Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las ultimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las ultimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las ultimas vulnerabilidades incorporadas al repositorio.

CVE-2025-56557

Fecha de publicación:
16/09/2025
Idioma:
Inglés
*** Pendiente de traducción *** An issue discovered in the Tuya Smart Life App 5.6.1 allows attackers to unprivileged control Matter devices via the Matter protocol.
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
02/10/2025

CVE-2025-47967

Fecha de publicación:
16/09/2025
Idioma:
Inglés
*** Pendiente de traducción *** Insufficient ui warning of dangerous operations in Microsoft Edge for Android allows an unauthorized attacker to perform spoofing over a network.
Gravedad CVSS v3.1: MEDIA
Última modificación:
01/10/2025

CVE-2025-49728

Fecha de publicación:
16/09/2025
Idioma:
Inglés
*** Pendiente de traducción *** Cleartext storage of sensitive information in Microsoft PC Manager allows an unauthorized attacker to bypass a security feature locally.
Gravedad CVSS v3.1: MEDIA
Última modificación:
01/10/2025

CVE-2025-10562

Fecha de publicación:
16/09/2025
Idioma:
Inglés
*** Pendiente de traducción *** A flaw has been found in Campcodes Grocery Sales and Inventory System 1.0. This affects an unknown function of the file /ajax.php?action=save_product. This manipulation of the argument ID causes sql injection. Remote exploitation of the attack is possible. The exploit has been published and may be used.
Gravedad CVSS v4.0: MEDIA
Última modificación:
18/09/2025

CVE-2025-57624

Fecha de publicación:
16/09/2025
Idioma:
Inglés
*** Pendiente de traducción *** A DLL hijacking vulnerability in CYRISMA Agent before 444 allows local users to escalate privileges and execute arbitrary code via multiple DLLs.
Gravedad CVSS v3.1: ALTA
Última modificación:
17/09/2025

CVE-2025-57625

Fecha de publicación:
16/09/2025
Idioma:
Inglés
*** Pendiente de traducción *** CYRISMA Sensor before 444 for Windows has an Insecure Folder and File Permissions vulnerability. A low-privileged user can abuse these issues to escalate privileges and execute arbitrary code in the context of NT AUTHORITY\SYSTEM by replacing DataSpotliteAgent.exe or any other binaries called by the Cyrisma_Agent service when it starts
Gravedad CVSS v3.1: ALTA
Última modificación:
17/09/2025

CVE-2025-56562

Fecha de publicación:
16/09/2025
Idioma:
Inglés
*** Pendiente de traducción *** An incorrect API discovered in Signify Wiz Connected 1.9.1 allows attackers to remotely launch a DoS on Wiz devices only requiring the MAC address.
Gravedad CVSS v3.1: ALTA
Última modificación:
02/10/2025

CVE-2025-54262

Fecha de publicación:
16/09/2025
Idioma:
Inglés
*** Pendiente de traducción *** Substance3D - Stager versions 3.1.3 and earlier are affected by an out-of-bounds read vulnerability when parsing a crafted file, which could result in a read past the end of an allocated memory structure. An attacker could leverage this vulnerability to execute code in the context of the current user. Exploitation of this issue requires user interaction in that a victim must open a malicious file.
Gravedad CVSS v3.1: ALTA
Última modificación:
18/09/2025

CVE-2025-54237

Fecha de publicación:
16/09/2025
Idioma:
Inglés
*** Pendiente de traducción *** Substance3D - Stager versions 3.1.3 and earlier are affected by an out-of-bounds read vulnerability that could lead to memory exposure. An attacker could leverage this vulnerability to disclose sensitive information. Exploitation of this issue requires user interaction in that a victim must open a malicious file.
Gravedad CVSS v3.1: MEDIA
Última modificación:
18/09/2025

CVE-2025-10572

Fecha de publicación:
16/09/2025
Idioma:
Inglés
*** Pendiente de traducción *** Rejected reason: ** REJECT ** DO NOT USE THIS CANDIDATE NUMBER. ConsultIDs: CVE-2025-9199. Reason: This candidate is a reservation duplicate of CVE-2025-9199. Notes: All CVE users should reference CVE-2025-9199 instead of this candidate. All references and descriptions in this candidate have been removed to prevent accidental usage.
Gravedad: Pendiente de análisis
Última modificación:
16/09/2025

CVE-2025-59336

Fecha de publicación:
16/09/2025
Idioma:
Inglés
*** Pendiente de traducción *** Luanox is a module host for Lua packages. Prior to 0.1.1, a file traversal vulnerability can cause potential denial of service by overwriting Phoenix runtime files. Package names like ../../package are not properly filtered and pass the validity check of the rockspec verification system. This causes the uploaded file to be stored at the relative path location. If planned carefully, this could overwrite a runtime file and cause the website to crash. This vulnerability is fixed by 0.1.1.
Gravedad CVSS v4.0: MEDIA
Última modificación:
17/09/2025

CVE-2025-58174

Fecha de publicación:
16/09/2025
Idioma:
Inglés
*** Pendiente de traducción *** LDAP Account Manager (LAM) is a webfrontend for managing entries stored in an LDAP directory. LAM before 9.3 allows stored cross-site scripting in the Profile section via the profile name field, which renders untrusted input as HTML and executes a supplied script (for example a script element). An authenticated user with permission to create or edit a profile can insert a script payload into the profile name and have it executed when the profile data is viewed in a browser. This issue is fixed in version 9.3. No known workarounds are mentioned.
Gravedad CVSS v3.1: MEDIA
Última modificación:
17/09/2025