Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

017 - Ir a la línea de ayuda en Ciberseguridad    Ir a Agenda     Ir a Sala de prensa     Ir a suscripción de boletines

Ir al buscador

Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las últimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las últimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las últimas vulnerabilidades incorporadas al repositorio.

CVE-2024-58309
Fecha de publicación:
11/12/2025
Idioma:
Inglés
*** Pendiente de traducción *** xbtitFM 4.1.18 contains an unauthenticated SQL injection vulnerability that allows remote attackers to manipulate database queries by injecting malicious SQL code through the msgid parameter. Attackers can send crafted requests to /shoutedit.php with EXTRACTVALUE functions to extract database names, user credentials, and password hashes from the underlying database.
Gravedad CVSS v4.0: ALTA
Última modificación:
30/12/2025

CVE-2024-58312
Fecha de publicación:
11/12/2025
Idioma:
Inglés
*** Pendiente de traducción *** xbtitFM 4.1.18 contains a path traversal vulnerability that allows unauthenticated attackers to access sensitive system files by manipulating URL parameters. Attackers can exploit directory traversal techniques to read critical system files like using encoded path traversal characters in HTTP requests.
Gravedad CVSS v4.0: ALTA
Última modificación:
30/12/2025

CVE-2024-58313
Fecha de publicación:
11/12/2025
Idioma:
Inglés
*** Pendiente de traducción *** xbtitFM 4.1.18 contains an insecure file upload vulnerability that allows authenticated attackers with administrative privileges to upload and execute arbitrary PHP code through the file_hosting feature. Attackers can bypass file type restrictions by modifying the Content-Type header to image/gif, adding GIF89a magic bytes, and using alternate PHP tags to upload web shells that execute system commands.
Gravedad CVSS v4.0: ALTA
Última modificación:
30/12/2025

CVE-2024-58308
Fecha de publicación:
11/12/2025
Idioma:
Inglés
*** Pendiente de traducción *** Quick.CMS 6.7 contains a SQL injection vulnerability that allows unauthenticated attackers to bypass login authentication by manipulating the login form. Attackers can inject specific SQL payloads like ' or '1'='1 to gain unauthorized administrative access to the system.
Gravedad CVSS v4.0: CRÍTICA
Última modificación:
31/12/2025

CVE-2024-58306
Fecha de publicación:
11/12/2025
Idioma:
Inglés
*** Pendiente de traducción *** minaliC 2.0.0 contains a denial of service vulnerability that allows remote attackers to crash the web server by sending oversized GET requests. Attackers can send crafted HTTP requests with excessive data to overwhelm the server and cause service interruption.
Gravedad CVSS v4.0: ALTA
Última modificación:
15/04/2026

CVE-2024-58310
Fecha de publicación:
11/12/2025
Idioma:
Inglés
*** Pendiente de traducción *** APC Network Management Card 4 contains a path traversal vulnerability that allows unauthenticated attackers to access sensitive system files by manipulating URL parameters. Attackers can exploit directory traversal techniques to read critical system files like /etc/passwd by using encoded path traversal characters in HTTP requests.
Gravedad CVSS v4.0: ALTA
Última modificación:
15/04/2026

CVE-2024-58298
Fecha de publicación:
11/12/2025
Idioma:
Inglés
*** Pendiente de traducción *** Compuware iStrobe Web 20.13 contains a pre-authentication remote code execution vulnerability that allows unauthenticated attackers to upload malicious JSP files through a path traversal in the file upload form. Attackers can exploit the 'fileName' parameter to upload a web shell and execute arbitrary commands by sending POST requests to the uploaded JSP endpoint.
Gravedad CVSS v4.0: CRÍTICA
Última modificación:
15/04/2026

CVE-2024-58300
Fecha de publicación:
11/12/2025
Idioma:
Inglés
*** Pendiente de traducción *** Siklu MultiHaul TG series devices before version 2.0.0 contain an unauthenticated vulnerability that allows remote attackers to retrieve randomly generated credentials via a network request. Attackers can send a specific hex-encoded command to port 12777 to obtain username and password, enabling direct SSH access to the device.
Gravedad CVSS v4.0: ALTA
Última modificación:
15/04/2026

CVE-2024-58301
Fecha de publicación:
11/12/2025
Idioma:
Inglés
*** Pendiente de traducción *** Purei CMS 1.0 contains a time-based blind SQL injection vulnerability that allows attackers to manipulate database queries through unfiltered user input parameters. Attackers can exploit vulnerable endpoints like getAllParks.php and events-ajax.php by injecting crafted SQL payloads to potentially extract or modify database information.
Gravedad CVSS v4.0: CRÍTICA
Última modificación:
15/04/2026

CVE-2024-58302
Fecha de publicación:
11/12/2025
Idioma:
Inglés
*** Pendiente de traducción *** FoF Pretty Mail 1.1.2 contains a local file inclusion vulnerability that allows administrative users to include arbitrary server files in email templates. Attackers can exploit the template settings by inserting file inclusion payloads to read sensitive system files like /etc/passwd during email generation.
Gravedad CVSS v4.0: MEDIA
Última modificación:
15/04/2026

CVE-2024-58303
Fecha de publicación:
11/12/2025
Idioma:
Inglés
*** Pendiente de traducción *** FoF Pretty Mail 1.1.2 contains a server-side template injection vulnerability that allows administrative users to inject malicious code into email templates. Attackers can execute system commands by inserting crafted template expressions that trigger arbitrary code execution during email generation.
Gravedad CVSS v4.0: ALTA
Última modificación:
15/04/2026

CVE-2024-58304
Fecha de publicación:
11/12/2025
Idioma:
Inglés
*** Pendiente de traducción *** SPA-CART CMS 1.9.0.3 contains a stored cross-site scripting vulnerability in the product description parameter that allows authenticated administrators to inject malicious scripts. Attackers can submit JavaScript payloads through the 'descr' parameter in the product edit form to execute arbitrary code in administrative users' browsers.
Gravedad CVSS v4.0: MEDIA
Última modificación:
15/04/2026
Suscribirse a Vulnerabilidades