Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las ultimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las ultimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las ultimas vulnerabilidades incorporadas al repositorio.

Vulnerabilidad en CS Cart 4.18.3 (CVE-2025-50848)

Fecha de publicación:

31/07/2025

Idioma:

Español

Se descubrió una vulnerabilidad de carga de archivos en CS Cart 4.18.3 que permite a los atacantes ejecutar código arbitrario. CS Cart 4.18.3 permite la carga sin restricciones de archivos HTML, que se muestran directamente en el navegador al acceder a ellos. Esto permite a un atacante cargar un archivo HTML manipulado con contenido malicioso, como un formulario de inicio de sesión falso para la recolección de credenciales o scripts para ataques de Cross-site Scripting (XSS). Dado que el contenido se distribuye desde un dominio de confianza, aumenta significativamente la probabilidad de phishing o ejecución de scripts contra otros usuarios.

Gravedad CVSS v3.1: MEDIA

Última modificación:

06/08/2025

Vulnerabilidad en ExaGrid EX10 (CVE-2025-29556)

Fecha de publicación:

31/07/2025

Idioma:

Español

ExaGrid EX10 6.3 - 7.0.1.P08 es vulnerable a un control de acceso incorrecto. Desde la versión 6.3, ExaGrid aplica restricciones que impiden a los usuarios con el rol de administrador crear o modificar usuarios con el rol de oficial de seguridad sin autorización. Sin embargo, una falla en el proceso de creación de cuentas permite a un atacante eludir estas restricciones mediante la manipulación de solicitudes de API. Un atacante con acceso de administrador puede interceptar y modificar la solicitud de API durante la creación del usuario, alterando los parámetros para asignar la nueva cuenta al grupo de oficiales de seguridad de ExaGrid sin la autorización necesaria.

Gravedad CVSS v3.1: ALTA

Última modificación:

31/07/2025

Vulnerabilidad en code-projects Vehicle Management 1.0 (CVE-2025-8408)

Fecha de publicación:

31/07/2025

Idioma:

Español

Se encontró una vulnerabilidad clasificada como crítica en code-projects Vehicle Management 1.0. Se ve afectada una función desconocida del archivo /filter1.php. La manipulación del argumento "vehicle" provoca una inyección SQL. El ataque puede ejecutarse en remoto. Se ha hecho público el exploit y puede que sea utilizado.

Gravedad CVSS v4.0: MEDIA

Última modificación:

05/08/2025

Vulnerabilidad en LB-Link BL-CPE300M 01.01.02P42U14_06 (CVE-2025-51569)

Fecha de publicación:

31/07/2025

Idioma:

Español

Existe una vulnerabilidad de Cross-site Scripting (XSS) en la interfaz web del router LB-Link BL-CPE300M 01.01.02P42U14_06. El endpoint /goform/goform_get_cmd_process no depura la entrada del usuario en el parámetro cmd antes de reflejarla en una respuesta text/html. Esto permite a atacantes no autenticados inyectar JavaScript arbitrario, que se ejecuta en el contexto del origen del router al acceder a la URL manipulada. El problema requiere la interacción del usuario para explotarse.

Gravedad CVSS v3.1: MEDIA

Última modificación:

31/07/2025

Vulnerabilidad en MagnusBilling v7.8.5.3 (CVE-2025-52289)

Fecha de publicación:

31/07/2025

Idioma:

Español

Una vulnerabilidad de control de acceso roto en MagnusBilling v7.8.5.3 permite a los usuarios recién registrados obtener privilegios aumentados enviando una solicitud manipulada a /mbilling/index.php/user/save para establecer el estado de su cuenta de "pendiente" a "activo" sin requerir la aprobación del administrador.

Gravedad CVSS v3.1: ALTA

Última modificación:

06/08/2025

Vulnerabilidad en ExaGrid EX10 (CVE-2025-29557)

Fecha de publicación:

31/07/2025

Idioma:

Español

ExaGrid EX10 6.3 - 7.0.1.P08 es vulnerable a un control de acceso incorrecto en el endpoint de la API MailConfiguration, donde los usuarios con privilegios de nivel de operador pueden emitir una solicitud HTTP para recuperar credenciales SMTP, incluidas contraseñas de texto sin formato.

