Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las ultimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las ultimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las ultimas vulnerabilidades incorporadas al repositorio.

Vulnerabilidad en Series (CVE-2025-62759)

Fecha de publicación:

31/12/2025

Idioma:

Español

Neutralización Incorrecta de la Entrada Durante la Generación de Páginas Web (&#39;cross-site scripting&#39;) vulnerabilidad en Justin Tadlock Series permite XSS Almacenado. Este problema afecta a Series: desde n/a hasta 2.0.1.

Gravedad CVSS v3.1: MEDIA

Última modificación:

01/04/2026

Vulnerabilidad en BuddyPress Activity Shortcode (CVE-2025-62760)

Fecha de publicación:

31/12/2025

Idioma:

Español

Vulnerabilidad de Neutralización Incorrecta de la Entrada Durante la Generación de Páginas Web (&#39;cross-site scripting&#39;) en BuddyDev BuddyPress Activity Shortcode permite XSS Almacenado. Este problema afecta a BuddyPress Activity Shortcode: desde n/a hasta 1.1.8.

Gravedad CVSS v3.1: MEDIA

Última modificación:

01/04/2026

Vulnerabilidad en Knowledge Base documentation &amp; wiki plugin – BasePress (CVE-2025-62761)

Fecha de publicación:

31/12/2025

Idioma:

Español

Neutralización Inadecuada de la Entrada Durante la Generación de Páginas Web (&#39;cross-site scripting&#39;) vulnerabilidad en el plugin de documentación y wiki BasePress Knowledge Base – BasePress permite XSS Almacenado. Este problema afecta al plugin de documentación y wiki BasePress Knowledge Base: desde n/a hasta 2.17.0.1.

Gravedad CVSS v3.1: MEDIA

Última modificación:

01/04/2026

Vulnerabilidad en QNO Technology (CVE-2025-15388)

Fecha de publicación:

31/12/2025

Idioma:

Español

Cortafuegos VPN desarrollado por QNO Technology tiene una vulnerabilidad de inyección de comandos del sistema operativo, permitiendo a atacantes remotos autenticados inyectar comandos arbitrarios del sistema operativo y ejecutarlos en el servidor.

Gravedad CVSS v4.0: ALTA

Última modificación:

31/12/2025

Vulnerabilidad en Zoho ZeptoMail (CVE-2025-49028)

Fecha de publicación:

31/12/2025

Idioma:

Español

Vulnerabilidad de falsificación de petición en sitios cruzados (CSRF) en Zoho Mail Zoho ZeptoMail permite XSS almacenado. Este problema afecta a Zoho ZeptoMail: desde n/a hasta 3.3.1.

Gravedad CVSS v3.1: ALTA

Última modificación:

01/04/2026

Vulnerabilidad en QNO Technology (CVE-2025-15387)

Fecha de publicación:

31/12/2025

Idioma:

Español

El Cortafuegos VPN desarrollado por QNO Technology tiene una vulnerabilidad de entropía insuficiente, permitiendo a atacantes remotos no autenticados obtener cualquier sesión de usuario conectado mediante ataques de fuerza bruta y posteriormente iniciar sesión en el sistema.

Gravedad CVSS v4.0: ALTA

Última modificación:

31/12/2025

Vulnerabilidad en NPort 6100-G2/6200-G2 (CVE-2025-1977)

Fecha de publicación:

31/12/2025

Idioma:

Español

La serie NPort 6100-G2/6200-G2 está afectada por una vulnerabilidad de ejecución con privilegios innecesarios (CVE-2025-1977) que permite a un usuario autenticado con acceso de solo lectura realizar cambios de configuración no autorizados a través de la herramienta MCC (Moxa CLI Configuration). El problema puede ser explotado remotamente a través de la red con baja complejidad de ataque y sin interacción del usuario, pero requiere que estén presentes condiciones o configuraciones específicas del sistema. La explotación exitosa puede resultar en cambios en la configuración del dispositivo que no estaban destinados a ser permitidos para el rol de usuario afectado, lo que podría llevar a un alto impacto en la confidencialidad, integridad y disponibilidad del dispositivo. No se ha identificado ningún impacto en otros sistemas.

