Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las ultimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las ultimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las ultimas vulnerabilidades incorporadas al repositorio.

Vulnerabilidad en watchOS, visionOS, iOS, iPadOS, macOS Sequoia y tvOS (CVE-2025-31277)

Fecha de publicación:
30/07/2025
Idioma:
Español
El problema se solucionó mejorando la gestión de la memoria. Este problema está corregido en watchOS 11.6, visionOS 2.6, iOS 18.6 y iPadOS 18.6, macOS Sequoia 15.6 y tvOS 18.6. El procesamiento de contenido web manipulado con fines malintencionados puede provocar daños en la memoria.
Gravedad CVSS v3.1: ALTA
Última modificación:
03/11/2025

Vulnerabilidad en macOS Sequoia, iOS, iPadOS, tvOS, watchOS y visionOS (CVE-2025-31273)

Fecha de publicación:
30/07/2025
Idioma:
Español
El problema se solucionó mejorando la gestión de la memoria. Este problema está corregido en macOS Sequoia 15.6, iOS 18.6 y iPadOS 18.6, tvOS 18.6, watchOS 11.6 y visionOS 2.6. El procesamiento de contenido web manipulado con fines malintencionados puede provocar daños en la memoria.
Gravedad CVSS v3.1: ALTA
Última modificación:
04/11/2025

Vulnerabilidad en iPadOS, watchOS, visionOS, iOS, macOS Sequoia y tvOS (CVE-2025-31278)

Fecha de publicación:
30/07/2025
Idioma:
Español
El problema se solucionó mejorando la gestión de la memoria. Este problema está corregido en iPadOS 17.7.9, watchOS 11.6, visionOS 2.6, iOS 18.6 y iPadOS 18.6, macOS Sequoia 15.6 y tvOS 18.6. El procesamiento de contenido web manipulado con fines malintencionados puede provocar daños en la memoria.
Gravedad CVSS v3.1: ALTA
Última modificación:
04/11/2025

Vulnerabilidad en Couchbase Sync Gateway (CVE-2025-24119)

Fecha de publicación:
30/07/2025
Idioma:
Español
Este problema se solucionó mejorando la gestión del estado. Está corregido en macOS Sequoia 15.3, macOS Ventura 13.7.7 y macOS Sonoma 14.7.7. Una aplicación podría ejecutar código arbitrario fuera de su entorno de pruebas o con ciertos privilegios elevados.
Gravedad CVSS v3.1: ALTA
Última modificación:
03/11/2025

Vulnerabilidad en BentoML (CVE-2025-54381)

Fecha de publicación:
29/07/2025
Idioma:
Español
BentoML es una librería de Python para crear sistemas de servicios en línea optimizados para aplicaciones de IA e inferencia de modelos. En las versiones 1.4.0 a 1.4.19, el sistema de procesamiento de carga de archivos contiene una vulnerabilidad SSRF que permite a atacantes remotos no autenticados forzar al servidor a realizar solicitudes HTTP arbitrarias. La vulnerabilidad se origina en los manejadores de datos de formularios multiparte y solicitudes JSON, que descargan archivos automáticamente desde URL proporcionadas por el usuario sin validar si estas URL apuntan a direcciones de red internas, endpoints de metadatos en la nube u otros recursos restringidos. La documentación promueve explícitamente esta función de carga de archivos basada en URL, lo que la convierte en un diseño que expone todos los servicios implementados a ataques SSRF por defecto. La versión 1.4.19 incluye un parche para este problema.
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
05/08/2025

Vulnerabilidad en NI LabVIEW (CVE-2025-7849)

Fecha de publicación:
29/07/2025
Idioma:
Español
Existe una vulnerabilidad de corrupción de memoria en NI LabVIEW debido a la gestión incorrecta de errores cuando un VILinkObj es nulo. Esta vulnerabilidad puede provocar la ejecución de código arbitrario. Para explotarla con éxito, un atacante debe obligar al usuario a abrir un VI especialmente manipulado. Esta vulnerabilidad afecta a NI LabVIEW 2025 Q1 y versiones anteriores.
Gravedad CVSS v4.0: ALTA
Última modificación:
19/08/2025

Vulnerabilidad en WebAssembly Micro Runtime (CVE-2025-54126)

