Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

017 - Ir a la línea de ayuda en Ciberseguridad    Ir a Agenda     Ir a Sala de prensa     Ir a suscripción de boletines

Ir al buscador

Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las ultimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las ultimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las ultimas vulnerabilidades incorporadas al repositorio.

Vulnerabilidad en herramienta de gestión SNMP en Advantech iView de Advantech (CVE-2022-50592)
Fecha de publicación:
06/11/2025
Idioma:
Español
Advantech iView versiones anteriores a v5.7.04 build 6425 tienen una vulnerabilidad en la herramienta de gestión SNMP que permite a atacantes remotos eludir las comprobaciones de autenticación y realizar una vulnerabilidad de inyección SQL en el parámetro 'getInventoryReportData' del endpoint 'NetworkServlet'. La explotación exitosa permite la ejecución remota de código con privilegios de administrador.
Gravedad CVSS v4.0: CRÍTICA
Última modificación:
24/11/2025

Vulnerabilidad en herramienta de gestión SNMP en Advantech iView (CVE-2022-50594)
Fecha de publicación:
06/11/2025
Idioma:
Español
Advantech iView versiones anteriores a v5.7.04 build 6425 tienen una vulnerabilidad en la herramienta de gestión SNMP que permite a atacantes remotos eludir los controles de autenticación y realizar una vulnerabilidad de inyección SQL dentro del parámetro 'data' del endpoint 'NetworkServlet'. La explotación exitosa permite la exfiltración de datos del usuario, incluidas contraseñas en texto claro.
Gravedad CVSS v4.0: ALTA
Última modificación:
24/11/2025

CVE-2022-50591
Fecha de publicación:
06/11/2025
Idioma:
Inglés
*** Pendiente de traducción *** Advantech iView versions prior to v5.7.04 build 6425 contain a vulnerability within the SNMP management tool that allows for remote attackers to bypass authentication checks and reach a SQL injection vulnerability within the ‘ztp_config_id’ parameter to the ‘NetworkServlet’ endpoint. Successful exploitation allows for the exfiltration of user data, included clear text passwords.
Gravedad CVSS v4.0: ALTA
Última modificación:
24/11/2025

CVE-2022-50593
Fecha de publicación:
06/11/2025
Idioma:
Inglés
*** Pendiente de traducción *** Advantech iView versions prior to v5.7.04 build 6425 contain a vulnerability within the SNMP management tool that allows for remote attackers to bypass authentication checks and reach a SQL injection vulnerability within the ‘search_term’ parameter to the ‘NetworkServlet’ endpoint. Successful exploitation allows for remote code execution with administrator privileges.
Gravedad CVSS v4.0: CRÍTICA
Última modificación:
08/12/2025

CVE-2022-50590
Fecha de publicación:
06/11/2025
Idioma:
Inglés
*** Pendiente de traducción *** SuiteCRM versions prior to 7.12.6 contain a type confusion vulnerability within the processing of the ‘module’ parameter within the ‘deleteAttachment’ functionality. Successful exploitation allows remote unauthenticated attackers to alter database objects including changing the email address of the administrator.
Gravedad CVSS v4.0: ALTA
Última modificación:
24/11/2025

CVE-2022-50589
Fecha de publicación:
06/11/2025
Idioma:
Inglés
*** Pendiente de traducción *** SuiteCRM versions prior to 7.12.6 contain a SQL injection vulnerability within the processing of the ‘uid’ parameter within the ‘export’ functionality. Successful exploitation allows remote unauthenticated attackers to ultimately execute arbitrary code.
Gravedad CVSS v4.0: CRÍTICA
Última modificación:
24/11/2025

