Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las ultimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las ultimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las ultimas vulnerabilidades incorporadas al repositorio.

CVE-2026-25084

Fecha de publicación:

11/02/2026

Idioma:

Inglés

*** Pendiente de traducción *** Authentication for ZLAN5143D can be bypassed by directly accessing internal URLs.

Gravedad CVSS v4.0: CRÍTICA

Última modificación:

11/02/2026

CVE-2025-65127

Fecha de publicación:

11/02/2026

Idioma:

Inglés

*** Pendiente de traducción *** A lack of session validation in the web API component of Shenzhen Zhibotong Electronics ZBT WE2001 23.09.27 allows remote unauthenticated attackers to access administrative information-retrieval functions intended for authenticated users. By invoking "get_*" operations, attackers can obtain device configuration data, including plaintext credentials, without authentication or an existing session.

Gravedad CVSS v3.1: ALTA

Última modificación:

12/02/2026

CVE-2025-13391

Fecha de publicación:

11/02/2026

Idioma:

Inglés

*** Pendiente de traducción *** The Product Options and Price Calculation Formulas for WooCommerce – Uni CPO (Premium) plugin for WordPress is vulnerable to unauthorized loss of data due to a missing capability check on the &#39;uni_cpo_remove_file&#39; function in all versions up to, and including, 4.9.60. This makes it possible for unauthenticated attackers to delete arbitrary attachments or files stored in Dropbox if the file path is known. The vulnerability was partially patched in version 4.9.60.

Gravedad CVSS v3.1: MEDIA

Última modificación:

11/02/2026

CVE-2026-25868

Fecha de publicación:

11/02/2026

Idioma:

Inglés

*** Pendiente de traducción *** MiniGal Nano version 0.3.5 and prior contain a reflected cross-site scripting (XSS) vulnerability in index.php via the dir parameter. The application constructs $currentdir from user-controlled input and embeds it into an error message without output encoding, allowing an attacker to supply HTML/JavaScript that is reflected in the response. Successful exploitation can lead to execution of arbitrary script in a victim&#39;s browser in the context of the vulnerable application.

Gravedad CVSS v4.0: MEDIA

Última modificación:

11/02/2026

CVE-2026-25869

Fecha de publicación:

11/02/2026

Idioma:

Inglés

*** Pendiente de traducción *** MiniGal Nano versions 0.3.5 and prior contain a path traversal vulnerability in index.php via the dir parameter. The application appends user-controlled input to the photos directory and attempts to prevent traversal by removing dot-dot sequences, but this protection can be bypassed using crafted directory patterns. An attacker can exploit this behavior to cause the application to enumerate and display image files from unintended filesystem locations that are readable by the web server, resulting in unintended information disclosure.

Gravedad CVSS v4.0: MEDIA

Última modificación:

11/02/2026

CVE-2026-1837

Fecha de publicación:

11/02/2026

Idioma:

Inglés

*** Pendiente de traducción *** A specially-crafted file can cause libjxl&#39;s decoder to write pixel data to uninitialized unallocated memory. Soon after that data from another uninitialized unallocated region is copied to pixel data.<br /> <br /> This can be done by requesting color transformation of grayscale images to another grayscale color space. Buffers allocated for 1-float-per-pixel are used as if they are allocated for 3-float-per-pixel. That happens only if LCMS2 is used as CMS engine. There is another CMS engine available (selected by build flags).

Gravedad CVSS v4.0: ALTA

Última modificación:

11/02/2026

CVE-2025-64075

Fecha de publicación:

11/02/2026

Idioma:

Inglés

*** Pendiente de traducción *** A path traversal vulnerability in the check_token function of Shenzhen Zhibotong Electronics ZBT WE2001 23.09.27 allows remote attackers to bypass authentication and perform administrative actions by supplying a crafted session cookie value.

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

11/02/2026

CVE-2025-12474

Fecha de publicación:

11/02/2026

Idioma:

Inglés

*** Pendiente de traducción *** A specially-crafted file can cause libjxl&#39;s decoder to read pixel data from uninitialized (but allocated) memory.<br /> <br /> This can be done by causing the decoder to reference an outside-image-bound area in a subsequent patches. An incorrect optimization causes the decoder to omit populating those areas.

Gravedad CVSS v4.0: BAJA

Última modificación:

11/02/2026

CVE-2026-2345

Fecha de publicación:

11/02/2026

Idioma:

Inglés

*** Pendiente de traducción *** Proctorio Chrome Extension is a browser extension used for online proctoring. The extension contains multiple window.addEventListener(&#39;message&#39;, ...) handlers that do not properly validate the origin of incoming messages. Specifically, an internal messaging bridge processes messages based solely on the presence of a fromWebsite property without verifying the event.origin attribute.

Gravedad CVSS v3.1: BAJA

Última modificación:

11/02/2026

CVE-2026-2344

Fecha de publicación:

11/02/2026

Idioma:

Inglés

*** Pendiente de traducción *** A vulnerability in Plunet Plunet BusinessManager allows unauthorized actions being performed on behalf of privileged users.This issue affects Plunet BusinessManager: 10.15.1

Gravedad CVSS v4.0: ALTA

Última modificación:

11/02/2026