Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las ultimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las ultimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las ultimas vulnerabilidades incorporadas al repositorio.

Vulnerabilidad en Traefik (CVE-2025-54386)

Fecha de publicación:

02/08/2025

Idioma:

Español

Traefik es un proxy inverso HTTP y balanceador de carga. En las versiones 2.11.27 y anteriores, 3.0.0 a 3.4.4 y 3.5.0-rc1, se descubrió una vulnerabilidad de Path traversal en el mecanismo de instalación del complemento de WASM Traefik. Al proporcionar un archivo ZIP manipulado con fines malintencionados que contiene rutas de archivos con secuencias ../, un atacante puede sobrescribir archivos arbitrarios en el sistema fuera del directorio del complemento. Esto puede provocar ejecución remota de código (RCE), escalada de privilegios, persistencia o denegación de servicio. Esto se ha corregido en las versiones 2.11.28, 3.4.5 y 3.5.0.

Gravedad CVSS v4.0: ALTA

Última modificación:

26/11/2025

Vulnerabilidad en LocalSend (CVE-2025-54792)

Fecha de publicación:

01/08/2025

Idioma:

Español

LocalSend es una aplicación de código abierto que permite compartir archivos y mensajes de forma segura con dispositivos cercanos a través de redes locales sin necesidad de conexión a internet. En las versiones 1.16.1 y anteriores, una vulnerabilidad crítica de Man-in-the-Middle (MitM) en el protocolo de descubrimiento del software permite a un atacante no autenticado en la misma red local suplantar la identidad de dispositivos legítimos, interceptando, leyendo y modificando silenciosamente cualquier transferencia de archivos. Esto puede utilizarse para robar datos confidenciales o inyectar malware, como ransomware, en archivos compartidos entre usuarios de confianza. El ataque es difícilmente detectable y fácil de implementar, lo que supone un riesgo de seguridad grave e inmediato. Este problema se solucionó en la versión 1.17.0.

Gravedad CVSS v4.0: CRÍTICA

Última modificación:

03/09/2025

Vulnerabilidad en Cursor (CVE-2025-54131)

Fecha de publicación:

01/08/2025

Idioma:

Español

Cursor es un editor de código creado para programar con IA. En versiones anteriores a la 1.3, un atacante puede omitir la lista de permitidos en modo de ejecución automática con un acento grave (`) o $(cmd). Si un usuario ha configurado Cursor de su configuración predeterminada (que requiere aprobación para cada llamada de terminal) a una lista de permitidos, un atacante puede ejecutar comandos arbitrarios fuera de la lista de permitidos sin la aprobación del usuario. Un atacante puede activar esta vulnerabilidad si se combina con la inyección indirecta de prompts. Esto se corrige en la versión 1.3.

Gravedad CVSS v3.1: MEDIA

Última modificación:

25/08/2025

Vulnerabilidad en Cursor (CVE-2025-54132)

Fecha de publicación:

01/08/2025

Idioma:

Español

Cursor es un editor de código creado para programar con IA. En versiones anteriores a la 1.3, Mermaid (utilizado para renderizar diagramas) permite incrustar imágenes que Cursor renderiza en el cuadro de chat. Un atacante puede usar esto para exfiltrar información confidencial a un servidor externo controlado por un atacante mediante la obtención de una imagen tras realizar con éxito una inyección de aviso. Un modelo malicioso (o alucinación/puerta trasera) también podría activar este exploit a voluntad. Este problema requiere la inyección de aviso desde datos maliciosos (web, subida de imágenes, código fuente) para explotarlo. En ese caso, puede enviar información confidencial a un servidor externo controlado por el atacante. Esto se solucionó en la versión 1.3.

Gravedad CVSS v3.1: MEDIA

Última modificación:

25/08/2025

Vulnerabilidad en 1Panel (CVE-2025-54424)

Fecha de publicación:

01/08/2025

Idioma:

Español

1Panel es una interfaz web y un servidor MCP que administra sitios web, archivos, contenedores, bases de datos y LLM en un servidor Linux. En las versiones 2.0.5 y anteriores, el protocolo HTTPS utilizado para la comunicación entre los endpoints del núcleo y del agente presenta una verificación de certificado incompleta durante la validación, lo que provoca acceso no autorizado a la interfaz. Debido a la presencia de numerosas interfaces de ejecución de comandos o con altos privilegios en 1Panel, esto provoca la ejecución remota de código (RCE). Esto se solucionó en la versión 2.0.6. El CVE se ha traducido del chino simplificado mediante GitHub Copilot.