Fecha de publicación:
29/07/2025
Idioma:
Español
El paquete iwasm de WebAssembly Micro Runtime (WAMR) es el binario ejecutable compilado con WAMR VMcore, compatible con WebAssembly System Interface (WASI) y la interfaz de línea de comandos. En las versiones 2.4.0 y anteriores, iwasm utiliza --addr-pool con una dirección IPv4 sin máscara de subred, lo que permite que el sistema acepte todas las direcciones IP. Esto puede exponer involuntariamente el servicio a todas las conexiones entrantes y eludir las restricciones de acceso previstas. Los servicios que dependen de --addr-pool para restringir el acceso por IP pueden quedar involuntariamente abiertos a todas las conexiones externas. Esto puede provocar accesos no autorizados en implementaciones de producción, especialmente cuando los usuarios asumen que especificar una IP sin máscara de subred implica una configuración segura predeterminada. Esto se ha corregido en la versión 2.4.1.
Gravedad CVSS v4.0: MEDIA
Última modificación:
23/09/2025

Vulnerabilidad en NI LabVIEW (CVE-2025-7361)

Fecha de publicación:
29/07/2025
Idioma:
Español
Existe una vulnerabilidad de inyección de código en NI LabVIEW debido a una comprobación de inicialización incorrecta que puede provocar la ejecución de código arbitrario. Para explotarla con éxito, un atacante debe obligar al usuario a abrir un VI especialmente manipulado mediante un nodo CIN. Esta vulnerabilidad afecta a NI LabVIEW 2025 Q1 de 32 bits y versiones anteriores. Las versiones de LabVIEW de 64 bits no son compatibles con nodos CIN y no se ven afectadas.
Gravedad CVSS v4.0: ALTA
Última modificación:
19/08/2025

Vulnerabilidad en NI LabVIEW (CVE-2025-7848)

Fecha de publicación:
29/07/2025
Idioma:
Español
Existe una vulnerabilidad de corrupción de memoria en NI LabVIEW debido a una validación de entrada incorrecta en lvpict.cpp que puede provocar la ejecución de código arbitrario. Para explotarla con éxito, un atacante debe obligar al usuario a abrir un VI especialmente manipulado. Esta vulnerabilidad afecta a NI LabVIEW 2025 Q1 y versiones anteriores.
Gravedad CVSS v4.0: ALTA
Última modificación:
19/08/2025

Vulnerabilidad en VCS (CVE-2025-4674)

Fecha de publicación:
29/07/2025
Idioma:
Español
El comando "go" puede ejecutar comandos inesperados al operar en repositorios VCS no confiables. Esto ocurre cuando existe una configuración de VCS potencialmente peligrosa en los repositorios. Esto puede ocurrir cuando un repositorio se obtuvo mediante un VCS (p. ej., Git), pero contiene metadatos para otro VCS (p. ej., Mercurial). Los módulos obtenidos mediante la línea de comandos "go get" no se ven afectados.
Gravedad CVSS v3.1: ALTA
Última modificación:
29/01/2026

Vulnerabilidad en SonicOS SSL VPN (CVE-2025-40600)

Fecha de publicación:
29/07/2025
Idioma:
Español
La vulnerabilidad del uso de una cadena de formato controlada externamente en la interfaz SonicOS SSL VPN permite que un atacante remoto no autenticado provoque la interrupción del servicio.
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
11/08/2025

Vulnerabilidad en Tuleap (CVE-2025-53541)

Fecha de publicación:
29/07/2025
Idioma:
Español
Tuleap es una suite de código abierto creada para facilitar la gestión del desarrollo de software y la colaboración. En Tuleap Community Edition anterior a la versión 16.9.99.1751892857 y Tuleap Enterprise Edition anterior a las versiones 16.8-5 y 16.9-3, usuarios maliciosos con cierto control sobre ciertos artefactos podían insertar código malicioso al mostrar los elementos secundarios de un artefacto principal para obligar a las víctimas a ejecutar el código no controlado. Esto se ha corregido en Tuleap Community Edition anterior a la versión 16.9.99.1751892857 y Tuleap Enterprise Edition anterior a las versiones 16.8-5 y 16.9-3.
Gravedad CVSS v3.1: MEDIA
Última modificación:
05/08/2025