Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las ultimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las ultimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las ultimas vulnerabilidades incorporadas al repositorio.

CVE-2025-42899

Fecha de publicación:

11/11/2025

Idioma:

Inglés

*** Pendiente de traducción *** SAP S4CORE (Manage journal entries) does not perform necessary authorization checks for an authenticated user resulting in escalation of privileges. This has low impact on confidentiality of the application with no impact on integrity and availability of the application.

Gravedad CVSS v3.1: MEDIA

Última modificación:

12/11/2025

CVE-2025-42919

Fecha de publicación:

11/11/2025

Idioma:

Inglés

*** Pendiente de traducción *** Due to an Information Disclosure vulnerability in SAP NetWeaver Application Server Java, internal metadata files could be accessed via manipulated URLs. An unauthenticated attacker could exploit this vulnerability by inserting arbitrary path components in the request, allowing unauthorized access to sensitive application metadata. This results in a partial compromise of the confidentiality of the information without affecting the integrity or availability of the application server.

Gravedad CVSS v3.1: MEDIA

Última modificación:

12/11/2025

CVE-2025-42885

Fecha de publicación:

11/11/2025

Idioma:

Inglés

*** Pendiente de traducción *** Due to missing authentication, SAP HANA 2.0 (hdbrss) allows an unauthenticated attacker to call a remote-enabled function that will enable them to view information. As a result, it has a low impact on the confidentiality but no impact on the integrity and availability of the system.

Gravedad CVSS v3.1: MEDIA

Última modificación:

12/11/2025

CVE-2025-42886

Fecha de publicación:

11/11/2025

Idioma:

Inglés

*** Pendiente de traducción *** Due to a Reflected Cross-Site Scripting (XSS) vulnerability in SAP Business Connector, an unauthenticated attacker could generate a malicious link and make it publicly accessible. If an authenticated victim accesses this link, the injected input is processed during web page generation, resulting in the execution of malicious content in the victim&#39;s browser context. This could allow the attacker to access or modify information within the victim�s browser scope, impacting confidentiality and integrity, while availability remains unaffected

Gravedad CVSS v3.1: MEDIA

Última modificación:

12/11/2025

CVE-2025-42887

Fecha de publicación:

11/11/2025

Idioma:

Inglés

*** Pendiente de traducción *** Due to missing input sanitation, SAP Solution Manager allows an authenticated attacker to insert malicious code when calling a remote-enabled function module. This could provide the attacker with full control of the system hence leading to high impact on confidentiality, integrity and availability of the system.

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

12/11/2025

CVE-2025-42888

Fecha de publicación:

11/11/2025

Idioma:

Inglés

*** Pendiente de traducción *** SAP GUI for Windows may allow a highly privileged user on the affected client PC to locally access sensitive information stored in process memory during runtime.This vulnerability has a high impact on confidentiality, with no impact on integrity and availability.

Gravedad CVSS v3.1: MEDIA

Última modificación:

12/11/2025

CVE-2025-42889

Fecha de publicación:

11/11/2025

Idioma:

Inglés

*** Pendiente de traducción *** SAP Starter Solution allows an authenticated attacker to execute crafted database queries, thereby exposing the back-end database. As a result, this vulnerability has a low impact on the application&#39;s confidentiality and integrity but no impact on its availability.

Gravedad CVSS v3.1: MEDIA

Última modificación:

12/11/2025

CVE-2025-42890

Fecha de publicación:

11/11/2025

Idioma:

Inglés

*** Pendiente de traducción *** SQL Anywhere Monitor (Non-GUI) baked credentials into the code,exposing the resources or functionality to unintended users and providing attackers with the possibility of arbitrary code execution.This could cause high impact on confidentiality integrity and availability of the system.

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

12/11/2025

CVE-2025-42892

Fecha de publicación:

11/11/2025

Idioma:

Inglés

*** Pendiente de traducción *** Due to an OS Command Injection vulnerability in SAP Business Connector, an authenticated attacker with administrative access and adjacent network access could upload specially crafted content to the server. If processed by the application, this content enables execution of arbitrary operating system commands. Successful exploitation could lead to full compromise of the system�s confidentiality, integrity, and availability.

Gravedad CVSS v3.1: MEDIA

Última modificación:

12/11/2025

CVE-2025-42882

Fecha de publicación:

11/11/2025

Idioma:

Inglés

*** Pendiente de traducción *** Due to a missing authorization check in SAP NetWeaver Application Server for ABAP, an authenticated attacker with basic privileges could execute a specific function module in ABAP to retrieve restricted technical information from the system. This disclosure of environment details of the system could further assist this attacker to plan subsequent attacks. As a result, this vulnerability has a low impact on confidentiality, with no impact on the integrity or availability of the application.

Gravedad CVSS v3.1: MEDIA

Última modificación:

12/11/2025

CVE-2025-42883

Fecha de publicación:

11/11/2025

Idioma:

Inglés

*** Pendiente de traducción *** Migration Workbench (DX Workbench) in SAP NetWeaver Application Server for ABAP fails to trigger a malware scan when an attacker with administrative privileges uploads files to the application server. An attacker could leverage this and upload a malicious file into the system. This results in a low impact on the integrity of the application.

Gravedad CVSS v3.1: BAJA

Última modificación:

12/11/2025

CVE-2025-42884

Fecha de publicación:

11/11/2025

Idioma:

Inglés

*** Pendiente de traducción *** SAP NetWeaver Enterprise Portal allows an unauthenticated attacker to inject JNDI environment properties or pass a URL used during JNDI lookup operations, enabling access to an unintended JNDI provider.�This could further lead to disclosure or modification of information about the server. There is no impact on availability.

Gravedad CVSS v3.1: MEDIA

Última modificación:

12/11/2025

Suscribirse a Vulnerabilidades