Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las ultimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las ultimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las ultimas vulnerabilidades incorporadas al repositorio.

CVE-2025-10810

Fecha de publicación:

22/09/2025

Idioma:

Inglés

*** Pendiente de traducción *** A vulnerability was detected in Campcodes Online Learning Management System 1.0. The impacted element is an unknown function of the file /admin/edit_user.php. Performing manipulation of the argument firstname results in sql injection. The attack is possible to be carried out remotely. The exploit is now public and may be used.

Gravedad CVSS v4.0: MEDIA

Última modificación:

25/09/2025

CVE-2025-59418

Fecha de publicación:

22/09/2025

Idioma:

Inglés

*** Pendiente de traducción *** BunnyPad is a note taking software. Prior to version 11.0.27000.0915, opening files greater than or equal to 20MB causes buffer overflow to occur. This issue has been patched in version 11.0.27000.0915. Users who wish not to upgrade should refrain from opening files larger than 10MB.

Gravedad CVSS v3.1: MEDIA

Última modificación:

22/09/2025

CVE-2025-59420

Fecha de publicación:

22/09/2025

Idioma:

Inglés

*** Pendiente de traducción *** Authlib is a Python library which builds OAuth and OpenID Connect servers. Prior to version 1.6.4, Authlib’s JWS verification accepts tokens that declare unknown critical header parameters (crit), violating RFC 7515 “must‑understand” semantics. An attacker can craft a signed token with a critical header (for example, bork or cnf) that strict verifiers reject but Authlib accepts. In mixed‑language fleets, this enables split‑brain verification and can lead to policy bypass, replay, or privilege escalation. This issue has been patched in version 1.6.4.

Gravedad CVSS v3.1: ALTA

Última modificación:

03/11/2025

CVE-2025-57440

Fecha de publicación:

22/09/2025

Idioma:

Inglés

*** Pendiente de traducción *** The Blackmagic ATEM Mini Pro 2.7 exposes an undocumented Telnet service on TCP port 9993, which accepts unauthenticated plaintext commands for controlling streaming, recording, formatting storage devices, and system reboot. This interface, referred to as the "ATEM Ethernet Protocol 1.0", provides complete device control without requiring credentials or encryption. An attacker on the same network (or with remote access to the exposed port) can exploit this interface to execute arbitrary streaming commands, erase disks, or shut down the device - effectively gaining full remote control.

Gravedad CVSS v3.1: ALTA

Última modificación:

28/10/2025

CVE-2025-57437

Fecha de publicación:

22/09/2025

Idioma:

Inglés

*** Pendiente de traducción *** The Blackmagic Web Presenter HD firmware version 3.3 exposes sensitive information via an unauthenticated Telnet service on port 9977. When connected, the service reveals extensive device configuration data including: - Model, version, and unique identifiers - Network settings including IP, MAC, DNS - Current stream platform, stream key, and streaming URL - Audio/video configuration This data can be used to hijack live streams or perform network reconnaissance.

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

10/10/2025

CVE-2025-57438

Fecha de publicación:

22/09/2025

Idioma:

Inglés

*** Pendiente de traducción *** The 2wcom IP-4c 2.15.5 device suffers from a Broken Access Control vulnerability. Certain sensitive endpoints are intended to be accessible only after the admin explicitly grants access to a manager-level account. However, a manager-level user can bypass these controls by intercepting and modifying requests.

Gravedad CVSS v3.1: MEDIA

Última modificación:

10/10/2025

CVE-2025-57439

Fecha de publicación:

22/09/2025

Idioma:

Inglés

*** Pendiente de traducción *** Creacast Creabox Manager 4.4.4 contains a critical Remote Code Execution vulnerability accessible via the edit.php endpoint. An authenticated attacker can inject arbitrary Lua code into the configuration, which is then executed on the server. This allows full system compromise, including reverse shell execution or arbitrary command execution.

Gravedad CVSS v3.1: ALTA

Última modificación:

17/10/2025

CVE-2025-57441

Fecha de publicación:

22/09/2025

Idioma:

Inglés

*** Pendiente de traducción *** The Blackmagic ATEM Mini Pro 2.7 exposes sensitive device and stream configuration information via an unauthenticated Telnet service on port 9990. Upon connection, the attacker can access a protocol preamble that leaks the video mode, routing configuration, input/output labels, device model, and even internal identifiers such as the unique ID. This can be used for reconnaissance and planning further attacks.

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

17/10/2025

CVE-2025-55888

Fecha de publicación:

22/09/2025

Idioma:

Inglés

*** Pendiente de traducción *** Cross-Site Scripting (XSS) vulnerability was discovered in the Ajax transaction manager endpoint of ARD. An attacker can intercept the Ajax response and inject malicious JavaScript into the accountName field. This input is not properly sanitized or encoded when rendered, allowing script execution in the context of users browsers. This flaw could lead to session hijacking, cookie theft, and other malicious actions.

Gravedad CVSS v3.1: ALTA

Última modificación:

14/10/2025

CVE-2025-55886

Fecha de publicación:

22/09/2025

Idioma:

Inglés

*** Pendiente de traducción *** An Insecure Direct Object Reference (IDOR) vulnerability was discovered in ARD. The flaw exists in the `fe_uid` parameter of the payment history API endpoint. An authenticated attacker can manipulate this parameter to access the payment history of other users without authorization.

Gravedad CVSS v3.1: MEDIA

Última modificación:

17/11/2025

CVE-2025-55885

Fecha de publicación:

22/09/2025

Idioma:

Inglés

*** Pendiente de traducción *** SQL Injection vulnerability in Alpes Recherche et Developpement ARD GEC en Lign before v.2025-04-23 allows a remote attacker to escalate privileges via the GET parameters in index.php

Gravedad CVSS v3.1: MEDIA

Última modificación:

14/10/2025

CVE-2025-43953

Fecha de publicación:

22/09/2025

Idioma:

Inglés

*** Pendiente de traducción *** In 2wcom IP-4c 2.16, the web interface allows admin and manager users to execute arbitrary code as root via a ping or traceroute field on the TCP/IP screen.

Gravedad CVSS v3.1: ALTA

Última modificación:

22/09/2025

Suscribirse a Vulnerabilidades