Gravedad CVSS v4.0: ALTA

Última modificación:

31/12/2025

Vulnerabilidad en NPort 6100-G2/6200-G2 (CVE-2025-2026)

Fecha de publicación:

31/12/2025

Idioma:

Español

La serie NPort 6100-G2/6200-G2 se ve afectada por una vulnerabilidad de alta gravedad (CVE-2025-2026) que permite a atacantes remotos ejecutar una inyección de byte nulo a través de la API web del dispositivo. Esto puede provocar un reinicio inesperado del dispositivo y resultar en una condición de denegación de servicio (DoS). Un atacante remoto autenticado con privilegios de solo lectura web puede explotar la API vulnerable para inyectar entrada maliciosa. La explotación exitosa puede provocar el reinicio del dispositivo, interrumpiendo las operaciones normales y causando una denegación de servicio temporal.

Gravedad CVSS v4.0: ALTA

Última modificación:

31/12/2025

Vulnerabilidad en Moxa (CVE-2025-15017)

Fecha de publicación:

31/12/2025

Idioma:

Español

Una vulnerabilidad existe en servidores de dispositivos serie donde el código de depuración activo permanece habilitado en la interfaz UART. Un atacante con acceso físico al dispositivo puede conectarse directamente a la interfaz UART y, sin autenticación, interacción del usuario o condiciones de ejecución, obtener acceso no autorizado a la funcionalidad de depuración interna. La explotación es de baja complejidad y permite a un atacante ejecutar operaciones privilegiadas y acceder a recursos sensibles del sistema, resultando en un alto impacto a la confidencialidad, integridad y disponibilidad del dispositivo afectado. No se ha identificado ningún impacto de seguridad en sistemas externos o dependientes.

Gravedad CVSS v4.0: ALTA

Última modificación:

31/12/2025

Vulnerabilidad en SGI de FontForge GUtils (CVE-2025-15277)

Fecha de publicación:

31/12/2025

Idioma:

Español

Vulnerabilidad de ejecución remota de código por desbordamiento de búfer basado en montículo en el análisis de archivos SGI de FontForge GUtils. Esta vulnerabilidad permite a atacantes remotos ejecutar código arbitrario en instalaciones afectadas de FontForge. Se requiere interacción del usuario para explotar esta vulnerabilidad, ya que el objetivo debe visitar una página maliciosa o abrir un archivo malicioso. La falla específica existe dentro del análisis de las líneas de exploración en archivos SGI. El problema resulta de la falta de validación adecuada de la longitud de los datos proporcionados por el usuario antes de copiarlos a un búfer basado en montículo. Un atacante puede aprovechar esta vulnerabilidad para ejecutar código en el contexto del proceso actual. Fue ZDI-CAN-27920.

Gravedad CVSS v3.1: ALTA

Última modificación:

07/01/2026

Vulnerabilidad en SGI de FontForge GUtils (CVE-2025-15278)

Fecha de publicación:

31/12/2025

Idioma:

Español

Vulnerabilidad de ejecución remota de código por desbordamiento de entero en el análisis de archivos XBM de FontForge GUtils. Esta vulnerabilidad permite a atacantes remotos ejecutar código arbitrario en instalaciones afectadas de FontForge. Se requiere interacción del usuario para explotar esta vulnerabilidad, ya que el objetivo debe visitar una página maliciosa o abrir un archivo malicioso. La falla específica existe dentro del análisis de píxeles en archivos XBM. El problema resulta de la falta de validación adecuada de los datos proporcionados por el usuario, lo que puede resultar en un desbordamiento de entero antes de asignar un búfer. Un atacante puede aprovechar esta vulnerabilidad para ejecutar código en el contexto del proceso actual. Fue ZDI-CAN-27865.

Gravedad CVSS v3.1: ALTA

Última modificación:

07/01/2026

Vulnerabilidad en SGI de FontForge GUtils (CVE-2025-15279)

Fecha de publicación:

31/12/2025

Idioma:

Español

Vulnerabilidad de ejecución remota de código por desbordamiento de búfer basado en montículo en el análisis de archivos BMP de FontForge GUtils. Esta vulnerabilidad permite a atacantes remotos ejecutar código arbitrario en instalaciones afectadas de FontForge. Se requiere interacción del usuario para explotar esta vulnerabilidad, ya que el objetivo debe visitar una página maliciosa o abrir un archivo malicioso. La falla específica existe en el análisis de píxeles dentro de archivos BMP. El problema resulta de la falta de validación adecuada de la longitud de los datos proporcionados por el usuario antes de copiarlos a un búfer basado en montículo. Un atacante puede aprovechar esta vulnerabilidad para ejecutar código en el contexto del usuario actual. Fue ZDI-CAN-27517.

Gravedad CVSS v3.1: ALTA

Última modificación:

07/01/2026