Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las ultimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las ultimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las ultimas vulnerabilidades incorporadas al repositorio.

CVE-2025-59406

Fecha de publicación:

02/10/2025

Idioma:

Inglés

*** Pendiente de traducción *** The Flock Safety Pisco com.flocksafety.android.pisco application 6.21.11 for Android (installed on Falcon and Sparrow License Plate Readers and Bravo Edge AI Compute Devices) has a cleartext Auth0 client secret in its codebase. Because application binaries can be trivially decompiled or inspected, attackers can recover this OAuth secret without special privileges. This secret is intended to remain confidential and should never be embedded directly in client-side software.

Gravedad CVSS v3.1: MEDIA

Última modificación:

24/10/2025

CVE-2025-34208

Fecha de publicación:

02/10/2025

Idioma:

Inglés

*** Pendiente de traducción *** Vasion Print (formerly PrinterLogic) Virtual Appliance Host and Application (VA/SaaS deployments) store user passwords using unsalted SHA-512 hashes with a fall-back to unsalted SHA-1. The hashing is performed via PHP&#39;s `hash()` function in multiple files (server_write_requests_users.php, update_database.php, legacy/Login.php, tests/Unit/Api/IdpControllerTest.php). No per-user salt is used and the fast hash algorithms are unsuitable for password storage. An attacker who obtains the password database can recover cleartext passwords via offline dictionary or rainbow table attacks. The vulnerable code also contains logic that migrates legacy SHA-1 hashes to SHA-512 on login, further exposing users still on the old hash. This vulnerability was partially resolved, but still present within the legacy authentication platform.

Gravedad CVSS v4.0: ALTA

Última modificación:

09/10/2025

CVE-2025-34210

Fecha de publicación:

02/10/2025

Idioma:

Inglés

*** Pendiente de traducción *** Vasion Print (formerly PrinterLogic) Virtual Appliance Host and Application (VA/SaaS deployments) store a large number of sensitive credentials (database passwords, MySQL root password, SaaS keys, Portainer admin password, etc.) in cleartext files that are world-readable. Any local user - or any process that can read the host filesystem - can retrieve all of these secrets in plain text, leading to credential theft and full compromise of the appliance. The vendor does not consider this to be a security vulnerability as this product "follows a shared responsibility model, where administrators are expected to configure persistent storage encryption."

Gravedad CVSS v4.0: CRÍTICA

Última modificación:

09/10/2025

CVE-2025-59403

Fecha de publicación:

02/10/2025

Idioma:

Inglés

*** Pendiente de traducción *** The Flock Safety Android Collins application (aka com.flocksafety.android.collins) 6.35.31 for Android lacks authentication. It is responsible for the camera feed on Falcon, Sparrow, and Bravo devices, but exposes administrative API endpoints on port 8080 without authentication. Endpoints include but are not limited to: /reboot, /logs, /crashpack, and /adb/enable. This results in multiple impacts including denial of service (DoS) via /reboot, information disclosure via /logs, and remote code execution (RCE) via /adb/enable. The latter specifically results in adb being started over TCP without debugging confirmation, providing an attacker in the LAN/WLAN with shell access.

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

24/11/2025

CVE-2025-60660

Fecha de publicación:

02/10/2025

Idioma:

Inglés

*** Pendiente de traducción *** Tenda AC18 V15.03.05.19 was discovered to contain a stack overflow via the mac parameter in the fromAdvSetMacMtuWan function.

Gravedad CVSS v3.1: ALTA

Última modificación:

07/10/2025

CVE-2025-60662

Fecha de publicación:

02/10/2025

Idioma:

Inglés

*** Pendiente de traducción *** Tenda AC18 V15.03.05.19 was discovered to contain a stack overflow via the wanSpeed parameter in the fromAdvSetMacMtuWan function.

Gravedad CVSS v3.1: ALTA

Última modificación:

07/10/2025

CVE-2025-56162

Fecha de publicación:

02/10/2025

Idioma:

Inglés

*** Pendiente de traducción *** YOSHOP 2.0 suffers from an unauthenticated SQL injection in the goodsIds parameter of the /api/goods/listByIds endpoint. The getListByIds function concatenates user input into orderRaw(&#39;field(goods_id, ...)&#39;), allowing attackers to: (a) enumerate or modify database data, including dumping admin password hashes; (b) write web-shell files or invoke xp_cmdshell, leading to remote code execution on servers configured with sufficient DB privileges.

Gravedad CVSS v3.1: MEDIA

Última modificación:

30/10/2025

CVE-2025-57305

Fecha de publicación:

02/10/2025

Idioma:

Inglés

*** Pendiente de traducción *** VitaraCharts 5.3.5 is vulnerable to Server-Side Request Forgery in fileLoader.jsp.

Gravedad CVSS v3.1: MEDIA

Última modificación:

16/10/2025

CVE-2025-56161

Fecha de publicación:

02/10/2025

Idioma:

Inglés

*** Pendiente de traducción *** YOSHOP 2.0 allows unauthenticated information disclosure via comment-list API endpoints in the Goods module. The Comment model eagerly loads the related User model without field filtering; because User.php defines no $hidden or $visible attributes, sensitive fields (bcrypt password hash, mobile number, pay_money, expend_money.) are exposed in JSON responses. Route names vary per deployment (e.g. /api/goods.pinglun/list), but all call the same vulnerable model logic.

Gravedad CVSS v3.1: ALTA

Última modificación:

30/10/2025

CVE-2025-56154

Fecha de publicación:

02/10/2025

Idioma:

Inglés

*** Pendiente de traducción *** htmly v3.0.8 is vulnerable to Cross Site Scripting (XSS) in the /author/:name endpoint of the affected application. The name parameter is not properly sanitized before being reflected in the HTML response, allowing attackers to inject arbitrary JavaScript payloads.

Gravedad CVSS v3.1: MEDIA

Última modificación:

20/01/2026

CVE-2025-60782

Fecha de publicación:

02/10/2025

Idioma:

Inglés

*** Pendiente de traducción *** PHP Education Manager v1.0 is vulnerable to Cross Site Scripting (XSS) stored Cross-Site Scripting (XSS) vulnerability in the topics management module (topics.php). Attackers can inject malicious JavaScript payloads into the Titlefield during topic creation or updates.

Gravedad CVSS v3.1: MEDIA

Última modificación:

07/10/2025

CVE-2025-61087

Fecha de publicación:

02/10/2025

Idioma:

Inglés

*** Pendiente de traducción *** SourceCodester Pet Grooming Management Software 1.0 is vulnerable to Cross Site Scripting (XSS) via the Customer Name field under Customer Management Section.

Gravedad CVSS v3.1: MEDIA

Última modificación:

07/10/2025

Suscribirse a Vulnerabilidades