Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las ultimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las ultimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las ultimas vulnerabilidades incorporadas al repositorio.

CVE-2025-65072

Fecha de publicación:
15/11/2025
Idioma:
Inglés
*** Pendiente de traducción *** Rejected reason: Not used
Gravedad: Pendiente de análisis
Última modificación:
15/11/2025

CVE-2025-65064

Fecha de publicación:
15/11/2025
Idioma:
Inglés
*** Pendiente de traducción *** Rejected reason: Not used
Gravedad: Pendiente de análisis
Última modificación:
15/11/2025

CVE-2025-12182

Fecha de publicación:
15/11/2025
Idioma:
Inglés
*** Pendiente de traducción *** The Qi Blocks plugin for WordPress is vulnerable to unauthorized access due to a missing capability check on the `resize_image_callback()` function in all versions up to, and including, 1.4.3. This is due to the plugin not properly verifying that a user has permission to resize a specific attachment. This makes it possible for authenticated attackers, with Contributor-level access and above, to resize arbitrary media library images belonging to other users, which can result in unintended file writes, disk consumption, and server resource abuse through processing of large images.
Gravedad CVSS v3.1: MEDIA
Última modificación:
15/11/2025

CVE-2025-64309

Fecha de publicación:
15/11/2025
Idioma:
Inglés
*** Pendiente de traducción *** Brightpick Mission Control <br /> discloses device telemetry, configuration, and credential information <br /> via WebSocket traffic to unauthenticated users when they connect to a <br /> specific URL. The unauthenticated URL can be discovered through basic <br /> network scanning techniques.
Gravedad CVSS v4.0: ALTA
Última modificación:
15/11/2025

CVE-2025-8386

Fecha de publicación:
15/11/2025
Idioma:
Inglés
*** Pendiente de traducción *** The vulnerability, if exploited, could allow an authenticated miscreant <br /> (with privilege of "aaConfigTools") to tamper with App Objects&amp;#39; help <br /> files and persist a cross-site scripting (XSS) injection that when <br /> executed by a victim user, can result in horizontal or vertical <br /> escalation of privileges. The vulnerability can only be exploited during<br /> config-time operations within the IDE component of Application Server. <br /> Run-time components and operations are not affected.
Gravedad CVSS v4.0: ALTA
Última modificación:
15/11/2025

CVE-2025-9317

Fecha de publicación:
15/11/2025
Idioma:
Inglés
*** Pendiente de traducción *** The vulnerability, if exploited, could allow a miscreant with read <br /> access to Edge Project files or Edge Offline Cache files to reverse <br /> engineer Edge users&amp;#39; app-native or Active Directory passwords through <br /> computational brute-forcing of weak hashes.
Gravedad CVSS v4.0: ALTA
Última modificación:
15/11/2025

CVE-2025-58083

Fecha de publicación:
15/11/2025
Idioma:
Inglés
*** Pendiente de traducción *** General Industrial Controls Lynx+ Gateway <br /> is missing critical authentication in the embedded web server which could allow an attacker to remotely reset the device.
Gravedad CVSS v4.0: CRÍTICA
Última modificación:
15/11/2025

CVE-2025-59780

Fecha de publicación:
15/11/2025
Idioma:
Inglés
*** Pendiente de traducción *** General Industrial Controls Lynx+ Gateway is missing critical authentication in the embedded web server which <br /> could allow an attacker to send GET requests to obtain sensitive device <br /> information.
Gravedad CVSS v4.0: ALTA
Última modificación:
15/11/2025

CVE-2025-62765

Fecha de publicación:
15/11/2025
Idioma:
Inglés
*** Pendiente de traducción *** General Industrial Controls Lynx+ Gateway is vulnerable to a cleartext transmission vulnerability that could allow<br /> an attacker to observe network traffic to obtain sensitive information,<br /> including plaintext credentials.
Gravedad CVSS v4.0: ALTA
Última modificación:
15/11/2025

CVE-2025-64307

Fecha de publicación:
15/11/2025
Idioma:
Inglés
*** Pendiente de traducción *** The Brightpick Internal Logic Control web interface is accessible <br /> without requiring user authentication. An unauthorized user could <br /> exploit this interface to manipulate robot control functions, including <br /> initiating or halting runners, assigning jobs, clearing stations, and <br /> deploying storage totes.
Gravedad CVSS v4.0: ALTA
Última modificación:
15/11/2025

CVE-2025-64308

Fecha de publicación:
15/11/2025
Idioma:
Inglés
*** Pendiente de traducción *** The Brightpick Mission Control web application exposes hardcoded credentials in its client-side JavaScript bundle.
Gravedad CVSS v4.0: ALTA
Última modificación:
15/11/2025

CVE-2025-55034

Fecha de publicación:
15/11/2025
Idioma:
Inglés
*** Pendiente de traducción *** General Industrial Controls Lynx+ Gateway is vulnerable to a weak password requirement vulnerability, which may <br /> allow an attacker to execute a brute-force attack resulting in <br /> unauthorized access and login.
Gravedad CVSS v4.0: ALTA
Última modificación:
15/11/2025