Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las ultimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las ultimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las ultimas vulnerabilidades incorporadas al repositorio.

Vulnerabilidad en 70mai 1S (CVE-2025-6525)

Fecha de publicación:
23/06/2025
Idioma:
Español
Se detectó una vulnerabilidad clasificada como problemática en 70mai 1S hasta 20250611. Esta vulnerabilidad afecta al código desconocido del archivo /cgi-bin/Config.cgi?action=set del componente Configuration Handler. La manipulación provoca una autorización indebida. El ataque debe abordarse dentro de la red local. Se ha hecho público el exploit y puede que sea utilizado. Se contactó al proveedor con antelación sobre esta divulgación, pero no respondió de ninguna manera.
Gravedad CVSS v4.0: MEDIA
Última modificación:
26/06/2025

Vulnerabilidad en 70mai M300 (CVE-2025-6526)

Fecha de publicación:
23/06/2025
Idioma:
Español
Se ha detectado una vulnerabilidad clasificada como problemática en 70mai M300 hasta el 20250611. Este problema afecta a un procesamiento desconocido del componente HTTP Server. La manipulación da lugar a credenciales con protección insuficiente. El ataque solo puede realizarse dentro de la red local. Es un ataque de complejidad bastante alta. Parece difícil de explotar. Se ha hecho público el exploit y puede que sea utilizado. Se contactó al proveedor con antelación sobre esta divulgación, pero no respondió.
Gravedad CVSS v4.0: BAJA
Última modificación:
26/06/2025

Vulnerabilidad en 70mai 1S (CVE-2025-6524)

Fecha de publicación:
23/06/2025
Idioma:
Español
Se ha detectado una vulnerabilidad clasificada como problemática en 70mai 1S hasta 20250611. Esta afecta a una parte desconocida del componente Servicios de Vídeo. La manipulación provoca una autenticación incorrecta. Se requiere acceso a la red local para que este ataque tenga éxito. Es un ataque de complejidad bastante alta. Parece difícil de explotar. Se ha hecho público el exploit y puede que sea utilizado. Se contactó al proveedor con antelación sobre esta divulgación, pero no respondió.
Gravedad CVSS v4.0: BAJA
Última modificación:
26/06/2025

Vulnerabilidad en changedetection.io (CVE-2025-52558)

Fecha de publicación:
23/06/2025
Idioma:
Español
changedetection.io es un servicio gratuito de código abierto que detecta cambios en páginas web, vigila sitios web, monitoriza reabastecimiento y notifica. Antes de la versión 0.50.4, los errores en los filtros de los vigilantes de detección de cambios en páginas web no se filtraban, lo que provocaba una vulnerabilidad de cross-site scripting (XSS). Este problema se ha corregido en la versión 0.50.4.
Gravedad CVSS v4.0: ALTA
Última modificación:
26/06/2025

Vulnerabilidad en HTMLSanitizer.jl (CVE-2025-52561)

Fecha de publicación:
23/06/2025
Idioma:
Español
HTMLSanitizer.jl es un depurador de HTML basado en listas blancas. Antes de la versión 0.2.1, al añadir la etiqueta de estilo a la lista blanca, el contenido dentro de la etiqueta se eliminaba incorrectamente del escape, y las etiquetas de cierre inyectadas como contenido se interpretaban como HTML real, lo que permitía la inyección de etiquetas y la ejecución de JavaScript. Esto podía provocar cross-site scripting (XSS) en cualquier HTML depurado con esta librería. Este problema se ha corregido en la versión 0.2.1. Una solución alternativa consiste en añadir manualmente los elementos math y SVG a la lista blanca.
Gravedad CVSS v4.0: MEDIA
Última modificación:
26/06/2025

Vulnerabilidad en Convoy (CVE-2025-52562)

Fecha de publicación:
23/06/2025
Idioma:
Español
Convoy es un panel de administración de servidores KVM para empresas de hosting. En las versiones 3.9.0-rc3 y anteriores a la 4.4.1, existe una vulnerabilidad de navegación de directorios en el componente LocaleController de Performave Convoy. Un atacante remoto no autenticado puede explotar esta vulnerabilidad enviando una solicitud HTTP especialmente manipulada con parámetros de configuración regional y de espacio de nombres maliciosos. Esto permite al atacante incluir y ejecutar archivos PHP arbitrarios en el servidor. Este problema se ha corregido en la versión 4.4.1. Una solución temporal consiste en implementar reglas estrictas de firewall de aplicaciones web (WAF) para las solicitudes entrantes dirigidas a los endpoints vulnerables.
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
26/06/2025

