Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las ultimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las ultimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las ultimas vulnerabilidades incorporadas al repositorio.

Vulnerabilidad en 1000 Projects Campaign Management System Platform for Women 1.0 (CVE-2025-0534)

Fecha de publicación:
17/01/2025
Idioma:
Español
Se ha encontrado una vulnerabilidad en 1000 Projects Campaign Management System Platform for Women 1.0. Se ha calificado como crítica. Este problema afecta a una funcionalidad desconocida del archivo /Code/loginnew.php. La manipulación del argumento Username conduce a una inyección SQL. El ataque puede ejecutarse de forma remota. El exploit se ha hecho público y puede utilizarse.
Gravedad CVSS v4.0: MEDIA
Última modificación:
29/04/2025

Vulnerabilidad en Codezips Gym Management System 1.0 (CVE-2025-0532)

Fecha de publicación:
17/01/2025
Idioma:
Español
Se ha encontrado una vulnerabilidad en Codezips Gym Management System 1.0. Se ha clasificado como crítica. Se ve afectada una función desconocida del archivo /dashboard/admin/new_submit.php. La manipulación del argumento m_id provoca una inyección SQL. Es posible lanzar el ataque de forma remota. El exploit se ha hecho público y puede utilizarse.
Gravedad CVSS v4.0: MEDIA
Última modificación:
22/04/2025

Vulnerabilidad en 1000 Projects Campaign Management System Platform for Women 1.0 (CVE-2025-0533)

Fecha de publicación:
17/01/2025
Idioma:
Español
Se ha encontrado una vulnerabilidad en 1000 Projects Campaign Management System Platform for Women 1.0. Se ha declarado como crítica. Esta vulnerabilidad afecta a una funcionalidad desconocida del archivo /Code/sc_login.php. La manipulación del argumento uname conduce a una inyección SQL. El ataque se puede ejecutar de forma remota. El exploit se ha hecho público y puede utilizarse.
Gravedad CVSS v4.0: MEDIA
Última modificación:
29/04/2025

Vulnerabilidad en Belledonne Communications (CVE-2025-0430)

Fecha de publicación:
17/01/2025
Idioma:
Español
Belledonne Communications Linphone-Desktop es vulnerable a una vulnerabilidad de desreferencia NULL, que podría permitir a un atacante remoto crear una condición de denegación de servicio.
Gravedad CVSS v4.0: ALTA
Última modificación:
17/01/2025

Vulnerabilidad en Nedap Librix Ecoreader (CVE-2024-12757)

Fecha de publicación:
17/01/2025
Idioma:
Español
Nedap Librix Ecoreader carece de autenticación para funciones críticas, lo que podría permitir que un atacante no autenticado ejecute código malicioso.
Gravedad CVSS v4.0: ALTA
Última modificación:
17/01/2025

Vulnerabilidad en Ossur (CVE-2024-53683)

Fecha de publicación:
17/01/2025
Idioma:
Español
Se obtuvo un conjunto válido de credenciales en un archivo .js y un token estático para la comunicación a partir del IPA descompilado. Un atacante podría utilizar la información para interrumpir el uso normal de la aplicación al cambiar los archivos de traducción y, de ese modo, debilitar la integridad del uso normal.
Gravedad CVSS v4.0: MEDIA
Última modificación:
17/01/2025

Vulnerabilidad en Ossur (CVE-2024-54681)

Fecha de publicación:
17/01/2025
Idioma:
Español
Había varios archivos bash en el directorio privado de la aplicación. Un atacante que ya tiene acceso total a la plataforma móvil puede utilizar los archivos bash por sí solos para comprometer las traducciones de la aplicación.
Gravedad CVSS v4.0: BAJA
Última modificación:
17/01/2025

Vulnerabilidad en ETIC Telecom Remote Access Server (CVE-2024-26154)

Fecha de publicación:
17/01/2025
Idioma:
Español
Todas las versiones de ETIC Telecom Remote Access Server (RAS) anteriores a la 4.5.0 son vulnerables a la Cross Site Scripting Reflejado en el nombre del sitio del dispositivo. El servidor web ETIC RAS ??guarda el nombre del sitio y luego lo presenta a los administradores en algunas páginas diferentes.
Gravedad CVSS v4.0: MEDIA
Última modificación:
17/01/2025

Vulnerabilidad en ETIC Telecom Remote Access Server (CVE-2024-26155)

Fecha de publicación:
17/01/2025
Idioma:
Español
Todas las versiones de ETIC Telecom Remote Access Server (RAS) anteriores a la 4.5.0 exponen credenciales de texto sin formato en el portal web. Un atacante puede acceder al portal web de ETIC RAS ??y ver el código HTML, que está configurado para estar oculto, lo que permite una conexión al servidor ssh de ETIC RAS, lo que podría permitir a un atacante realizar acciones en el dispositivo.
Gravedad CVSS v4.0: MEDIA
Última modificación:
17/01/2025

Vulnerabilidad en ETIC Telecom Remote Access Server (CVE-2024-26156)

Fecha de publicación:
17/01/2025
Idioma:
Español
Todas las versiones de ETIC Telecom Remote Access Server (RAS) anteriores a la 4.5.0 son vulnerables a ataques de Cross Site Scripting (XSS) Reflejado en el parámetro method. El servidor web ETIC RAS ??utiliza páginas dinámicas que obtienen su entrada del lado del cliente y reflejan la entrada en su respuesta al cliente.
Gravedad CVSS v4.0: MEDIA
Última modificación:
17/01/2025

Vulnerabilidad en ETIC Telecom Remote Access Server (CVE-2024-26157)

Fecha de publicación:
17/01/2025
Idioma:
Español
Todas las versiones de ETIC Telecom Remote Access Server (RAS) anteriores a la 4.5.0 son vulnerables a ataques de Cross Site Scripting (XSS) Reflejado en el método get view bajo el parámetro view. El servidor web ETIC RAS ??utiliza páginas dinámicas que obtienen su información del lado del cliente y reflejan la información en su respuesta al cliente.
Gravedad CVSS v4.0: MEDIA
Última modificación:
17/01/2025

Vulnerabilidad en Ossur (CVE-2024-45832)

Fecha de publicación:
17/01/2025
Idioma:
Español
Se incluyeron credenciales codificadas como parte del binario de la aplicación. Estas credenciales sirvieron como parte del flujo de autenticación de la aplicación y la comunicación con la aplicación móvil. Un atacante podría acceder a información no autorizada.
Gravedad CVSS v4.0: BAJA
Última modificación:
17/01/2025