Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las ultimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las ultimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las ultimas vulnerabilidades incorporadas al repositorio.

Vulnerabilidad en IDENTIFICADOR NO VÁLIDO (CVE-2023-3948)

Fecha de publicación:
21/08/2025
Idioma:
Español
Razón rechazado: esta identificación de CVE ha sido rechazada o retirada por su autoridad de numeración de CVE.
Gravedad: Pendiente de análisis
Última modificación:
21/08/2025

Vulnerabilidad en hippo4j (CVE-2025-51606)

Fecha de publicación:
21/08/2025
Idioma:
Español
hippo4j 1.0.0 a 1.5.0 utiliza una clave secreta codificada de forma rígida para la creación de JWT (JSON Web Token). Esto permite a los atacantes con acceso al código fuente o al binario compilado falsificar tokens de acceso válidos y suplantar la identidad de cualquier usuario, incluyendo usuarios privilegiados como "admin". Esta vulnerabilidad supone un riesgo crítico de seguridad en sistemas donde la autenticación y la autorización dependen de la integridad de los JWT.
Gravedad CVSS v3.1: ALTA
Última modificación:
22/08/2025

Vulnerabilidad en Liferay DXP (CVE-2025-43747)

Fecha de publicación:
21/08/2025
Idioma:
Español
Existe una vulnerabilidad de server-side request forgery (SSRF) en Liferay DXP 2025.Q2.0 a 2025.Q2.3 debido a una validación de dominio insegura en analytics.cloud.domain.allowed, lo que permite a un atacante realizar solicitudes cambiando el dominio y omitiendo el método de validación; esta validación insegura no distingue entre subdominios confiables y dominios maliciosos.
Gravedad CVSS v4.0: MEDIA
Última modificación:
12/12/2025

Vulnerabilidad en VariCAD EN (CVE-2010-20114)

Fecha de publicación:
21/08/2025
Idioma:
Español
VariCAD EN, hasta la versión 2010-2.05 incluida, es vulnerable a un desbordamiento de búfer basado en la pila al analizar archivos de dibujo .dwb. La aplicación no valida correctamente la longitud de los datos de entrada incrustados en el archivo, lo que permite que un archivo .dwb manipulado sobrescriba estructuras de memoria críticas. Esta vulnerabilidad puede explotarse localmente convenciendo al usuario para que abra un archivo malicioso, lo que resulta en la ejecución de código arbitrario.
Gravedad CVSS v4.0: ALTA
Última modificación:
22/08/2025

Vulnerabilidad en Arcane Software (CVE-2010-20115)

Fecha de publicación:
21/08/2025
Idioma:
Español
Las versiones del daemon FTP Vermillion (vftpd) de Arcane Software, hasta la 1.31 incluida, contienen una vulnerabilidad de corrupción de memoria provocada por un comando FTP PORT mal formado. La falla surge de un acceso fuera de los límites a una matriz durante el análisis de entrada, lo que permite a un atacante manipular la memoria de la pila y potencialmente ejecutar código arbitrario. La explotación requiere acceso directo al servicio FTP y está limitada a un solo intento de ejecución si el daemon se instala como un servicio de Windows.
Gravedad CVSS v4.0: CRÍTICA
Última modificación:
22/08/2025

Vulnerabilidad en Maple (CVE-2010-20120)

Fecha de publicación:
21/08/2025
Idioma:
Español
Las versiones de Maple hasta la 13 (incluida la versión 13) permiten que los comandos incrustados se ejecuten automáticamente al abrir un archivo .maplet. Este comportamiento elude las restricciones de seguridad estándar que normalmente impiden la ejecución de código en hojas de cálculo de Maple. Esta vulnerabilidad permite a los atacantes manipular archivos .maplet maliciosos que ejecutan código arbitrario sin la interacción del usuario.
Gravedad CVSS v4.0: ALTA
Última modificación:
22/08/2025

Vulnerabilidad en Xftp FTP Client (CVE-2010-20122)

