Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las ultimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las ultimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las ultimas vulnerabilidades incorporadas al repositorio.

Vulnerabilidad en WP Projects Portfolio with Client Testimonials de WordPress (CVE-2024-13114)

Fecha de publicación:
04/02/2025
Idioma:
Español
El complemento WP Projects Portfolio with Client Testimonials de WordPress hasta la versión 3.0 no desinfecta ni escapa un parámetro antes de mostrarlo nuevamente en la página, lo que genera un Cross-Site Scripting Reflejado que podría usarse contra usuarios con privilegios altos, como el administrador.
Gravedad CVSS v3.1: MEDIA
Última modificación:
07/05/2025

Vulnerabilidad en WinterLock (CVE-2025-24982)

Fecha de publicación:
04/02/2025
Idioma:
Español
La vulnerabilidad Cross-Site Request Forgery existe en las versiones de registro de actividad de WinterLock anteriores a la 1.2.5. Si un usuario ve una página maliciosa mientras está conectado, los datos del registro pueden eliminarse.
Gravedad CVSS v3.1: MEDIA
Última modificación:
04/02/2025

Vulnerabilidad en Dell PowerProtect DD (CVE-2025-22475)

Fecha de publicación:
04/02/2025
Idioma:
Español
Dell PowerProtect DD, versiones anteriores a DDOS 8.3.0.0, 7.10.1.50 y 7.13.1.10 contienen una vulnerabilidad de implementación riesgosa con uso de primitiva criptográfica. Un atacante remoto podría aprovechar esta vulnerabilidad, lo que provocaría la manipulación de la información.
Gravedad CVSS v3.1: BAJA
Última modificación:
07/02/2025

Vulnerabilidad en HP Anyware Agent (CVE-2025-1003)

Fecha de publicación:
04/02/2025
Idioma:
Español
Se ha identificado una vulnerabilidad potencial en HP Anyware Agent para Linux que podría permitir la omisión de la autenticación, lo que puede dar lugar a una escalada de privilegios. HP está lanzando una actualización de software para mitigar esta vulnerabilidad potencial.
Gravedad CVSS v4.0: ALTA
Última modificación:
04/02/2025

Vulnerabilidad en Zoom Jenkins Marketplace (CVE-2025-0148)

Fecha de publicación:
03/02/2025
Idioma:
Español
La falta de enmascaramiento del campo de contraseña en el complemento Zoom Jenkins Marketplace anterior a la versión 1.6 puede permitir que un usuario no autenticado realice una divulgación de información a través del acceso a la red adyacente.
Gravedad CVSS v3.1: BAJA
Última modificación:
03/02/2025

Vulnerabilidad en WeGIA (CVE-2025-24958)

Fecha de publicación:
03/02/2025
Idioma:
Español
WeGIA es un administrador web para instituciones de beneficencia. Se descubrió una vulnerabilidad de inyección SQL en la aplicación WeGIA, `salvar_tag.php` endpoint. Esta vulnerabilidad podría permitir que un atacante autorizado ejecute consultas SQL arbitrarias, lo que permitiría el acceso o la eliminación de información confidencial. Este problema se ha solucionado en la versión 3.2.12 y se recomienda a todos los usuarios que actualicen. No se conocen workarounds para esta vulnerabilidad.
Gravedad CVSS v4.0: CRÍTICA
Última modificación:
13/02/2025

Vulnerabilidad en WeGIA (CVE-2025-24957)

Fecha de publicación:
03/02/2025
Idioma:
Español
WeGIA es un administrador web para instituciones de beneficencia. Se descubrió una vulnerabilidad de inyección SQL en la aplicación WeGIA, `get_detalhes_socio.php` endpoint. Esta vulnerabilidad podría permitir que un atacante autorizado ejecute consultas SQL arbitrarias, lo que permitiría el acceso o la eliminación de información confidencial. Este problema se ha solucionado en la versión 3.2.12 y se recomienda a todos los usuarios que actualicen. No se conocen workarounds para esta vulnerabilidad.
Gravedad CVSS v4.0: CRÍTICA
Última modificación:
13/02/2025

Vulnerabilidad en Tuleap (CVE-2025-22129)

