Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las ultimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las ultimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las ultimas vulnerabilidades incorporadas al repositorio.

CVE-2019-25700

Fecha de publicación:
05/04/2026
Idioma:
Inglés
*** Pendiente de traducción *** Kados R10 GreenBee contains an SQL injection vulnerability that allows attackers to manipulate database queries by injecting SQL code through the sort_direction parameter. Attackers can submit malicious SQL statements in the sort_direction parameter to extract sensitive database information or modify data.
Gravedad CVSS v4.0: ALTA
Última modificación:
05/04/2026

CVE-2019-25702

Fecha de publicación:
05/04/2026
Idioma:
Inglés
*** Pendiente de traducción *** Kados R10 GreenBee contains an SQL injection vulnerability that allows attackers to manipulate database queries by injecting SQL code through the id_project parameter. Attackers can send crafted requests with malicious SQL statements in the id_project parameter to extract sensitive database information or modify data.
Gravedad CVSS v4.0: ALTA
Última modificación:
05/04/2026

CVE-2019-25704

Fecha de publicación:
05/04/2026
Idioma:
Inglés
*** Pendiente de traducción *** Kados R10 GreenBee contains an SQL injection vulnerability that allows attackers to manipulate database queries by injecting SQL code through the filter_user_mail parameter. Attackers can send crafted requests with malicious SQL statements to extract sensitive database information or modify data.
Gravedad CVSS v4.0: ALTA
Última modificación:
05/04/2026

CVE-2019-25685

Fecha de publicación:
05/04/2026
Idioma:
Inglés
*** Pendiente de traducción *** phpBB contains an arbitrary file upload vulnerability that allows authenticated attackers to upload malicious files by exploiting the plupload functionality and phar:// stream wrapper. Attackers can upload a crafted zip file containing serialized PHP objects that execute arbitrary code when deserialized through the imagick parameter in attachment settings.
Gravedad CVSS v4.0: ALTA
Última modificación:
05/04/2026

CVE-2019-25686

Fecha de publicación:
05/04/2026
Idioma:
Inglés
*** Pendiente de traducción *** Core FTP 2.0 build 653 contains a denial of service vulnerability in the PBSZ command that allows unauthenticated attackers to crash the service by sending a malformed command with an oversized buffer. Attackers can send a PBSZ command with a payload exceeding 211 bytes to trigger an access violation and crash the FTP server process.
Gravedad CVSS v4.0: ALTA
Última modificación:
05/04/2026

CVE-2019-25687

Fecha de publicación:
05/04/2026
Idioma:
Inglés
*** Pendiente de traducción *** Pegasus CMS 1.0 contains a remote code execution vulnerability in the extra_fields.php plugin that allows unauthenticated attackers to execute arbitrary commands by exploiting unsafe eval functionality. Attackers can send POST requests to the submit.php endpoint with malicious PHP code in the action parameter to achieve code execution and obtain an interactive shell.
Gravedad CVSS v4.0: CRÍTICA
Última modificación:
05/04/2026

CVE-2019-25688

Fecha de publicación:
05/04/2026
Idioma:
Inglés
*** Pendiente de traducción *** Kados R10 GreenBee contains an SQL injection vulnerability that allows unauthenticated attackers to manipulate database queries by injecting SQL code through the menu_lev1 parameter. Attackers can send crafted requests with malicious SQL payloads in the menu_lev1 parameter to extract sensitive database information or modify database contents.
Gravedad CVSS v4.0: ALTA
Última modificación:
05/04/2026

CVE-2019-25690

Fecha de publicación:
05/04/2026
Idioma:
Inglés
*** Pendiente de traducción *** Kados R10 GreenBee contains an SQL injection vulnerability that allows attackers to manipulate database queries by injecting SQL code through the mng_profile_id parameter. Attackers can send crafted requests with malicious SQL payloads in the mng_profile_id parameter to extract sensitive database information.
Gravedad CVSS v4.0: ALTA
Última modificación:
05/04/2026

CVE-2019-25692

Fecha de publicación:
05/04/2026
Idioma:
Inglés
*** Pendiente de traducción *** Kados R10 GreenBee contains an SQL injection vulnerability that allows attackers to manipulate database queries by injecting SQL code through the 'id_to_modify' parameter. Attackers can send crafted requests with malicious SQL statements in the id_to_modify field to extract sensitive database information or modify data.
Gravedad CVSS v4.0: ALTA
Última modificación:
05/04/2026

CVE-2019-25679

Fecha de publicación:
05/04/2026
Idioma:
Inglés
*** Pendiente de traducción *** RealTerm Serial Terminal 2.0.0.70 contains a structured exception handling (SEH) buffer overflow vulnerability in the Echo Port tab that allows local attackers to execute arbitrary code by supplying a malicious payload. Attackers can craft a buffer overflow payload with a POP POP RET gadget chain and shellcode that triggers code execution when pasted into the Port field and the Change button is clicked.
Gravedad CVSS v4.0: ALTA
Última modificación:
05/04/2026

CVE-2019-25680

Fecha de publicación:
05/04/2026
Idioma:
Inglés
*** Pendiente de traducción *** Advance Gift Shop Pro Script 2.0.3 contains an SQL injection vulnerability that allows unauthenticated attackers to execute arbitrary SQL queries by injecting malicious code through the search parameter. Attackers can submit crafted SQL payloads in the 's' parameter of search requests to extract sensitive database information including version details and other data.
Gravedad CVSS v4.0: ALTA
Última modificación:
05/04/2026

CVE-2019-25681

Fecha de publicación:
05/04/2026
Idioma:
Inglés
*** Pendiente de traducción *** Xlight FTP Server 3.9.1 contains a structured exception handler (SEH) overwrite vulnerability that allows local attackers to crash the application and overwrite SEH pointers by supplying a crafted buffer string. Attackers can inject a 428-byte payload through the program execution field in virtual server configuration to trigger a buffer overflow that corrupts the SEH chain and enables potential code execution.
Gravedad CVSS v4.0: ALTA
Última modificación:
05/04/2026