Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las últimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las últimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las últimas vulnerabilidades incorporadas al repositorio.

CVE-2025-62623

Fecha de publicación:

13/05/2026

Idioma:

Inglés

*** Pendiente de traducción *** A heap-based buffer overflow in the ionic cloud driver for VMware ESXi could allow an attacker to achieve privilege escalation, potentially resulting in arbitrary code execution.

Gravedad CVSS v4.0: ALTA

Última modificación:

13/05/2026

CVE-2025-62624

Fecha de publicación:

13/05/2026

Idioma:

Inglés

Gravedad CVSS v4.0: ALTA

Última modificación:

13/05/2026

CVE-2025-62627

Fecha de publicación:

13/05/2026

Idioma:

Inglés

*** Pendiente de traducción *** An untrusted pointer dereference in the ionic cloud driver for VMWare ESXi could allow an attacker with an unprivileged VM to read kernel memory or co-located guest VM memory, potentially resulting in loss of confidentiality or availability.

Gravedad CVSS v4.0: ALTA

Última modificación:

13/05/2026

CVE-2025-61972

Fecha de publicación:

13/05/2026

Idioma:

Inglés

*** Pendiente de traducción *** Missing lock bit protection for NBIO registers could allow a local admin-privileged attacker to gain arbitrary System Management Network (SMN) access, potentially resulting in arbitrary code execution in AMD Secure Processor (ASP) and loss of the SEV-SNP guest&#39;s confidentiality and integrity.

Gravedad CVSS v4.0: ALTA

Última modificación:

13/05/2026

CVE-2025-61971

Fecha de publicación:

13/05/2026

Idioma:

Inglés

*** Pendiente de traducción *** Missing lock bit protection for NBIO registers could allow a local admin-privileged attacker to modify MMIO routing configurations, potentially resulting in loss of SEV-SNP guest integrity.

Gravedad CVSS v4.0: MEDIA

Última modificación:

13/05/2026

CVE-2024-36315

Fecha de publicación:

13/05/2026

Idioma:

Inglés

*** Pendiente de traducción *** Improper enforcement of the LFENCE serialization property may allow an attacker to bypass speculation barriers and potentially disclose sensitive information, potentially resulting in loss of confidentiality.

Gravedad CVSS v4.0: MEDIA

Última modificación:

13/05/2026

CVE-2026-8108

Fecha de publicación:

12/05/2026

Idioma:

Inglés

*** Pendiente de traducción *** The installation of Fuji Tellus adds a driver to the kernel which grants all users read and write permissions.

Gravedad CVSS v3.1: ALTA

Última modificación:

12/05/2026

CVE-2026-44245

Fecha de publicación:

12/05/2026

Idioma:

Inglés

*** Pendiente de traducción *** Kyverno is a policy engine designed for cloud native platform engineering teams. Prior to 2.5.2, Vue 3&#39;s v-html directive is the framework-documented mechanism for injecting raw HTML, and it intentionally disables the auto-escaping that {{ }} interpolation provides. The PropertyCard.vue component uses v-html for the else branch of the URL check, meaning any non-URL string value flows directly into the DOM as HTML. The isURL() guard only filters values that parse as http: or https: URLs, so any HTML payload not starting with those schemes bypasses it entirely. The data originates from Kubernetes PolicyReport .results[].properties fields, which are arbitrary string maps populated by policy engines and potentially by any principal with write access to PolicyReport objects in the cluster. This vulnerability is fixed in 2.5.2.

Gravedad CVSS v3.1: MEDIA

Última modificación:

12/05/2026

CVE-2026-44341

Fecha de publicación:

12/05/2026

Idioma:

Inglés

*** Pendiente de traducción *** GoJobs is a REST API for a Job Board platform. The application exposes a job retrieval endpoint that allows unauthenticated users to access job details by directly manipulating object identifiers. The endpoint lacks proper authentication and authorization checks, resulting in unauthorized access to job data.

Gravedad CVSS v3.1: MEDIA

Última modificación:

12/05/2026

CVE-2026-44347

Fecha de publicación:

12/05/2026

Idioma:

Inglés

*** Pendiente de traducción *** Warpgate is an open source SSH, HTTPS and MySQL bastion host for Linux. Prior to 0.23.3, the SSO flow does not validate the state parameter, which makes it possible for an attacker to trick a user into logging into the attacker&#39;s account, possibly convincing them to perform sensitive actions on the attacker&#39;s account (such as writing sensitive data to the attacker&#39;s SSH target, or logging into an HTTP target that the attacker set up). This vulnerability is fixed in 0.23.3.

Gravedad CVSS v3.1: MEDIA

Última modificación:

12/05/2026

CVE-2026-44352

Fecha de publicación:

12/05/2026

Idioma:

Inglés

*** Pendiente de traducción *** Flowsint is an open-source OSINT graph exploration tool designed for cybersecurity investigation, transparency, and verification. Prior to 1.2.3, Broken Access Control allows reading of sketch logs from any user. This vulnerability is fixed in 1.2.3.

Gravedad CVSS v4.0: MEDIA

Última modificación:

12/05/2026

CVE-2026-44547

Fecha de publicación:

12/05/2026

Idioma:

Inglés

*** Pendiente de traducción *** ChurchCRM is an open-source church management system. From 7.2.0 to 7.2.2, The fix for CVE-2026-4058 is incomplete. The hardening commit was merged and then silently stripped from src/api/routes/public/public-user.php by an unrelated PR before any 7.2.x tag was cut. Every shipped 7.2.x release therefore remains exploitable by the PoC published with the original advisory. This vulnerability is fixed in 7.3.1.

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

12/05/2026

Suscribirse a Vulnerabilidades