Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las ultimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las ultimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las ultimas vulnerabilidades incorporadas al repositorio.

CVE-2025-11521

Fecha de publicación:

11/11/2025

Idioma:

Inglés

*** Pendiente de traducción *** The Astra Security Suite – Firewall & Malware Scan plugin for WordPress is vulnerable to arbitrary file uploads due to insufficient validation of remote URLs for zip downloads and an easily guessable key in all versions up to, and including, 0.2. This makes it possible for unauthenticated attackers to upload arbitrary files on the affected site&#39;s server which may make remote code execution possible.

Gravedad CVSS v3.1: ALTA

Última modificación:

12/11/2025

CVE-2025-11532

Fecha de publicación:

11/11/2025

Idioma:

Inglés

*** Pendiente de traducción *** The Wisly plugin for WordPress is vulnerable to Insecure Direct Object Reference in all versions up to, and including, 1.0.0 due to missing validation on the &#39;wishlist_id&#39; user controlled key. This makes it possible for unauthenticated attackers to remove and add items to other user&#39;s wishlists.

Gravedad CVSS v3.1: MEDIA

Última modificación:

12/11/2025

CVE-2025-11129

Fecha de publicación:

11/11/2025

Idioma:

Inglés

*** Pendiente de traducción *** The Include Fussball.de Widgets plugin for WordPress is vulnerable to Stored Cross-Site Scripting via the &#39;api&#39; and &#39;type&#39; parameters in all versions up to, and including, 4.0.0 due to insufficient input sanitization and output escaping. This makes it possible for authenticated attackers, with Contributor-level access and above, to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page.

Gravedad CVSS v3.1: MEDIA

Última modificación:

12/11/2025

CVE-2025-42924

Fecha de publicación:

11/11/2025

Idioma:

Inglés

*** Pendiente de traducción *** SAP S/4HANA landscape SAP E-Recruiting BSP allows an unauthenticated attacker to craft malicious links, when clicked the victim could be redirected to the page controlled by the attacker. This has low impact on confidentiality and integrity of the application with no impact on availability.

Gravedad CVSS v3.1: MEDIA

Última modificación:

12/11/2025

CVE-2025-42940

Fecha de publicación:

11/11/2025

Idioma:

Inglés

*** Pendiente de traducción *** SAP CommonCryptoLib does not perform necessary boundary checks during pre-authentication parsing of manipulated ASN.1 data over the network. This may result in memory corruption followed by an application crash, hence leading to a high impact on availability. There is no impact on confidentiality or integrity.

Gravedad CVSS v3.1: ALTA

Última modificación:

12/11/2025

CVE-2025-42893

Fecha de publicación:

11/11/2025

Idioma:

Inglés

*** Pendiente de traducción *** Due to an Open Redirect vulnerability in SAP Business Connector, an unauthenticated attacker could craft a malicious URL that, if accessed by a victim, redirects them to an attacker-controlled site displayed within an embedded frame. Successful exploitation could allow the attacker to steal sensitive information and perform unauthorized actions, impacting the confidentiality and integrity of web client data. There is no impact to system availability resulting from this vulnerability.

Gravedad CVSS v3.1: MEDIA

Última modificación:

12/11/2025

CVE-2025-42894

Fecha de publicación:

11/11/2025

Idioma:

Inglés

*** Pendiente de traducción *** Due to a Path Traversal vulnerability in SAP Business Connector, an attacker authenticated as an administrator with adjacent access could read, write, overwrite, and delete arbitrary files on the host system. Successful exploitation could enable the attacker to execute arbitrary operating system commands on the server, resulting in a complete compromise of the confidentiality, integrity, and availability of the affected system.

Gravedad CVSS v3.1: MEDIA

Última modificación:

12/11/2025

CVE-2025-42895

Fecha de publicación:

11/11/2025

Idioma:

Inglés

*** Pendiente de traducción *** Due to insufficient validation of connection property values, the SAP HANA JDBC Client allows a high-privilege locally authenticated user to supply crafted parameters that lead to unauthorized code loading, resulting in low impact on confidentiality and integrity and high impact on availability of the application.

Gravedad CVSS v3.1: MEDIA

Última modificación:

12/11/2025

CVE-2025-42897

Fecha de publicación:

11/11/2025

Idioma:

Inglés

*** Pendiente de traducción *** Due to information disclosure vulnerability in anonymous API provided by SAP Business One (SLD), an attacker with normal user access could gain access to unauthorized information. As a result, it has a low impact on the confidentiality of the application but no impact on the integrity and availability.

Gravedad CVSS v3.1: MEDIA

Última modificación:

12/11/2025

CVE-2025-42899

Fecha de publicación:

11/11/2025

Idioma:

Inglés

*** Pendiente de traducción *** SAP S4CORE (Manage journal entries) does not perform necessary authorization checks for an authenticated user resulting in escalation of privileges. This has low impact on confidentiality of the application with no impact on integrity and availability of the application.

Gravedad CVSS v3.1: MEDIA

Última modificación:

12/11/2025

CVE-2025-42919

Fecha de publicación:

11/11/2025

Idioma:

Inglés

*** Pendiente de traducción *** Due to an Information Disclosure vulnerability in SAP NetWeaver Application Server Java, internal metadata files could be accessed via manipulated URLs. An unauthenticated attacker could exploit this vulnerability by inserting arbitrary path components in the request, allowing unauthorized access to sensitive application metadata. This results in a partial compromise of the confidentiality of the information without affecting the integrity or availability of the application server.

Gravedad CVSS v3.1: MEDIA

Última modificación:

12/11/2025

CVE-2025-42885

Fecha de publicación:

11/11/2025

Idioma:

Inglés

*** Pendiente de traducción *** Due to missing authentication, SAP HANA 2.0 (hdbrss) allows an unauthenticated attacker to call a remote-enabled function that will enable them to view information. As a result, it has a low impact on the confidentiality but no impact on the integrity and availability of the system.

Gravedad CVSS v3.1: MEDIA

Última modificación:

12/11/2025

Suscribirse a Vulnerabilidades