CVE-2025-63551
Fecha de publicación:
06/11/2025
Idioma:
Inglés
*** Pendiente de traducción *** A Server-Side Request Forgery (SSRF) vulnerability, achievable through an XML External Entity (XXE) injection, exists in MetInfo Content Management System (CMS) thru 8.1. This flaw stems from a defect in the XML parsing logic, which allows an attacker to construct a malicious XML entity that forces the server to initiate an HTTP request to an arbitrary internal or external network address. Successful exploitation could lead to internal network reconnaissance, port scanning, or the retrieval of sensitive information. The vulnerability may be present in the backend API called by or associated with the path `/admin/#/webset/?head_tab_active=0`, where user-provided XML data is processed.
Gravedad CVSS v3.1: ALTA
Última modificación:
04/02/2026

CVE-2025-60541
Fecha de publicación:
06/11/2025
Idioma:
Inglés
*** Pendiente de traducción *** A Server-Side Request Forgery (SSRF) in the /api/proxy/ component of linshenkx prompt-optimizer v1.3.0 to v1.4.2 allows attackers to scan internal resources via a crafted request.
Gravedad CVSS v3.1: ALTA
Última modificación:
31/12/2025

CVE-2025-31133
Fecha de publicación:
06/11/2025
Idioma:
Inglés
*** Pendiente de traducción *** runc is a CLI tool for spawning and running containers according to the OCI specification. In versions 1.2.7 and below, 1.3.0-rc.1 through 1.3.1, 1.4.0-rc.1 and 1.4.0-rc.2 files, runc would not perform sufficient verification that the source of the bind-mount (i.e., the container's /dev/null) was actually a real /dev/null inode when using the container's /dev/null to mask. This exposes two methods of attack: an arbitrary mount gadget, leading to host information disclosure, host denial of service, container escape, or a bypassing of maskedPaths. This issue is fixed in versions 1.2.8, 1.3.3 and 1.4.0-rc.3.
Gravedad CVSS v4.0: ALTA
Última modificación:
03/12/2025

CVE-2025-22397
Fecha de publicación:
06/11/2025
Idioma:
Inglés
*** Pendiente de traducción *** Dell Integrated Dell Remote Access Controller 9, 14G versions prior to 7.00.00.181, 15G and 16G versions 6.10.80.00 through 7.20.10.50 and Dell Integrated Dell Remote Access Controller 10, 17G versions prior to 1.20.25.00, contain an Improper Limitation of a Pathname to a Restricted Directory ('Path Traversal') vulnerability. A high privileged attacker with remote access could potentially exploit this vulnerability, leading to Unauthorized access.
Gravedad CVSS v3.1: MEDIA
Última modificación:
21/01/2026

CVE-2024-25621
Fecha de publicación:
06/11/2025
Idioma:
Inglés
*** Pendiente de traducción *** containerd is an open-source container runtime. Versions 0.1.0 through 1.7.28, 2.0.0-beta.0 through 2.0.6, 2.1.0-beta.0 through 2.1.4 and 2.2.0-beta.0 through 2.2.0-rc.1 have an overly broad default permission vulnerability. Directory paths `/var/lib/containerd`, `/run/containerd/io.containerd.grpc.v1.cri` and `/run/containerd/io.containerd.sandbox.controller.v1.shim` were all created with incorrect permissions. This issue is fixed in versions 1.7.29, 2.0.7, 2.1.5 and 2.2.0. Workarounds include updating system administrator permissions so the host can manually chmod the directories to not have group or world accessible permissions, or to run containerd in rootless mode.
Gravedad CVSS v3.1: ALTA
Última modificación:
31/12/2025

CVE-2025-27919
Fecha de publicación:
06/11/2025
Idioma:
Inglés
*** Pendiente de traducción *** An issue was discovered in AnyDesk through 9.0.4. A remotely connected user with the "Control my device" permission can manipulate remote AnyDesk settings and create a password for the Full Access profile without needing confirmation from the counterparty. Consequently, the attacker can later connect without this counterparty confirmation.
Gravedad CVSS v3.1: ALTA
Última modificación:
12/11/2025
Suscribirse a Vulnerabilidades