Gravedad CVSS v3.1: ALTA

Última modificación:

26/08/2025

Vulnerabilidad en LibTIFF (CVE-2024-13978)

Fecha de publicación:

01/08/2025

Idioma:

Español

Se encontró una vulnerabilidad en LibTIFF hasta la versión 4.7.0. Se ha declarado problemática. Esta vulnerabilidad afecta a la función t2p_read_tiff_init del archivo tools/tiff2pdf.c del componente fax2ps. La manipulación provoca la desreferenciación de puntero nulo. El ataque debe abordarse localmente. Es un ataque de complejidad bastante alta. Parece difícil de explotar. El parche se llama 2ebfffb0e8836bfb1cd7d85c059cd285c59761a4. Se recomienda aplicar un parche para solucionar este problema.

Gravedad CVSS v4.0: BAJA

Última modificación:

03/11/2025

Vulnerabilidad en D-Link (CVE-2013-10059)

Fecha de publicación:

01/08/2025

Idioma:

Español

Existe una vulnerabilidad de inyección de comandos del sistema operativo autenticado en varios routers D-Link (probados en DIR-615H1 con la versión de firmware 8.04) a través del endpoint tools_vct.htm. La interfaz web no depura la entrada enviada desde el parámetro ping_ipaddr a la interfaz de diagnóstico tools_vct.htm, lo que permite a los atacantes inyectar comandos de shell arbitrarios mediante encapsulación de comillas invertidas. Con credenciales predeterminadas, un atacante puede explotar este vector de inyección ciega para ejecutar comandos arbitrarios.

Gravedad CVSS v4.0: ALTA

Última modificación:

23/09/2025

Vulnerabilidad en Netgear (CVE-2013-10060)

Fecha de publicación:

01/08/2025

Idioma:

Español

Existe una vulnerabilidad de inyección de comandos del sistema operativo autenticado en los routers Netgear (probados en el modelo DGN2200B) con versiones de firmware 1.0.0.36 y anteriores a través del endpoint pppoe.cgi. Un atacante remoto con credenciales válidas puede ejecutar comandos arbitrarios mediante una entrada manipulada en el parámetro pppoe_username. Esta falla permite la vulneración total del dispositivo y puede persistir tras reinicios a menos que se restablezca la configuración.

Gravedad CVSS v4.0: CRÍTICA

Última modificación:

23/09/2025

Vulnerabilidad en Netgear (CVE-2013-10061)

Fecha de publicación:

01/08/2025

Idioma:

Español

Existe una vulnerabilidad de inyección de comandos del sistema operativo autenticado en los routers Netgear (probados en las versiones de firmware 1.1.00.24 y 1.1.00.45 del modelo DGN1000B) a través del parámetro TimeToLive del endpoint setup.cgi. La vulnerabilidad se debe a una neutralización incorrecta de la entrada, lo que permite la inyección de comandos mediante solicitudes POST manipuladas. Esta falla permite a atacantes remotos implementar payloads o manipular el estado del sistema tras la autenticación.

Gravedad CVSS v4.0: ALTA

Última modificación:

23/09/2025

Vulnerabilidad en Linksys (CVE-2013-10062)

Fecha de publicación:

01/08/2025

Idioma:

Español

Existe una vulnerabilidad de directory traversal en la interfaz web del router Linksys (probada en las versiones de firmware 1.0.00, 1.0.04 y 1.0.05 del modelo E1500), específicamente en el endpoint /apply.cgi. Los atacantes autenticados pueden explotar el parámetro POST next_page para acceder a archivos arbitrarios fuera de la raíz web deseada mediante la inyección de secuencias de navegación. Esto permite la exposición de archivos confidenciales del sistema y datos de configuración.

Gravedad CVSS v4.0: MEDIA

Última modificación:

06/08/2025

Vulnerabilidad en Netgear SPH200D Skype phone firmware (CVE-2013-10063)

Fecha de publicación:

01/08/2025

Idioma:

Español

Existe una vulnerabilidad de path traversal en Netgear SPH200D Skype phone firmware (versión anterior a la 1.0.4.80) en su servidor web integrado. Atacantes autenticados pueden explotar solicitudes GET manipuladas para acceder a archivos arbitrarios fuera de la raíz web mediante la inyección de secuencias de recorrido. Esto puede exponer archivos confidenciales del sistema y datos de configuración.

Gravedad CVSS v4.0: MEDIA

Última modificación:

06/08/2025

Vulnerabilidad en InstantCMS (CVE-2013-10051)

Fecha de publicación:

01/08/2025

Idioma:

Español

Existe una vulnerabilidad de ejecución remota de código PHP en InstantCMS versión 1.6 y anteriores debido al uso inseguro de eval() en el controlador de la vista de búsqueda. En concreto, la entrada proporcionada por el usuario mediante el parámetro look se concatena en una expresión PHP y se ejecuta sin la debida corrección. Un atacante remoto puede explotar esta vulnerabilidad enviando una solicitud HTTP GET manipulada con un payload codificado en base64 en la cabecera Cmd, lo que provoca la ejecución de código PHP arbitrario en el contexto del servidor web.

Gravedad CVSS v4.0: CRÍTICA

Última modificación:

09/10/2025

Suscribirse a Vulnerabilidades