Fecha de publicación:
21/08/2025
Idioma:
Español
Las versiones de Xftp FTP Client hasta la 3.0 (compilación 0238) contienen una vulnerabilidad de desbordamiento de búfer en la pila, desencadenada por una respuesta PWD maliciosa desde un servidor FTP. Cuando el cliente se conecta a un servidor y recibe una cadena de directorio excesivamente larga en respuesta al comando PWD, no valida correctamente la longitud de la entrada antes de copiarla en un búfer de tamaño fijo. Esto provoca corrupción de memoria y permite a atacantes remotos ejecutar código arbitrario en el sistema cliente.
Gravedad CVSS v4.0: CRÍTICA
Última modificación:
22/08/2025

Vulnerabilidad en Steinberg MyMP3Player (CVE-2010-20123)

Fecha de publicación:
21/08/2025
Idioma:
Español
Steinberg MyMP3Player versión 3.0 (compilación 3.0.0.67) es vulnerable a un desbordamiento de búfer basado en la pila al analizar archivos de listas de reproducción .m3u. La aplicación no valida correctamente la longitud de los datos de entrada dentro de la lista de reproducción, lo que permite que un archivo especialmente manipulado sobrescriba estructuras de memoria críticas y ejecute código arbitrario. Esta vulnerabilidad puede explotarse localmente convenciendo al usuario para que abra un archivo .m3u malicioso.
Gravedad CVSS v4.0: ALTA
Última modificación:
22/08/2025

Vulnerabilidad en gAlan 0.2.1 (CVE-2009-20004)

Fecha de publicación:
21/08/2025
Idioma:
Español
gAlan 0.2.1, un entorno modular de procesamiento de audio para Windows, es vulnerable a un desbordamiento de búfer basado en la pila al analizar archivos .galan. La aplicación no valida correctamente la longitud de los datos de entrada, lo que permite que un archivo especialmente manipulado sobrescriba la pila y ejecute código arbitrario. La explotación requiere interacción local, generalmente convenciendo al usuario para que abra el archivo malicioso.
Gravedad CVSS v4.0: ALTA
Última modificación:
22/08/2025

Vulnerabilidad en Seagull FTP Client (CVE-2010-20007)

Fecha de publicación:
21/08/2025
Idioma:
Español
Seagull FTP Client (versión 3.3, compilación 409) presenta una vulnerabilidad de desbordamiento de búfer en su analizador de listados de directorios FTP. Cuando el cliente se conecta a un servidor FTP y recibe una respuesta manipulada a un comando LIST con un nombre de archivo excesivamente largo, la aplicación no valida correctamente la longitud de la entrada, lo que provoca un desbordamiento de búfer que sobrescribe el Gestor de Excepciones Estructuradas (SEH). Esto podría permitir que atacantes remotos ejecuten código arbitrario en el sistema cliente. Esta línea de productos se discontinuó y se recomendó a los usuarios utilizar BlueZone Secure FTP en su lugar en el momento de la divulgación.
Gravedad CVSS v4.0: ALTA
Última modificación:
22/08/2025

Vulnerabilidad en Gekko Manager FTP Client (CVE-2010-20034)

Fecha de publicación:
21/08/2025
Idioma:
Español
Gekko Manager FTP Client (versión <= 0.77) presenta un desbordamiento de búfer basado en pila en su analizador de listados de directorios FTP. Al procesar una respuesta del servidor a un comando LIST, el cliente no valida correctamente la longitud de los nombres de archivo. Una respuesta manipulada con un nombre de archivo demasiado largo puede sobrescribir el Gestor de Excepciones Estructuradas (GEH), lo que podría permitir la ejecución remota de código.
Gravedad CVSS v4.0: ALTA
Última modificación:
22/08/2025

Vulnerabilidad en FTP Synchronizer Professional (CVE-2010-20107)

Fecha de publicación:
21/08/2025
Idioma:
Español
Existe un desbordamiento de búfer basado en la pila en FTP Synchronizer Professional (versión anterior a la v4.0.73.274). Cuando el cliente se conecta a un servidor FTP y emite un comando LIST (normalmente durante la vista previa de la sincronización o la creación de un perfil), la respuesta del servidor, que contiene un nombre de archivo demasiado largo, provoca un desbordamiento de búfer. Esto provoca la corrupción del Gestor de Excepciones Estructuradas (GEH), lo que podría permitir la ejecución remota de código.
Gravedad CVSS v4.0: ALTA
Última modificación:
22/08/2025