Fecha de publicación:
03/02/2025
Idioma:
Español
Tuleap es una suite de código abierto que mejora la gestión de los desarrollos de software y la colaboración. En las versiones afectadas, un usuario no autorizado podría obtener acceso a información restringida. Este problema se ha solucionado en Tuleap Community Edition 16.3.99.1736242932, Tuleap Enterprise Edition 16.2-5 y Tuleap Enterprise Edition 16.3-2. Se recomienda a los usuarios que actualicen la versión. No se conocen workarounds para esta vulnerabilidad.
Gravedad CVSS v3.1: MEDIA
Última modificación:
04/02/2025

Vulnerabilidad en phpoffice/phpspreadsheet (CVE-2025-23210)

Fecha de publicación:
03/02/2025
Idioma:
Español
phpoffice/phpspreadsheet es una librería PHP pura para leer y escribir archivos de hojas de cálculo. Se ha descubierto que las versiones afectadas tienen una omisión del sanitizador Cross-site Scripting (XSS) mediante el protocolo javascript y caracteres especiales. Este problema se ha solucionado en las versiones 3.9.0, 2.3.7, 2.1.8 y 1.29.9. Se recomienda a los usuarios que actualicen. No se conocen workarounds para esta vulnerabilidad.
Gravedad CVSS v4.0: MEDIA
Última modificación:
03/02/2025

Vulnerabilidad en Tuleap (CVE-2025-24029)

Fecha de publicación:
03/02/2025
Idioma:
Español
Tuleap es una suite de código abierto que mejora la gestión de los desarrollos de software y la colaboración. Los usuarios (posiblemente anónimos si el widget se utiliza en el panel de control de un proyecto público) podrían obtener acceso a artefactos que no deberían ver. Este problema se ha solucionado en Tuleap Community Edition 16.3.99.1737562605, así como en Tuleap Enterprise Edition 16.3-5 y Tuleap Enterprise Edition 16.2-7. Se recomienda a los usuarios que actualicen la versión. No se conocen workarounds para esta vulnerabilidad.
Gravedad CVSS v3.1: MEDIA
Última modificación:
03/02/2025

Vulnerabilidad en CometBFT (CVE-2025-24371)

Fecha de publicación:
03/02/2025
Idioma:
Español
CometBFT es un motor de replicación de máquina de estados determinista, tolerante a fallas bizantinas y distribuido. En el protocolo `blocksync`, los pares envían sus alturas `base` y `latest` cuando se conectan a un nuevo nodo (`A`), que se sincroniza con la punta de una red. `base` actúa como una base inferior e informa a `A` que el par solo tiene bloques que comienzan con la altura `base`. La altura `latest` informa a `A` sobre el último bloque en una red. Normalmente, los nodos solo informarían alturas crecientes. Si `B` no proporciona el último bloque, `B` se elimina y la altura `latest` (altura objetivo) se recalcula en función de las alturas `latest` de otros nodos. Sin embargo, el código existente no verifica el caso en el que `B` primero informa la `latest` altura `X` e inmediatamente después la altura `Y`, donde `X > Y`. `A` intentará alcanzar el 2000 indefinidamente. Esta condición requiere la introducción de código malicioso en el nodo completo que primero informa una altura `latest` inexistente, luego informa una altura `latest` menor y nodos que se sincronizan mediante el protocolo `blocksync`. Este problema se ha corregido en las versiones 1.0.1 y 0.38.17 y se recomienda a todos los usuarios que actualicen. Los operadores pueden intentar prohibir el acceso de pares maliciosos a la red como workaround.
Gravedad CVSS v4.0: ALTA
Última modificación:
03/02/2025

Vulnerabilidad en WeGIA (CVE-2025-24906)

Fecha de publicación:
03/02/2025
Idioma:
Español
WeGIA es un administrador web para instituciones de beneficencia. Se descubrió una vulnerabilidad de inyección SQL en la aplicación WeGIA, `get_detalhes_cobranca.php` endpoint. Esta vulnerabilidad podría permitir que un atacante autorizado ejecute consultas SQL arbitrarias, lo que permitiría el acceso o la eliminación de información confidencial. Este problema se ha solucionado en la versión 3.2.12 y se recomienda a todos los usuarios que actualicen. No se conocen workarounds para esta vulnerabilidad.
Gravedad CVSS v4.0: CRÍTICA
Última modificación:
13/02/2025