Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las ultimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las ultimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las ultimas vulnerabilidades incorporadas al repositorio.

CVE-2023-53733

Fecha de publicación:

24/10/2025

Idioma:

Inglés

*** Pendiente de traducción *** In the Linux kernel, the following vulnerability has been resolved: net: sched: cls_u32: Undo tcf_bind_filter if u32_replace_hw_knode When u32_replace_hw_knode fails, we need to undo the tcf_bind_filter operation done at u32_set_parms.

Gravedad: Pendiente de análisis

Última modificación:

27/10/2025

CVE-2025-5605

Fecha de publicación:

24/10/2025

Idioma:

Inglés

*** Pendiente de traducción *** An authentication bypass vulnerability exists in the Management Console of multiple WSO2 products. A malicious actor with access to the console can manipulate the request URI to bypass authentication and access certain restricted resources, resulting in partial information disclosure. The known exposure from this issue is limited to memory statistics. While the vulnerability does not allow full account compromise, it still enables unauthorized access to internal system details.

Gravedad CVSS v3.1: MEDIA

Última modificación:

21/11/2025

CVE-2025-12134

Fecha de publicación:

24/10/2025

Idioma:

Inglés

*** Pendiente de traducción *** The ZoloBlocks – Gutenberg Block Editor Plugin with Advanced Blocks, Dynamic Content, Templates & Patterns plugin for WordPress is vulnerable to unauthorized modification of data due to a missing capability check on the update_popup_status() function in all versions up to, and including, 2.3.11. This makes it possible for unauthenticated attackers to enable/disable popups.

Gravedad CVSS v3.1: MEDIA

Última modificación:

27/10/2025

CVE-2025-12136

Fecha de publicación:

24/10/2025

Idioma:

Inglés

*** Pendiente de traducción *** The Real Cookie Banner: GDPR & ePrivacy Cookie Consent plugin for WordPress is vulnerable to Server-Side Request Forgery in all versions up to, and including, 5.2.4. This is due to insufficient validation on the user-supplied URL in the &#39;/scanner/scan-without-login&#39; REST API endpoint. This makes it possible for authenticated attackers, with administrator-level access and above, to make web requests to arbitrary locations originating from the web application and can be used to query and modify information from internal services via the `url` parameter.

Gravedad CVSS v3.1: MEDIA

Última modificación:

27/10/2025

Vulnerabilidad en IBM App Connect Enterprise (CVE-2025-36361)

Fecha de publicación:

24/10/2025

Idioma:

Español

IBM App Connect Enterprise 13.0.1.0 hasta 13.0.4.2, y 12.0.1.0 hasta 12.0.12.17 podría permitir a un usuario autenticado realizar acciones no autorizadas en recursos definidos por el cliente debido a la falta de autorización.

Gravedad CVSS v3.1: MEDIA

Última modificación:

28/10/2025

CVE-2025-5350

Fecha de publicación:

24/10/2025

Idioma:

Inglés

*** Pendiente de traducción *** SSRF and Reflected XSS Vulnerabilities exist in multiple WSO2 products within the deprecated Try-It feature, which was accessible only to administrative users. This feature accepted user-supplied URLs without proper validation, leading to server-side request forgery (SSRF). Additionally, the retrieved content was directly reflected in the HTTP response, enabling reflected cross-site scripting (XSS) in the admin user&#39;s browser context. By tricking an administrator into accessing a crafted link, an attacker could force the server to fetch malicious content and reflect it into the admin’s browser, leading to arbitrary JavaScript execution for UI manipulation or data exfiltration. While session cookies are protected with the HttpOnly flag, the XSS still poses a significant security risk. Furthermore, SSRF can be used by a privileged user to query internal services, potentially aiding in internal network enumeration if the target endpoints are reachable from the affected product.

Gravedad CVSS v3.1: MEDIA

Última modificación:

21/11/2025

CVE-2025-10680

Fecha de publicación:

24/10/2025

Idioma:

Inglés

*** Pendiente de traducción *** OpenVPN 2.7_alpha1 through 2.7_beta1 on POSIX based platforms allows a remote authenticated server to inject shell commands via DNS variables when --dns-updown is in use

Gravedad CVSS v3.1: ALTA

Última modificación:

27/10/2025

CVE-2025-12017

Fecha de publicación:

24/10/2025

Idioma:

Inglés

*** Pendiente de traducción *** The VNPAY Payment gateway plugin for WordPress is vulnerable to Reflected Cross-Site Scripting via the &#39;message&#39; parameter in all versions up to, and including, 1.0.0 due to insufficient input sanitization and output escaping. This makes it possible for unauthenticated attackers to inject arbitrary web scripts in pages that execute if they can successfully trick a user into performing an action such as clicking on a link.

Gravedad CVSS v3.1: MEDIA

Última modificación:

27/10/2025

CVE-2025-12028

Fecha de publicación:

24/10/2025

Idioma:

Inglés

*** Pendiente de traducción *** The IndieAuth plugin for WordPress is vulnerable to Cross-Site Request Forgery in all versions up to, and including, 4.5.4. This is due to missing nonce verification on the `login_form_indieauth()` function and the authorization endpoint at wp-login.php?action=indieauth. This makes it possible for unauthenticated attackers to force authenticated users to approve OAuth authorization requests for attacker-controlled applications via a forged request granted they can trick a user into performing an action such as clicking on a link or visiting a malicious page while logged in. The attacker can then exchange the stolen authorization code for an access token, effectively taking over the victim&#39;s account with the granted scopes (create, update, delete).

Gravedad CVSS v3.1: ALTA

Última modificación:

27/10/2025

CVE-2025-12072

Fecha de publicación:

24/10/2025

Idioma:

Inglés

*** Pendiente de traducción *** The Disable Content Editor For Specific Template plugin for WordPress is vulnerable to Cross-Site Request Forgery in all versions up to, and including, 2.0. This is due to missing nonce validation on template configuration updates. This makes it possible for unauthenticated attackers to add or delete template configurations via a forged request granted they can trick an administrator into performing an action such as clicking on a link.

Gravedad CVSS v3.1: MEDIA

Última modificación:

27/10/2025

CVE-2025-12096

Fecha de publicación:

24/10/2025

Idioma:

Inglés

*** Pendiente de traducción *** The Simple Excel Pricelist for WooCommerce plugin for WordPress is vulnerable to Stored Cross-Site Scripting via the &#39;pricelist&#39; shortcode in all versions up to, and including, 1.13 due to insufficient input sanitization and output escaping on user supplied attributes. This makes it possible for authenticated attackers, with Contributor-level access and above, to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page.

Gravedad CVSS v3.1: MEDIA

Última modificación:

27/10/2025

CVE-2025-11887

Fecha de publicación:

24/10/2025

Idioma:

Inglés

*** Pendiente de traducción *** The Supervisor plugin for WordPress is vulnerable to unauthorized modification of data due to a missing capability check on several AJAX functions in all versions up to, and including, 1.3.2. This makes it possible for authenticated attackers, with Subscriber-level access and above, to update various plugin settings.

Gravedad CVSS v3.1: MEDIA

Última modificación:

27/10/2025

Suscribirse a Vulnerabilidades