Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

017 - Ir a la línea de ayuda en Ciberseguridad    Ir a Agenda     Ir a Sala de prensa     Ir a suscripción de boletines

Ir al buscador

Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las últimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las últimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las últimas vulnerabilidades incorporadas al repositorio.

CVE-2025-68110
Fecha de publicación:
17/12/2025
Idioma:
Inglés
*** Pendiente de traducción *** ChurchCRM is an open-source church management system. Versions prior to 6.5.3 may disclose database information in an error message including the host, ip, username, and password. Version 6.5.3 fixes the issue.
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
18/12/2025

CVE-2025-67791
Fecha de publicación:
17/12/2025
Idioma:
Inglés
*** Pendiente de traducción *** An issue was discovered in DriveLock 24.1 through 24.1.*, 24.2 through 24.2.*, and 25.1 through 25.1.*. An incomplete configuration (agent authentication) in DriveLock tenant allows attackers to impersonate any DriveLock agent on the network against the DES (DriveLock Enterprise Service).
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
18/12/2025

CVE-2025-14832
Fecha de publicación:
17/12/2025
Idioma:
Inglés
*** Pendiente de traducción *** A vulnerability was identified in itsourcecode Online Cake Ordering System 1.0. The affected element is an unknown function of the file /updateproduct.php?action=edit. Such manipulation of the argument ID leads to sql injection. It is possible to launch the attack remotely. The exploit is publicly available and might be used.
Gravedad CVSS v4.0: MEDIA
Última modificación:
29/04/2026

CVE-2025-67789
Fecha de publicación:
17/12/2025
Idioma:
Inglés
*** Pendiente de traducción *** An issue was discovered in DriveLock 24.1 before 24.1.6, 24.2 before 24.2.7, and 25.1 before 25.1.5. Authenticated users can retrieve the computer count of other DriveLock tenants via the DriveLock API.
Gravedad CVSS v3.1: MEDIA
Última modificación:
18/12/2025

CVE-2025-67790
Fecha de publicación:
17/12/2025
Idioma:
Inglés
*** Pendiente de traducción *** An issue was discovered in DriveLock 24.1 before 24.1.6, 24.2 before 24.2.7, and 25.1 before 25.1.5. An unprivileged user could cause occasionally a Blue Screen Of Death (BSOD) on Windows computers by using an IOCTL and an unterminated string.
Gravedad CVSS v3.1: ALTA
Última modificación:
18/12/2025

CVE-2025-67792
Fecha de publicación:
17/12/2025
Idioma:
Inglés
*** Pendiente de traducción *** An issue was discovered in DriveLock 24.1 before 24.1.6, 24.2 before 24.2.7, and 25.1 before 25.1.5. Local unprivileged users can manipulate a DriveLock process to execute arbitrary commands on Windows computers.
Gravedad CVSS v3.1: ALTA
Última modificación:
18/12/2025

CVE-2025-67793
Fecha de publicación:
17/12/2025
Idioma:
Inglés
*** Pendiente de traducción *** An issue was discovered in DriveLock 24.1 through 24.1.*, 24.2 through 24.2.*, and 25.1 before 25.1.6. Users with the "Manage roles and permissions" privilege can promote themselves or other DOC users to the Supervisor role through an API call. This privilege is included by default in the Administrator role. This issue mainly affects cloud multi-tenant deployments; on-prem single-tenant installations are typically not impacted because local admins usually already have Supervisor privileges.
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
02/01/2026

CVE-2025-66647
Fecha de publicación:
17/12/2025
Idioma:
Inglés
*** Pendiente de traducción *** RIOT is an open-source microcontroller operating system, designed to match the requirements of Internet of Things (IoT) devices and other embedded devices. A vulnerability was discovered in the IPv6 fragmentation reassembly implementation of RIOT OS v2025.07. When copying the contents of the first fragment (offset=0) into the reassembly buffer, no size check is performed. It is possible to force the creation of a small reassembly buffer by first sending a shorter fragment (also with offset=0). Overflowing the reassembly buffer corrupts the state of other packet buffers which an attacker might be able to used to achieve further memory corruption (potentially resulting in remote code execution). To trigger the vulnerability, the `gnrc_ipv6_ext_frag` module must be included and the attacker must be able to send arbitrary IPv6 packets to the victim. Version 2025.10 fixes the issue.
Gravedad CVSS v4.0: BAJA
Última modificación:
22/01/2026

CVE-2025-67493
Fecha de publicación:
17/12/2025
Idioma:
Inglés
*** Pendiente de traducción *** Homarr is an open-source dashboard. Prior to version 1.45.3, it was possible to craft an input which allowed privilege escalation and getting access to groups of other users due to missing sanitization of inputs in ldap search query. The vulnerability could impact all instances using ldap authentication where a malicious actor had access to a user account. Version 1.45.3 has a patch for the issue.
Gravedad CVSS v3.1: ALTA
Última modificación:
30/01/2026

CVE-2025-46288
Fecha de publicación:
17/12/2025
Idioma:
Inglés
*** Pendiente de traducción *** A permissions issue was addressed with additional restrictions. This issue is fixed in iOS 26.2 and iPadOS 26.2, macOS Tahoe 26.2, visionOS 26.2, watchOS 26.2. An app may be able to access sensitive payment tokens.
Gravedad CVSS v3.1: MEDIA
Última modificación:
02/04/2026

CVE-2025-46291
Fecha de publicación:
17/12/2025
Idioma:
Inglés
*** Pendiente de traducción *** A logic issue was addressed with improved validation. This issue is fixed in macOS Tahoe 26.2. An app may bypass Gatekeeper checks.
Gravedad CVSS v3.1: ALTA
Última modificación:
26/12/2025

CVE-2025-46292
Fecha de publicación:
17/12/2025
Idioma:
Inglés
*** Pendiente de traducción *** This issue was addressed with additional entitlement checks. This issue is fixed in iOS 18.7.3 and iPadOS 18.7.3, iOS 26.2 and iPadOS 26.2. An app may be able to access user-sensitive data.
Gravedad CVSS v3.1: MEDIA
Última modificación:
02/04/2026
Suscribirse a Vulnerabilidades