Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las ultimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las ultimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las ultimas vulnerabilidades incorporadas al repositorio.

Vulnerabilidad en Genshin Albedo Cat House App 1.0.2 (CVE-2025-7940)

Fecha de publicación:

21/07/2025

Idioma:

Español

Se encontró una vulnerabilidad en Genshin Albedo Cat House App 1.0.2 para Android. Se ha declarado problemática. Esta vulnerabilidad afecta a una funcionalidad desconocida del archivo AndroidManifest.xml del componente com.house.auscat. Esta manipulación provoca la exportación incorrecta de componentes de la aplicación para Android. Se requiere acceso local para este ataque. Se ha hecho público el exploit y puede que sea utilizado.

Gravedad CVSS v4.0: MEDIA

Última modificación:

22/07/2025

Vulnerabilidad en jerryshensjf JPACookieShop ????JPA? 1.0 (CVE-2025-7939)

Fecha de publicación:

21/07/2025

Idioma:

Español

Se encontró una vulnerabilidad en jerryshensjf JPACookieShop ????JPA? 1.0. Se ha clasificado como crítica. La función addGoods del archivo GoodsController.java está afectada. La manipulación permite la carga sin restricciones. Es posible ejecutar el ataque de forma remota.

Gravedad CVSS v4.0: MEDIA

Última modificación:

06/11/2025

Vulnerabilidad en Lara Translate MCP Server (CVE-2025-53832)

Fecha de publicación:

21/07/2025

Idioma:

Español

Lara Translate MCP Server es un servidor de Protocolo de Contexto de Modelo (MCP) para la API de Lara Translate. Las versiones 0.0.11 y anteriores contienen una vulnerabilidad de inyección de comandos en el servidor MCP @translated/lara-mcp. Esta vulnerabilidad se debe al uso no depurado de parámetros de entrada en una llamada a child_process.exec, lo que permite a un atacante inyectar comandos arbitrarios del sistema. Una explotación exitosa puede provocar la ejecución remota de código con los privilegios del proceso del servidor. El servidor construye y ejecuta comandos de shell utilizando entradas de usuario no validadas directamente dentro de las cadenas de la línea de comandos. Esto introduce la posibilidad de inyección de metacaracteres de shell (|, &gt;, &amp;&amp;, etc.). Esta vulnerabilidad está corregida en la versión 0.0.12.

Gravedad CVSS v3.1: ALTA

Última modificación:

22/07/2025

Vulnerabilidad en Manager-io/Manager (CVE-2025-54122)

Fecha de publicación:

21/07/2025

Idioma:

Español

Manager-io/Manager es un software de contabilidad. Se ha identificado una vulnerabilidad crítica de Server-Side Request Forgery (SSRF) de lectura completa no autenticada en el componente de gestión de proxy de las ediciones manager Desktop y Server hasta la 25.7.18.2519 incluida. Esta vulnerabilidad permite a un atacante no autenticado eludir el aislamiento de la red y las restricciones de acceso, lo que podría permitir el acceso a servicios internos, endpoints de metadatos en la nube y la exfiltración de datos confidenciales de segmentos de red aislados. Esta vulnerabilidad está corregida en la versión 25.7.21.2525.

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

22/07/2025

Vulnerabilidad en HAX CMS NodeJs (CVE-2025-54128)

Fecha de publicación:

21/07/2025

Idioma:

Español

HAX CMS NodeJs permite a los usuarios gestionar su universo de micrositios con un backend NodeJs. En las versiones 11.0.7 y anteriores, la versión NodeJS de HAX CMS tiene desactivada Content Security Policy (CSP). Esta configuración no es segura para una aplicación de producción, ya que no protege contra ataques de cross-site-scripting. El valor contentSecurityPolicy está desactivado explícitamente en la configuración de Helmet de la aplicación, en app.js. Esto se ha corregido en la versión 11.0.8.

Gravedad CVSS v4.0: ALTA

Última modificación:

30/07/2025

Vulnerabilidad en HAXiam (CVE-2025-54129)

Fecha de publicación:

21/07/2025

Idioma:

Español

HAXiam es un envoltorio de empaquetado para HAXcms que permite a cualquiera crear su propia plataforma de gestión de micrositios. En las versiones 11.0.4 y anteriores, la aplicación devuelve una respuesta 200 al solicitar los datos de un usuario válido y una respuesta 404 al solicitar los datos de un usuario no válido. Esto permite inferir la existencia de cuentas de usuario válidas. Un atacante autenticado puede usar herramientas automatizadas para forzar nombres de usuario potenciales y usar la respuesta de la aplicación para identificar cuentas válidas. Esto puede combinarse con otras vulnerabilidades, como la falta de comprobaciones de autorización, para enumerar y desfigurar los sitios de otros usuarios. Esto se ha corregido en la versión 11.0.5.

