Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las últimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las últimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las últimas vulnerabilidades incorporadas al repositorio.

Vulnerabilidad en VRED Design (CVE-2024-7995)

Fecha de publicación:
05/11/2024
Idioma:
Español
Al descargar un archivo binario creado con fines malintencionados, se podría producir una escalada de privilegios a NT AUTHORITY/SYSTEM debido a que se utiliza una ruta de búsqueda no confiable en la aplicación VRED Design. La explotación de esta vulnerabilidad puede provocar la ejecución de código.
Gravedad CVSS v3.1: ALTA
Última modificación:
18/08/2025

Vulnerabilidad en AuthKit para Next.js (CVE-2024-51752)

Fecha de publicación:
05/11/2024
Idioma:
Español
La librería AuthKit para Next.js ofrece ayudas prácticas para la autenticación y la gestión de sesiones mediante WorkOS y AuthKit con Next.js. En las versiones afectadas, los tokens de actualización se registran en la consola cuando se habilita la bandera `debug` (deshabilitada de forma predeterminada). Este problema se ha corregido en la versión 0.13.2 y se recomienda a todos los usuarios que actualicen. No existen workarounds conocidos para esta vulnerabilidad.
Gravedad CVSS v4.0: BAJA
Última modificación:
11/12/2025

Vulnerabilidad en AuthKit para Remix (CVE-2024-51753)

Fecha de publicación:
05/11/2024
Idioma:
Español
La librería AuthKit para Remix ofrece asistentes prácticos para la autenticación y la gestión de sesiones mediante WorkOS y AuthKit con Remix. En las versiones afectadas, los tokens de actualización se registran en la consola cuando se habilita la bandera `debug` (deshabilitada de forma predeterminada). Este problema se ha corregido en la versión 0.4.1. Se recomienda a todos los usuarios que actualicen. No existen workarounds conocidos para esta vulnerabilidad.
Gravedad CVSS v4.0: BAJA
Última modificación:
15/04/2026

Vulnerabilidad en Combodo iTop (CVE-2024-51740)

Fecha de publicación:
05/11/2024
Idioma:
Español
Combodo iTop es una herramienta de gestión de servicios de TI sencilla y basada en la web. Esta vulnerabilidad se puede utilizar para crear solicitudes HTTP en nombre del servidor desde un usuario con pocos privilegios. El administrador de formularios del portal de usuarios se ha corregido para que solo cree instancias de clases derivadas de él. Este problema se ha solucionado en las versiones 2.7.11, 3.0.5, 3.1.2 y 3.2.0. Se recomienda a los usuarios que actualicen la versión. No se conocen workarounds para esta vulnerabilidad.
Gravedad CVSS v3.1: ALTA
Última modificación:
08/11/2024

Vulnerabilidad en Gitsign (CVE-2024-51746)

Fecha de publicación:
05/11/2024
Idioma:
Español
Gitsign es una herramienta de firma de Sigstore sin clave para las confirmaciones de Git con su identidad de GitHub/OIDC. gitsign puede seleccionar la entrada de Rekor incorrecta para usar durante la verificación en línea cuando el registro devuelve varias entradas. gitsign usa la API de búsqueda de Rekor para obtener las entradas que se aplican a una firma que se está verificando. Los parámetros utilizados para la búsqueda son la clave pública y el payload. La API de búsqueda devuelve las entradas que coinciden con una de las condiciones en lugar de ambas. Cuando se usa el caché de credenciales de gitsign, puede haber varias entradas que usen el mismo certificado de firma/par de claves efímeras. Como gitsign asume que Rekor cumple con ambas condiciones, no hay una validación adicional de que el hash de la entrada coincida con el payload que se está verificando, lo que significa que se puede usar la entrada incorrecta para pasar la verificación con éxito. El impacto es mínimo ya que, si bien gitsign no compara el payload con la entrada, sí garantiza que el certificado coincida. Esto debería ser explotado durante la ventana de validez del certificado (10 minutos) por el titular de la clave.
Gravedad CVSS v4.0: BAJA
Última modificación:
15/04/2026

Vulnerabilidad en SuiteCRM (CVE-2024-50335)

