Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las ultimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las ultimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las ultimas vulnerabilidades incorporadas al repositorio.

CVE-2025-69807

Fecha de publicación:

12/02/2026

Idioma:

Inglés

*** Pendiente de traducción *** p2r3 Bareiron commit: 8e4d4020d is vulnerable to Buffer Overflow, which allows unauthenticated remote attackers to cause a denial of service via a packet sent to the server.

Gravedad CVSS v3.1: ALTA

Última modificación:

12/02/2026

CVE-2025-63421

Fecha de publicación:

12/02/2026

Idioma:

Inglés

*** Pendiente de traducción *** An issue in filosoft Comerc.32 Commercial Invoicing v.16.0.0.3 allows a local attacker to execute arbitrary code via the comeinst.exe file

Gravedad CVSS v3.1: ALTA

Última modificación:

12/02/2026

CVE-2023-31323

Fecha de publicación:

12/02/2026

Idioma:

Inglés

*** Pendiente de traducción *** Type confusion in the AMD Secure Processor (ASP) could allow an attacker to pass a malformed argument to the External Global Memory Interconnect Trusted Agent (XGMI TA) leading to a memory safety violation potentially resulting in loss of confidentiality, integrity, or availability.

Gravedad CVSS v4.0: ALTA

Última modificación:

12/02/2026

CVE-2024-36319

Fecha de publicación:

12/02/2026

Idioma:

Inglés

*** Pendiente de traducción *** Debug code left active in AMD&#39;s Video Decoder Engine Firmware (VCN FW) could allow a attacker to submit a maliciously crafted command causing the VCN FW to perform read/writes HW registers, potentially impacting confidentiality, integrity and availabilability of the system.

Gravedad CVSS v4.0: MEDIA

Última modificación:

12/02/2026

CVE-2023-20601

Fecha de publicación:

12/02/2026

Idioma:

Inglés

*** Pendiente de traducción *** Improper input validation within RAS TA Driver can allow a local attacker to access out-of-bounds memory, potentially resulting in a denial-of-service condition.

Gravedad CVSS v4.0: MEDIA

Última modificación:

12/02/2026

CVE-2025-61879

Fecha de publicación:

12/02/2026

Idioma:

Inglés

*** Pendiente de traducción *** In Infoblox NIOS through 9.0.7, a High-Privileged User Can Trigger an Arbitrary File Write via the Account Creation Mechanism.

Gravedad CVSS v3.1: ALTA

Última modificación:

12/02/2026

CVE-2025-61880

Fecha de publicación:

12/02/2026

Idioma:

Inglés

*** Pendiente de traducción *** In Infoblox NIOS through 9.0.7, insecure deserialization can result in remote code execution.

Gravedad CVSS v3.1: ALTA

Última modificación:

12/02/2026

CVE-2025-54756

Fecha de publicación:

12/02/2026

Idioma:

Inglés

*** Pendiente de traducción *** BrightSign players running BrightSign OS series 4 prior to v8.5.53.1 or <br /> series 5 prior to v9.0.166 use a default password that is guessable with<br /> knowledge of the device information. The latest release fixes this <br /> issue for new installations; users of old installations are encouraged <br /> to change all default passwords.

Gravedad CVSS v4.0: ALTA

Última modificación:

12/02/2026

CVE-2025-55210

Fecha de publicación:

12/02/2026

Idioma:

Inglés

*** Pendiente de traducción *** FreePBX is an open-source web-based graphical user interface (GUI) that manages Asterisk. Prior to 17.0.5 and 16.0.17, FreePBX module api (PBX API) is vulnerable to privilege escalation by authenticated users with REST/GraphQL API access. This vulnerability allows an attacker to forge a valid JWT with full access to the REST and GraphQL APIs on a FreePBX that they&#39;ve already connected to, possibly as a lower privileged user. The JWT is signed using the api-oauth.key private key. An attacker can generate their own token if they possess this key (e.g., by accessing an affected instance), and specify any scopes they wish (e.g., rest, gql), bypassing traditional authorization checks. However, FreePBX enforces that the jti (JWT ID) claim must exist in the database (api_access_tokens table in the asterisk MySQL database) in order for the token to be accepted. Therefore, the attacker must know a jti value that already exists on the target instance. This vulnerability is fixed in 17.0.5 and 16.0.17.

Gravedad CVSS v4.0: BAJA

Última modificación:

12/02/2026

CVE-2026-26214

Fecha de publicación:

12/02/2026

Idioma:

Inglés

*** Pendiente de traducción *** Galaxy FDS Android SDK (XiaoMi/galaxy-fds-sdk-android) version 3.0.8 and prior disable TLS hostname verification when HTTPS is enabled (the default configuration). In GalaxyFDSClientImpl.createHttpClient(), the SDK configures Apache HttpClient with SSLSocketFactory.ALLOW_ALL_HOSTNAME_VERIFIER, which accepts any valid TLS certificate regardless of hostname mismatch. Because HTTPS is enabled by default in FDSClientConfiguration, all applications using the SDK with default settings are affected. This vulnerability allows a man-in-the-middle attacker to intercept and modify SDK communications to Xiaomi FDS cloud storage endpoints, potentially exposing authentication credentials, file contents, and API responses. The XiaoMi/galaxy-fds-sdk-android open source project has reached end-of-life status.

Gravedad CVSS v4.0: CRÍTICA

Última modificación:

12/02/2026

CVE-2026-26216

Fecha de publicación:

12/02/2026

Idioma:

Inglés

*** Pendiente de traducción *** Crawl4AI versions prior to 0.8.0 contain a remote code execution vulnerability in the Docker API deployment. The /crawl endpoint accepts a hooks parameter containing Python code that is executed using exec(). The __import__ builtin was included in the allowed builtins, allowing unauthenticated remote attackers to import arbitrary modules and execute system commands. Successful exploitation allows full server compromise, including arbitrary command execution, file read and write access, sensitive data exfiltration, and lateral movement within internal networks.

Gravedad CVSS v4.0: CRÍTICA

Última modificación:

12/02/2026

CVE-2026-26217

Fecha de publicación:

12/02/2026

Idioma:

Inglés

*** Pendiente de traducción *** Crawl4AI versions prior to 0.8.0 contain a local file inclusion vulnerability in the Docker API deployment. The /execute_js, /screenshot, /pdf, and /html endpoints accept file:// URLs, allowing unauthenticated remote attackers to read arbitrary files from the server filesystem. An attacker can access sensitive files such as /etc/passwd, /etc/shadow, application configuration files, and environment variables via /proc/self/environ, potentially exposing credentials, API keys, and internal application structure.

Gravedad CVSS v4.0: CRÍTICA

Última modificación:

12/02/2026

Suscribirse a Vulnerabilidades