Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las ultimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las ultimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las ultimas vulnerabilidades incorporadas al repositorio.

Vulnerabilidad en TYPO3 (CVE-2025-48205)

Fecha de publicación:
21/05/2025
Idioma:
Español
La extensión sr_feuser_register hasta 12.4.8 para TYPO3 permite una referencia directa a objetos insegura.
Gravedad CVSS v3.1: ALTA
Última modificación:
21/05/2025

Vulnerabilidad en Valvesoftware Steam Client (CVE-2025-27998)

Fecha de publicación:
21/05/2025
Idioma:
Español
Un problema en el cliente Steam de Valvesoftware Steam Client 1738026274 permite a los atacantes escalar privilegios a través de un ejecutable o DLL manipulado específicamente.
Gravedad CVSS v3.1: ALTA
Última modificación:
21/05/2025

Vulnerabilidad en Blizzard Battle.net v2.40.0.15267 (CVE-2025-27997)

Fecha de publicación:
21/05/2025
Idioma:
Español
Un problema en Blizzard Battle.net v2.40.0.15267 permite a los atacantes escalar privilegios colocando un script de shell o un ejecutable en el directorio C:\ProgramData.
Gravedad CVSS v3.1: ALTA
Última modificación:
03/06/2025

Vulnerabilidad en Kingdee Cloud Galaxy Private Cloud (CVE-2025-5029)

Fecha de publicación:
21/05/2025
Idioma:
Español
Se ha detectado una vulnerabilidad en el sistema BBC de Kingdee Cloud Galaxy Private Cloud hasta la versión 9.0 (parche de abril de 2025), clasificada como crítica. Esta vulnerabilidad afecta a la función BaseServiceFactory.getFileUploadService.deleteFileAction del archivo fileUpload/deleteFileAction.jhtml del componente File Handler. La manipulación del argumento filePath provoca un path traversal. El ataque puede ejecutarse en remoto. Se ha hecho público el exploit y puede que sea utilizado. Se recomienda aplicar un parche para solucionar este problema.
Gravedad CVSS v4.0: MEDIA
Última modificación:
21/05/2025

Vulnerabilidad en jq (CVE-2024-23337)

Fecha de publicación:
21/05/2025
Idioma:
Español
jq es un procesador JSON de línea de comandos. En versiones hasta la 1.7.1 (incluida), se produce un desbordamiento de entero al asignar un valor utilizando un índice de 2147483647, el límite de enteros con signo. Esto provoca una denegación de servicio. El commit de21386681c0df0104a99d9d09db23a9b2a78b1e contiene un parche para este problema.
Gravedad CVSS v3.1: MEDIA
Última modificación:
21/05/2025

Vulnerabilidad en FW-WGS-804HPT v1.305b241111 (CVE-2025-44895)

Fecha de publicación:
21/05/2025
Idioma:
Español
Se descubrió que FW-WGS-804HPT v1.305b241111 contiene un desbordamiento de pila a través del parámetro ipv4Aclkey en la función web_acl_ipv4BasedAceAdd.
Gravedad CVSS v3.1: MEDIA
Última modificación:
03/06/2025

Vulnerabilidad en FW-WGS-804HPT v1.305b241111 (CVE-2025-44892)

Fecha de publicación:
21/05/2025
Idioma:
Español
Se descubrió que FW-WGS-804HPT v1.305b241111 contiene un desbordamiento de pila a través del parámetro ownekey en la función web_rmon_alarm_post_rmon_alarm.
Gravedad CVSS v3.1: MEDIA
Última modificación:
03/06/2025

Vulnerabilidad en AAPanel v7.0.7 (CVE-2024-42922)

Fecha de publicación:
21/05/2025
Idioma:
Español
Se descubrió que AAPanel v7.0.7 contenía una vulnerabilidad de inyección de comandos del sistema operativo.
Gravedad CVSS v3.1: MEDIA
Última modificación:
21/05/2025

Vulnerabilidad en itech iLabClient 3.7.1 (CVE-2024-56429)

Fecha de publicación:
21/05/2025
Idioma:
Español
itech iLabClient 3.7.1 se basa en la clave codificada YngAYdgAE/kKZYu2F2wm6w== (que se encuentra en iLabClient.jar) para que los usuarios locales lean o escriban en la base de datos.
Gravedad CVSS v3.1: ALTA
Última modificación:
21/05/2025

Vulnerabilidad en SEC Consult Vulnerability Lab (CVE-2025-48417)

Fecha de publicación:
21/05/2025
Idioma:
Español
El certificado y la clave privada utilizados para proporcionar seguridad de la capa de transporte a las conexiones a la interfaz web (puerto TCP 443) están codificados en el firmware y se incluyen con los archivos de actualización. Un atacante puede usar la clave privada para realizar ataques de intermediario contra los usuarios de la interfaz de administración. Los archivos se encuentran en /etc/ssl (p. ej., salia.local.crt, salia.local.key y salia.local.pem). No existe la opción de cargar ni configurar certificados TLS personalizados.
Gravedad CVSS v3.1: MEDIA
Última modificación:
21/05/2025

Vulnerabilidad en SEC Consult Vulnerability Lab (CVE-2025-48415)

Fecha de publicación:
21/05/2025
Idioma:
Español
Una puerta trasera USB puede activarse conectando una unidad USB que contenga archivos "salia.ini" especialmente diseñados. El archivo .ini puede contener varios comandos que un atacante podría explotar para exportar o modificar la configuración del dispositivo, habilitar una puerta trasera SSH o realizar otras acciones administrativas. En definitiva, esta puerta trasera también permite la ejecución arbitraria de comandos del sistema operativo.
Gravedad CVSS v3.1: MEDIA
Última modificación:
21/05/2025

Vulnerabilidad en Konsola Proget (CVE-2025-1419)

Fecha de publicación:
21/05/2025
Idioma:
Español
La información proporcionada en la sección de comentarios de Konsola Proget no se depura correctamente, lo que permite que un usuario con privilegios elevados realice un ataque de Cross-Site Scripting almacenado. Este problema se ha corregido en la versión 2.17.5 de Konsola Proget (la parte del servidor de la suite MDM).
Gravedad CVSS v4.0: BAJA
Última modificación:
21/05/2025