Vulnerabilidad en langchain-ai/langchain (CVE-2025-2828)

Fecha de publicación:
23/06/2025
Idioma:
Español
Existe una vulnerabilidad de Server-Side Request Forgery (SSRF) en el componente RequestsToolkit del paquete langchain-community (en concreto, langchain_community.agent_toolkits.openapi.toolkit.RequestsToolkit) en la versión 0.0.27 de langchain-ai/langchain. Esta vulnerabilidad se debe a que el kit de herramientas no impone restricciones a las solicitudes a direcciones de internet remotas, lo que le permite acceder también a direcciones locales. Por lo tanto, un atacante podría explotar esta vulnerabilidad para realizar escaneos de puertos, acceder a servicios locales, recuperar metadatos de instancias de entornos en la nube (p. ej., Azure, AWS) e interactuar con servidores de la red local. Este problema se ha corregido en la versión 0.0.28.
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
16/07/2025

Vulnerabilidad en Mitel OpenScape Accounting Management (CVE-2025-23092)

Fecha de publicación:
23/06/2025
Idioma:
Español
Mitel OpenScape Accounting Management (versión V5 R1.1.0) podría permitir que un atacante autenticado con privilegios administrativos realice un ataque de path traversal debido a una depuración insuficiente de la entrada del usuario. Una explotación exitosa podría permitir que un atacante cargue archivos arbitrarios y ejecute comandos no autorizados.
Gravedad CVSS v3.1: ALTA
Última modificación:
26/06/2025

Vulnerabilidad en Mitel OpenScape Xpressions (CVE-2025-48026)

Fecha de publicación:
23/06/2025
Idioma:
Español
Una vulnerabilidad en el componente WebApl de Mitel OpenScape Xpressions (V7R1 FR5 HF43 P913) podría permitir que un atacante no autenticado realice un ataque de path traversal debido a una validación de entrada insuficiente. Una explotación exitosa podría permitir que un atacante lea archivos del sistema operativo subyacente y obtenga información confidencial.
Gravedad CVSS v3.1: ALTA
Última modificación:
24/06/2025

Vulnerabilidad en Quarkus (CVE-2025-49574)

Fecha de publicación:
23/06/2025
Idioma:
Español
Quarkus es un framework nativo de la nube (Linux) basado en contenedores para la escritura de aplicaciones Java. En versiones anteriores a la 3.24.0, existía una posible fuga de datos al duplicar un contexto duplicado. Quarkus utiliza ampliamente el contexto duplicado de Vert.x para implementar la propagación del contexto. Con la nueva semántica, los datos de una transacción pueden filtrarse a los de otra. Desde la perspectiva de Vert.x, esta nueva semántica clarifica el comportamiento. Una cantidad significativa de datos se almacena en el contexto duplicado, incluyendo el alcance de la solicitud, los detalles de seguridad y los metadatos. Duplicar un contexto duplicado es bastante inusual y solo ocurre en algunos lugares. Este problema se ha corregido en la versión 3.24.0.
Gravedad CVSS v3.1: MEDIA
Última modificación:
23/06/2025

Vulnerabilidad en Texas Instruments LP-CC2652RB SimpleLink CC13XX CC26XX SDK 7.41.00.17 (CVE-2025-44528)

Fecha de publicación:
23/06/2025
Idioma:
Español
Un problema en Texas Instruments LP-CC2652RB SimpleLink CC13XX CC26XX SDK 7.41.00.17 permite a los atacantes provocar una denegación de servicio (DoS) mediante el envío de un paquete LL_Pause_Enc_Req manipulado durante la fase de autenticación y conexión, lo que provoca una denegación de servicio (DoS).
Gravedad CVSS v3.1: ALTA
Última modificación:
24/06/2025

Vulnerabilidad en NCR Terminal Handler v.1.5.1 (CVE-2023-47030)

Fecha de publicación:
23/06/2025
Idioma:
Español
Un problema en NCR Terminal Handler v.1.5.1 permite a un atacante remoto ejecutar código arbitrario y obtener información confidencial a través de una solicitud GET a un endpoint de API SOAP UserService para validar si un usuario existe.
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
25/06/2025