Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

017 - Ir a la línea de ayuda en Ciberseguridad    Ir a Agenda     Ir a Sala de prensa     Ir a suscripción de boletines

Ir al buscador

Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las ultimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las ultimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las ultimas vulnerabilidades incorporadas al repositorio.

CVE-2025-58064
Fecha de publicación:
04/09/2025
Idioma:
Inglés
*** Pendiente de traducción *** CKEditor 5 is a modern JavaScript rich-text editor with an MVC architecture. ckeditor5 and ckeditor5-clipboard versions 46.0.0 through 46.0.2 and 44.2.0 through 45.2.1 contain a Cross-Site Scripting (XSS) vulnerability. Ability to exploit could be triggered by a specific user action (leading to unauthorized JavaScript code execution) if the attacker managed to insert a malicious content into the editor, which might happen with a very specific editor configuration. This vulnerability affects installations where the editor configuration meets one of the following criteria: the HTML embed plugin is enabled, or there is a custom plugin introducing an editable element where view RawElement is enabled. This issue is fixed in versions 45.2.2 and 46.0.3 of both ckeditor5 and ckeditor5-clipboard.
Gravedad CVSS v4.0: BAJA
Última modificación:
04/09/2025

CVE-2025-58355
Fecha de publicación:
04/09/2025
Idioma:
Inglés
*** Pendiente de traducción *** Soft Serve is a self-hostable Git server for the command line. In versions 0.9.1 and below, attackers can create or override arbitrary files with uncontrolled data through its SSH API. This issue is fixed in version 0.10.0.
Gravedad CVSS v3.1: ALTA
Última modificación:
04/09/2025

CVE-2025-58358
Fecha de publicación:
04/09/2025
Idioma:
Inglés
*** Pendiente de traducción *** Markdownify is a Model Context Protocol server for converting almost anything to Markdown. Versions below 0.0.2 contain a command injection vulnerability, caused by the unsanitized use of input parameters within a call to child_process.exec, enabling an attacker to inject arbitrary system commands. Successful exploitation can lead to remote code execution under the server process's privileges. The server constructs and executes shell commands using unvalidated user input directly within command-line strings. This introduces the possibility of shell metacharacter injection (|, >, &&, etc.). This issue is fixed in version 0.0.2.
Gravedad CVSS v3.1: ALTA
Última modificación:
04/09/2025

CVE-2025-58171
Fecha de publicación:
04/09/2025
Idioma:
Inglés
*** Pendiente de traducción *** Rejected reason: This CVE is a duplicate of another CVE.
Gravedad: Pendiente de análisis
Última modificación:
04/09/2025

CVE-2025-58357
Fecha de publicación:
04/09/2025
Idioma:
Inglés
*** Pendiente de traducción *** 5ire is a cross-platform desktop artificial intelligence assistant and model context protocol client. Version 0.13.2 contains a vulnerability in the chat page's script gadgets that enables content injection attacks through multiple vectors: malicious prompt injection pages, compromised MCP servers, and exploited tool integrations. This is fixed in version 0.14.0.
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
22/01/2026

CVE-2025-36905
Fecha de publicación:
04/09/2025
Idioma:
Inglés
*** Pendiente de traducción *** In gxp_mapping_create of gxp_mapping.c, there is a possible privilege escalation due to a logic error in the code. This could lead to local escalation of privilege with no additional execution privileges needed. User interaction is not needed for exploitation.
Gravedad CVSS v3.1: ALTA
Última modificación:
05/09/2025

CVE-2025-36906
Fecha de publicación:
04/09/2025
Idioma:
Inglés
*** Pendiente de traducción *** In ConvertReductionOp of darwinn_mlir_converter_aidl.cc, there is a possible out of bounds write due to a heap buffer overflow. This could lead to local escalation of privilege with no additional execution privileges needed. User interaction is not needed for exploitation.
Gravedad CVSS v3.1: ALTA
Última modificación:
08/09/2025

CVE-2025-36907
Fecha de publicación:
04/09/2025
Idioma:
Inglés
*** Pendiente de traducción *** In draw_surface_image() of abl/android/lib/draw/draw.c, there is a possible out of bounds write due to a heap buffer overflow. This could lead to local escalation of privilege via USB fastboot, after a bootloader unlock, with no additional execution privileges needed. User interaction is needed for exploitation.
Gravedad CVSS v3.1: ALTA
Última modificación:
05/09/2025

CVE-2025-36908
Fecha de publicación:
04/09/2025
Idioma:
Inglés
*** Pendiente de traducción *** In lwis_top_register_io of lwis_device_top.c, there is a possible out of bounds write due to an incorrect bounds check. This could lead to local escalation of privilege with System execution privileges needed. User interaction is not needed for exploitation.
Gravedad CVSS v3.1: MEDIA
Última modificación:
05/09/2025

CVE-2025-43772
Fecha de publicación:
04/09/2025
Idioma:
Inglés
*** Pendiente de traducción *** Kaleo Forms Admin in Liferay Portal 7.0.0 through 7.4.3.4, and Liferay DXP 7.4 GA, 7.3 GA through update 27, and older unsupported versions does not restrict the saving of request parameters in the portlet session, which allows remote attackers to consume system memory leading to denial-of-service (DoS) conditions via crafted HTTP request.
Gravedad CVSS v4.0: ALTA
Última modificación:
04/09/2025

CVE-2025-36909
Fecha de publicación:
04/09/2025
Idioma:
Inglés
*** Pendiente de traducción *** Information disclosure
Gravedad CVSS v3.1: MEDIA
Última modificación:
05/09/2025

CVE-2025-36897
Fecha de publicación:
04/09/2025
Idioma:
Inglés
*** Pendiente de traducción *** In unknown of cd_CnMsgCodecUserApi.cpp, there is a possible out of bounds write due to a missing bounds check. This could lead to remote code execution with no additional execution privileges needed. User interaction is not needed for exploitation.
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
05/09/2025
Suscribirse a Vulnerabilidades