack-Middleware-Session versions before 0.17 may be vulnerable to HMAC comparison timing attacks
Gravedad: Pendiente de análisis
Última modificación:
09/12/2025

CVE-2025-66204
Fecha de publicación:
09/12/2025
Idioma:
Inglés
*** Pendiente de traducción *** WBCE CMS is a content management system. Version 1.6.4 contains a brute-force protection bypass where an attacker can indefinitely reset the counter by modifying `X-Forwarded-For` on each request, gaining unlimited password guessing attempts, effectively bypassing all brute-force protection. The application fully trusts the `X-Forwarded-For` header without validating it or restricting its usage. This issue is fixed in version 1.6.5.
Gravedad CVSS v4.0: MEDIA
Última modificación:
09/12/2025

CVE-2025-66469
Fecha de publicación:
09/12/2025
Idioma:
Inglés
*** Pendiente de traducción *** NiceGUI is a Python-based UI framework. Versions 3.3.1 and below are vulnerable to Reflected XSS through its ui.add_css, ui.add_scss, and ui.add_sass functions. The functions lack proper sanitization or encoding for the JavaScript context they generate. An attacker can break out of the intended or tags by injecting closing tags (e.g., or ), allowing for the execution of arbitrary JavaScript. This issue is fixed in version 3.4.0.
Gravedad CVSS v3.1: MEDIA
Última modificación:
09/12/2025

CVE-2025-65962
Fecha de publicación:
09/12/2025
Idioma:
Inglés
*** Pendiente de traducción *** Tuleap is a free and open source suite for management of software development and collaboration. Versions of Tuleap Community Edition prior to 17.0.99.1763803709 and Tuleap Enterprise Edition versions prior to 17.0-4 and 16.13-9 are mission CSRF protections in its tracker field dependencies, allowing attackers to modify tracker fields. This issue is fixed in Tuleap Community Edition version 17.0.99.1763803709 and Tuleap Enterprise Edition versions 17.0-4 and 16.13-9.
Gravedad CVSS v3.1: MEDIA
Última modificación:
09/12/2025

CVE-2025-65964
Fecha de publicación:
09/12/2025
Idioma:
Inglés
*** Pendiente de traducción *** n8n is an open source workflow automation platform. Versions 0.123.1 through 1.119.1 do not have adequate protections to prevent RCE through the project&amp;#39;s pre-commit hooks. The Add Config operation allows workflows to set arbitrary Git configuration values, including core.hooksPath, which can point to a malicious Git hook that executes arbitrary commands on the n8n host during subsequent Git operations. Exploitation requires the ability to create or modify an n8n workflow using the Git node. This issue is fixed in version 1.119.2. Workarounds include excluding the Git Node (Docs) and avoiding cloning or interacting with untrusted repositories using the Git Node.
Gravedad CVSS v4.0: CRÍTICA
Última modificación:
09/12/2025

CVE-2025-66202
Fecha de publicación:
09/12/2025
Idioma:
Inglés
*** Pendiente de traducción *** Astro is a web framework. Versions 5.15.7 and below have a double URL encoding bypass which allows any unauthenticated attacker to bypass path-based authentication checks in Astro middleware, granting unauthorized access to protected routes. While the original CVE-2025-64765 was fixed in v5.15.8, the fix is insufficient as it only decodes once. By using double-encoded URLs, attackers can still bypass authentication and access any route protected by middleware pathname checks. This issue is fixed in version 5.15.8.
Gravedad CVSS v3.1: MEDIA
Última modificación:
09/12/2025

CVE-2025-64498
Fecha de publicación:
08/12/2025
Idioma:
Inglés
*** Pendiente de traducción *** Tuleap is an Open Source Suite for management of software development and collaboration. Tuleap Community Edition versions below 17.0.99.1762444754 and Tuleap Enterprise Edition versions prior to 17.0-2, 16.13-7 and 16.12-10 allow attackers trick victims into changing tracker general settings. This issue is fixed in version Tuleap Community Edition version 17.0.99.1762444754 and Tuleap Enterprise Edition versions 17.0-2, 16.13-7 and 16.12-10.
Gravedad CVSS v3.1: MEDIA
Última modificación:
08/12/2025

CVE-2025-64499
Fecha de publicación:
08/12/2025
Idioma:
Inglés
*** Pendiente de traducción *** Tuleap is a free and open source suite for management of software development and collaboration. Tuleap Community Editon versions prior to 17.0.99.1762456922 and Tuleap Enterprise Edition versions prior to 17.0-2, 16.13-7 and 16.12-10 are vulnerable to CSRF attacks through planning management API. Attackers have access to create, edit or remove plans. This issue is fixed in Tuleap Community Edition version 17.0.99.1762456922 and Tuleap Enterprise Edtion versions 17.0-2, 16.13-7 and 16.12-10.
Gravedad CVSS v3.1: MEDIA
Última modificación:
08/12/2025

CVE-2025-64760
Fecha de publicación:
08/12/2025
Idioma:
Inglés
*** Pendiente de traducción *** Tuleap is a free and open source suite for management of software development and collaboration. Versions of Tuleap Community Edition prior to 17.0.99.1763126988 and Tuleap Enterprise Edition prior to 17.0-3 and 16.13-8 have missing CSRF protections which allow attackers to create or remove tracker triggers. This issue is fixed in Tuleap Community Edition version 17.0.99.1763126988 and Tuleap Enterprise Edition versions 17.0-3 and 16.13-8.
Gravedad CVSS v3.1: MEDIA
Última modificación:
08/12/2025

CVE-2025-36140
Fecha de publicación:
08/12/2025
Idioma:
Inglés
*** Pendiente de traducción *** IBM watsonx.data 2.2 through 2.2.1 could allow an authenticated user to cause a denial of service through ingestion pods due to improper allocation of resources without limits.
Gravedad CVSS v3.1: MEDIA
Última modificación:
08/12/2025
Suscribirse a Vulnerabilidades