Fecha de publicación:
05/11/2024
Idioma:
Español
SuiteCRM es una aplicación de software de gestión de relaciones con los clientes (CRM) de código abierto y preparada para empresas. El campo "Clave de publicación" de la página Editar perfil de SuiteCRM es vulnerable a Cross-Site Scripting reflejado (XSS), lo que permite a un atacante inyectar código JavaScript malicioso. Esto se puede aprovechar para robar tokens CSRF y realizar acciones no autorizadas, como crear nuevos usuarios administrativos sin la autenticación adecuada. La vulnerabilidad surge debido a una validación de entrada y una limpieza insuficientes del campo Clave de publicación dentro de la aplicación SuiteCRM. Cuando un atacante inyecta un script malicioso, se ejecuta dentro del contexto de la sesión de un usuario autenticado. El script inyectado (o.js) aprovecha el token CSRF capturado para falsificar solicitudes que crean nuevos usuarios administrativos, lo que compromete de manera efectiva la integridad y la seguridad de la instancia de CRM. Este problema se ha solucionado en las versiones 7.14.6 y 8.7.1. Se recomienda a los usuarios que actualicen. No existen workarounds conocidas para esta vulnerabilidad.
Gravedad CVSS v3.1: MEDIA
Última modificación:
08/11/2024

Vulnerabilidad en JATOS v3.9.3 (CVE-2024-51379)

Fecha de publicación:
05/11/2024
Idioma:
Español
Vulnerabilidad de Cross Site Scripting (XSS) almacenado descubierta en JATOS v3.9.3. La vulnerabilidad existe en el componente de descripción de la sección de estudio, donde un atacante puede inyectar JavaScript en el campo de descripción. Esto permite la ejecución de scripts maliciosos cuando un administrador ve la descripción, lo que puede provocar la apropiación de cuentas y acciones no autorizadas.
Gravedad CVSS v3.1: ALTA
Última modificación:
24/06/2025

Vulnerabilidad en JATOS v3.9.3 (CVE-2024-51380)

Fecha de publicación:
05/11/2024
Idioma:
Español
Vulnerabilidad de Cross Site Scripting (XSS) almacenado descubierta en el componente Propiedades de JATOS v3.9.3. Este fallo permite a un atacante inyectar código JavaScript malicioso en la sección de propiedades de un estudio, específicamente en el campo UUID. Cuando un usuario administrador accede a las propiedades del estudio, el código inyectado se ejecuta en el navegador del administrador, lo que podría provocar acciones no autorizadas, como la vulneración de la cuenta y la escalada de privilegios.
Gravedad CVSS v3.1: ALTA
Última modificación:
24/06/2025

Vulnerabilidad en JATOS v3.9.3 (CVE-2024-51381)

Fecha de publicación:
05/11/2024
Idioma:
Español
Vulnerabilidad de Cross-Site Request Forgery (CSRF) en JATOS v3.9.3 que permite a los atacantes realizar acciones reservadas a los administradores, incluida la creación de cuentas de administrador. Este fallo crítico puede conducir a actividades no autorizadas, lo que compromete la seguridad y la integridad de la plataforma, especialmente si un atacante obtiene el control administrativo.
Gravedad CVSS v3.1: ALTA
Última modificación:
24/06/2025

Vulnerabilidad en JATOS v3.9.3 (CVE-2024-51382)

Fecha de publicación:
05/11/2024
Idioma:
Español
La vulnerabilidad de Cross-Site Request Forgery (CSRF) en JATOS v3.9.3 permite a un atacante restablecer la contraseña del administrador. Este fallo de seguridad crítica puede generar acceso no autorizado a la plataforma, lo que permite a los atacantes secuestrar cuentas de administrador y comprometer la integridad y seguridad del sistema.
Gravedad CVSS v3.1: ALTA
Última modificación:
24/06/2025

Vulnerabilidad en OctoPrint (CVE-2024-51493)

Fecha de publicación:
05/11/2024
Idioma:
Español
OctoPrint proporciona una interfaz web para controlar impresoras 3D de consumo. Las versiones de OctoPrint hasta la 1.10.2 incluida contienen una vulnerabilidad que permite a un atacante que ha obtenido control temporal sobre la sesión del navegador OctoPrint de una víctima autenticada recuperar/recrear/eliminar la clave API del usuario o (si la víctima tiene permisos de administrador) la clave API global sin tener que volver a autenticarse ingresando nuevamente la contraseña de la cuenta de usuario. Un atacante podría usar una clave API robada para acceder a OctoPrint a través de su API o interrumpir los flujos de trabajo según la clave API que haya eliminado. Esta vulnerabilidad se solucionará en la versión 1.10.3 y se recomienda a todos los usuarios que actualicen. No se conocen workarounds para esta vulnerabilidad.
Gravedad CVSS v3.1: MEDIA
Última modificación:
18/12/2024

Vulnerabilidad en OpenWRT Luci LTS (CVE-2024-51240)

Fecha de publicación:
05/11/2024
Idioma:
Español
Un problema en el paquete luci-mod-rpc en OpenWRT Luci LTS permite la escalada de privilegios desde una cuenta de administrador a root a través de JSON-RPC-API, que está expuesta por el paquete luci-mod-rpc
Gravedad CVSS v3.1: ALTA
Última modificación:
15/04/2026