Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las ultimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las ultimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las ultimas vulnerabilidades incorporadas al repositorio.

CVE-2025-29231

Fecha de publicación:

16/12/2025

Idioma:

Inglés

*** Pendiente de traducción *** A stored cross-site scripting (XSS) vulnerability in the page_save component of Linksys E5600 V1.1.0.26 allows attackers to execute arbitrary web scripts or HTML via a crafted payload injected into the hostname and domainName parameters.

Gravedad CVSS v3.1: MEDIA

Última modificación:

18/12/2025

CVE-2025-37164

Fecha de publicación:

16/12/2025

Idioma:

Inglés

*** Pendiente de traducción *** A remote code execution issue exists in HPE OneView.

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

23/12/2025

CVE-2023-53899

Fecha de publicación:

16/12/2025

Idioma:

Inglés

*** Pendiente de traducción *** PodcastGenerator 3.2.9 contains a blind server-side request forgery vulnerability that allows attackers to inject XML in the episode upload form. Attackers can manipulate the &#39;shortdesc&#39; parameter to trigger external HTTP requests to arbitrary endpoints during podcast episode creation.

Gravedad CVSS v4.0: BAJA

Última modificación:

18/12/2025

CVE-2023-53901

Fecha de publicación:

16/12/2025

Idioma:

Inglés

*** Pendiente de traducción *** WBCE CMS 1.6.1 contains a cross-site scripting vulnerability that allows attackers to inject malicious HTML and CSS to capture user keystrokes. Attackers can upload a crafted HTML file with CSS-based keylogging techniques to intercept password characters through background image requests.

Gravedad CVSS v4.0: ALTA

Última modificación:

18/12/2025

CVE-2023-53902

Fecha de publicación:

16/12/2025

Idioma:

Inglés

*** Pendiente de traducción *** WebsiteBaker 2.13.3 contains a directory traversal vulnerability that allows authenticated attackers to delete arbitrary files by manipulating directory path parameters. Attackers can send crafted GET requests to /admin/media/delete.php with directory traversal sequences to delete files outside the intended directory.

Gravedad CVSS v4.0: ALTA

Última modificación:

24/12/2025

CVE-2023-53903

Fecha de publicación:

16/12/2025

Idioma:

Inglés

*** Pendiente de traducción *** WebsiteBaker 2.13.3 contains a stored cross-site scripting vulnerability that allows authenticated users to upload malicious SVG files with embedded JavaScript. Attackers can upload crafted SVG files with script tags that execute when the file is viewed, enabling persistent cross-site scripting attacks.

Gravedad CVSS v4.0: MEDIA

Última modificación:

24/12/2025

CVE-2023-53898

Fecha de publicación:

16/12/2025

Idioma:

Inglés

*** Pendiente de traducción *** Rukovoditel 3.4.1 contains a stored cross-site scripting vulnerabilities that allow authenticated attackers to inject malicious scripts. Attackers can insert iframe and script payloads in application copyright text to execute arbitrary JavaScript in victim browsers.

Gravedad CVSS v4.0: MEDIA

Última modificación:

27/12/2025

CVE-2023-53894

Fecha de publicación:

16/12/2025

Idioma:

Inglés

*** Pendiente de traducción *** phpfm 1.7.9 contains an authentication bypass vulnerability that allows attackers to log in by exploiting loose type comparison in password hash validation. Attackers can craft specific password hashes beginning with 0e or 00e to bypass authentication and upload malicious PHP files to the server.

Gravedad CVSS v4.0: CRÍTICA

Última modificación:

18/12/2025

CVE-2023-53895

Fecha de publicación:

16/12/2025

Idioma:

Inglés

*** Pendiente de traducción *** PimpMyLog 1.7.14 contains an improper access control vulnerability that allows remote attackers to create admin accounts without authorization through the configuration endpoint. Attackers can exploit the unsanitized username field to inject malicious JavaScript, create a hidden backdoor account, and potentially access sensitive server-side log information and environmental variables.

Gravedad CVSS v4.0: CRÍTICA

Última modificación:

18/12/2025

CVE-2023-53897

Fecha de publicación:

16/12/2025

Idioma:

Inglés

*** Pendiente de traducción *** Rukovoditel 3.4.1 contains multiple stored cross-site scripting vulnerabilities that allow authenticated attackers to inject malicious scripts. Attackers can insert XSS payloads in project task comments to execute arbitrary JavaScript in victim browsers.

Gravedad CVSS v4.0: MEDIA

Última modificación:

27/12/2025

CVE-2025-68315

Fecha de publicación:

16/12/2025

Idioma:

Inglés

*** Pendiente de traducción *** In the Linux kernel, the following vulnerability has been resolved: f2fs: fix to detect potential corrupted nid in free_nid_list As reported, on-disk footer.ino and footer.nid is the same and out-of-range, let&#39;s add sanity check on f2fs_alloc_nid() to detect any potential corruption in free_nid_list.

Gravedad: Pendiente de análisis

Última modificación:

18/12/2025

CVE-2025-68316

Fecha de publicación:

16/12/2025

Idioma:

Inglés

*** Pendiente de traducción *** In the Linux kernel, the following vulnerability has been resolved: scsi: ufs: core: Fix invalid probe error return value After DME Link Startup, the error return value is set to the MIPI UniPro GenericErrorCode which can be 0 (SUCCESS) or 1 (FAILURE). Upon failure during driver probe, the error code 1 is propagated back to the driver probe function which must return a negative value to indicate an error, but 1 is not negative, so the probe is considered to be successful even though it failed. Subsequently, removing the driver results in an oops because it is not in a valid state. This happens because none of the callers of ufshcd_init() expect a non-negative error code. Fix the return value and documentation to match actual usage.

Gravedad: Pendiente de análisis

Última modificación:

18/12/2025

Suscribirse a Vulnerabilidades