Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las ultimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las ultimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las ultimas vulnerabilidades incorporadas al repositorio.

CVE-2025-34442

Fecha de publicación:
17/12/2025
Idioma:
Inglés
*** Pendiente de traducción *** AVideo versions prior to 20.1 disclose absolute filesystem paths via multiple public API endpoints. Returned metadata includes full server paths to media files, revealing underlying filesystem structure and facilitating more effective attack chains.
Gravedad CVSS v4.0: MEDIA
Última modificación:
19/12/2025

CVE-2025-14760

Fecha de publicación:
17/12/2025
Idioma:
Inglés
*** Pendiente de traducción *** Missing cryptographic key commitment in the AWS SDK for C++ may allow a user with write access to the S3 bucket to introduce a new EDK that decrypts to different plaintext when the encrypted data key is stored in an "instruction file" instead of S3&amp;#39;s metadata record.<br /> <br /> To mitigate this issue, upgrade AWS SDK for C++ to version 1.11.712 or later
Gravedad CVSS v4.0: MEDIA
Última modificación:
18/12/2025

CVE-2025-34434

Fecha de publicación:
17/12/2025
Idioma:
Inglés
*** Pendiente de traducción *** AVideo versions prior to 20.1 with the ImageGallery plugin enabled is vulnerable to unauthenticated file upload and deletion. Plugin endpoints responsible for managing gallery images fail to enforce authentication checks and do not validate ownership, allowing unauthenticated attackers to upload or delete images associated with any image-based video.
Gravedad CVSS v4.0: CRÍTICA
Última modificación:
19/12/2025

CVE-2025-34435

Fecha de publicación:
17/12/2025
Idioma:
Inglés
*** Pendiente de traducción *** AVideo versions prior to 20.1 are vulnerable to an insecure direct object reference (IDOR) that allows any authenticated user to delete media files belonging to other users. The affected endpoint validates authentication but fails to verify ownership or edit permissions for the targeted video.
Gravedad CVSS v4.0: ALTA
Última modificación:
19/12/2025

CVE-2025-14759

Fecha de publicación:
17/12/2025
Idioma:
Inglés
*** Pendiente de traducción *** Missing cryptographic key commitment in the Amazon S3 Encryption Client for .NET may allow a user with write access to the S3 bucket to introduce a new EDK that decrypts to different plaintext when the encrypted data key is stored in an "instruction file" instead of S3&amp;#39;s metadata record.<br /> <br /> To mitigate this issue, upgrade Amazon S3 Encryption Client for .NET to version 3.2.0 or later.
Gravedad CVSS v4.0: MEDIA
Última modificación:
18/12/2025

CVE-2025-67170

Fecha de publicación:
17/12/2025
Idioma:
Inglés
*** Pendiente de traducción *** A reflected cross-site scripting (XSS) vulnerability in RiteCMS v3.1.0 allows attackers to execute arbitrary code in the context of a user&amp;#39;s browser via a crafted payload.
Gravedad CVSS v3.1: MEDIA
Última modificación:
18/12/2025

CVE-2025-67171

Fecha de publicación:
17/12/2025
Idioma:
Inglés
*** Pendiente de traducción *** Incorrect access control in the /templates/ component of RiteCMS v3.1.0 allows attackers to access sensitive files via directory traversal.
Gravedad CVSS v3.1: ALTA
Última modificación:
18/12/2025

CVE-2025-67173

Fecha de publicación:
17/12/2025
Idioma:
Inglés
*** Pendiente de traducción *** A Cross-Site Request Forgery (CSRF) in the page creation/editing function of RiteCMS v3.1.0 allows attackers to arbitrarily create pages via a crafted POST request.
Gravedad CVSS v3.1: MEDIA
Última modificación:
18/12/2025

CVE-2025-67174

Fecha de publicación:
17/12/2025
Idioma:
Inglés
*** Pendiente de traducción *** A local file inclusion (LFI) vulnerability in RiteCMS v3.1.0 allows attackers to read arbitrary files on the host via a directory traversal in the admin_language_file and default_page_language_file in the admin.php component
Gravedad CVSS v3.1: ALTA
Última modificación:
18/12/2025

CVE-2025-66953

Fecha de publicación:
17/12/2025
Idioma:
Inglés
*** Pendiente de traducción *** CSRF vulnerability in narda miteq Uplink Power Contril Unit UPC2 v.1.17 allows a remote attacker to execute arbitrary code via the Web-based management interface and specifically the /system_setup.htm, /set_clock.htm, /receiver_setup.htm, /cal.htm?..., and /channel_setup.htm endpoints
Gravedad CVSS v3.1: ALTA
Última modificación:
18/12/2025

CVE-2025-67168

Fecha de publicación:
17/12/2025
Idioma:
Inglés
*** Pendiente de traducción *** RiteCMS v3.1.0 was discovered to use insecure encryption to store passwords.
Gravedad CVSS v3.1: MEDIA
Última modificación:
18/12/2025

CVE-2025-66395

Fecha de publicación:
17/12/2025
Idioma:
Inglés
*** Pendiente de traducción *** ChurchCRM is an open-source church management system. Prior to version 6.5.3, a SQL injection vulnerability exists in the `src/ListEvents.php` file. When filtering events by type, the `WhichType` POST parameter is not properly sanitized or type-casted before being used in multiple SQL queries. This allows any authenticated user to execute arbitrary SQL commands, including time-based blind SQL injection attacks. Any authenticated user, regardless of their privilege level, can execute arbitrary queries on the database. This could allow them to exfiltrate, modify, or delete any data in the database, including user credentials, financial data, and personal information, leading to a full compromise of the application&amp;#39;s data. Version 6.5.3 fixes the issue.
Gravedad CVSS v3.1: ALTA
Última modificación:
18/12/2025