Gravedad CVSS v3.1: MEDIA

Última modificación:

31/07/2025

Vulnerabilidad en @nyariv/sandboxjs (CVE-2025-34146)

Fecha de publicación:

31/07/2025

Idioma:

Español

Existe una vulnerabilidad de contaminación de prototipos en las versiones de @nyariv/sandboxjs anteriores a la 0.8.23, que permite a los atacantes inyectar propiedades arbitrarias en Object.prototype mediante código JavaScript manipulado. Esto puede provocar una denegación de servicio (DoS) o, en ciertas circunstancias, escapar del entorno de pruebas destinado a restringir la ejecución del código. La vulnerabilidad se debe a comprobaciones de acceso de prototipos insuficientes en la lógica del ejecutor de pruebas, especialmente en el manejo de los objetos de función JavaScript devueltos.

Gravedad CVSS v4.0: ALTA

Última modificación:

31/07/2025

Vulnerabilidad en AnQiCMS v.3.4.11 (CVE-2025-50270)

Fecha de publicación:

31/07/2025

Idioma:

Español

Una vulnerabilidad de Cross-site Scripting (xss) almacenado en la función de "administración de contenido" en AnQiCMS v.3.4.11 permite a un atacante remoto ejecutar código arbitrario a través de un script manipulado para los parámetros title, categoryTitle y tmpTag.

Gravedad CVSS v3.1: MEDIA

Última modificación:

31/07/2025

Vulnerabilidad en Russound MBX-PRE-D67F (CVE-2025-50475)

Fecha de publicación:

31/07/2025

Idioma:

Español

Existe una vulnerabilidad de inyección de comandos del sistema operativo en la versión 3.1.6 del firmware Russound MBX-PRE-D67F, que permite a atacantes no autenticados ejecutar comandos arbitrarios como root mediante una entrada manipulada en el parámetro hostname en las solicitudes de configuración de red. Esta vulnerabilidad se deriva de la neutralización incorrecta de elementos especiales utilizados en un comando del sistema operativo dentro del controlador de configuración de red, lo que permite la ejecución remota de código con los privilegios más altos.

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

31/07/2025

Vulnerabilidad en CS Cart 4.18.3 (CVE-2025-50849)

Fecha de publicación:

31/07/2025

Idioma:

Español

CS Cart 4.18.3 es vulnerable a la Referencia Directa a Objetos Insegura (IDOR). La función de perfil de usuario permite habilitar o deshabilitar stickers mediante un parámetro (company_id) enviado en la solicitud. Sin embargo, esta operación no se valida correctamente en el servidor. Un usuario autenticado puede manipular la solicitud para afectar las cuentas de otros usuarios y activar o desactivar la configuración de stickers modificando el company_id u otros identificadores de objeto.

Gravedad CVSS v3.1: ALTA

Última modificación:

31/07/2025

Vulnerabilidad en A10 Networks AX Loadbalancer (CVE-2014-125125)

Fecha de publicación:

31/07/2025

Idioma:

Español

Existe una vulnerabilidad de path traversal en las versiones 2.6.1-GR1-P5, 2.7.0 y anteriores de A10 Networks AX Loadbalancer. La vulnerabilidad reside en la gestión del parámetro filename en el endpoint /xml/downloads, que no depura correctamente la entrada del usuario. Un atacante no autenticado puede explotar esta vulnerabilidad enviando solicitudes HTTP manipuladas que contienen secuencias de directory traversal para leer archivos arbitrarios fuera del directorio de destino. Los archivos devueltos por el endpoint vulnerable se eliminan del sistema tras su recuperación. Esto puede provocar la divulgación no autorizada de información confidencial, como certificados SSL y claves privadas, así como la eliminación involuntaria de archivos.

Gravedad CVSS v4.0: ALTA

Última modificación:

31/07/2025

Vulnerabilidad en Simple E-Document (CVE-2014-125126)

Fecha de publicación:

31/07/2025

Idioma:

Español

Existe una vulnerabilidad de carga de archivos sin restricciones en las versiones 3.0 a 3.1 de Simple E-Document que permite a un atacante no autenticado eludir la autenticación mediante el envío de un encabezado de cookie específico (access=3) con las solicitudes HTTP. El mecanismo de carga de la aplicación no restringe los tipos de archivo ni valida ni depura la información proporcionada por el usuario, lo que permite a los atacantes cargar scripts .php maliciosos. La autenticación se puede eludir por completo mediante el suministro de una cookie especialmente manipulada (access=3), que otorga acceso a la función de carga sin credenciales válidas. Si la carga de archivos está habilitada en el servidor, el atacante puede cargar un shell web y obtener la ejecución remota de código con los privilegios del usuario del servidor web, lo que podría comprometer por completo el sistema.

Gravedad CVSS v4.0: CRÍTICA

Última modificación:

31/07/2025

Suscribirse a Vulnerabilidades