Gravedad CVSS v3.1: MEDIA

Última modificación:

22/08/2025

Vulnerabilidad en HAX CMS NodeJS (CVE-2025-54134)

Fecha de publicación:

21/07/2025

Idioma:

Español

HAX CMS NodeJS permite a los usuarios gestionar su universo de micrositios con un backend NodeJS. En las versiones 11.0.8 y anteriores, la aplicación HAX CMS NodeJS se bloquea cuando un atacante autenticado proporciona una solicitud de API sin los parámetros de URL requeridos. Esta vulnerabilidad afecta a los endpoints listFiles y saveFiles. Esta vulnerabilidad existe porque la aplicación no gestiona correctamente las excepciones que se producen como resultado de cambios en los parámetros de URL modificables por el usuario. Esto se ha corregido en la versión 11.0.9.

Gravedad CVSS v4.0: ALTA

Última modificación:

30/07/2025

Vulnerabilidad en HAXcms (CVE-2025-54127)

Fecha de publicación:

21/07/2025

Idioma:

Español

HAXcms con backend de NodeJS permite a los usuarios iniciar el servidor en cualquier HAXsite o instancia de HAXcms. En las versiones 11.0.6 y anteriores, la versión de NodeJS de HAXcms utiliza una configuración predeterminada insegura, diseñada para el desarrollo local. Esta configuración predeterminada no realiza comprobaciones de autorización ni autenticación. Si un usuario implementara haxcms-nodejs sin modificar la configuración predeterminada, &#39;HAXCMS_DISABLE_JWT_CHECKS&#39; se establecería en &#39;true&#39; y su implementación carecería de autenticación de sesión. Esto se solucionó en la versión 11.0.7.

Gravedad CVSS v4.0: CRÍTICA

Última modificación:

30/07/2025

Vulnerabilidad en Cadwyn (CVE-2025-53528)

Fecha de publicación:

21/07/2025

Idioma:

Español

Cadwyn crea un control de versiones de API moderno, similar a Stripe, basado en la comunidad y listo para producción en FastAPI. En las versiones 5.4.3 y anteriores, el parámetro de versión del endpoint "/docs" es vulnerable a un ataque XSS reflejado (Cross-Site Scripting). Este XSS permitiría a un atacante ejecutar código JavaScript en la sesión de un usuario para cualquier aplicación basada en Cadwyn mediante un ataque de un solo clic. La vulnerabilidad se ha corregido en la versión 5.4.4.

Gravedad CVSS v3.1: ALTA

Última modificación:

23/07/2025

Vulnerabilidad en IrfanView CADImage (CVE-2025-7323)

Fecha de publicación:

21/07/2025

Idioma:

Español

Vulnerabilidad de ejecución remota de código por corrupción de memoria en el análisis de archivos DWG del complemento IrfanView CADImage. Esta vulnerabilidad permite a atacantes remotos ejecutar código arbitrario en las instalaciones afectadas del complemento IrfanView CADImage. Para explotar esta vulnerabilidad, se requiere la interacción del usuario, ya que el objetivo debe visitar una página maliciosa o abrir un archivo malicioso. La falla específica se encuentra en el análisis de archivos DWG. El problema se debe a la falta de una validación adecuada de los datos proporcionados por el usuario, lo que puede provocar corrupción de memoria. Un atacante puede aprovechar esta vulnerabilidad para ejecutar código en el contexto del proceso actual. Era ZDI-CAN-26428.

Gravedad CVSS v3.1: ALTA

Última modificación:

25/07/2025

Vulnerabilidad en IrfanView CADImage (CVE-2025-7324)

Fecha de publicación:

21/07/2025

Idioma:

Español

Vulnerabilidad de ejecución remota de código al analizar archivos DXF en el complemento IrfanView CADImage. Esta vulnerabilidad permite a atacantes remotos ejecutar código arbitrario en las instalaciones afectadas del complemento IrfanView CADImage. Para explotar esta vulnerabilidad, se requiere la interacción del usuario, ya que el objetivo debe visitar una página maliciosa o abrir un archivo malicioso. La falla específica se encuentra en el análisis de archivos DXF. El problema se debe a la falta de una validación adecuada de los datos proporcionados por el usuario, lo que puede provocar una lectura más allá del límite del búfer asignado. Un atacante puede aprovechar esta vulnerabilidad para ejecutar código en el contexto del proceso actual. Anteriormente, se denominó ZDI-CAN-26430.

Gravedad CVSS v3.1: ALTA

Última modificación:

25/07/2025

Vulnerabilidad en IrfanView CADImage (CVE-2025-7325)

Fecha de publicación:

21/07/2025

Idioma:

Español

Vulnerabilidad de ejecución remota de código por lectura fuera de los límites en el análisis de archivos DWG del complemento IrfanView CADImage. Esta vulnerabilidad permite a atacantes remotos ejecutar código arbitrario en las instalaciones afectadas del complemento IrfanView CADImage. Para explotar esta vulnerabilidad, se requiere la interacción del usuario, ya que el objetivo debe visitar una página maliciosa o abrir un archivo malicioso. La falla específica se encuentra en el análisis de archivos DWG. El problema se debe a la falta de una validación adecuada de los datos proporcionados por el usuario, lo que puede provocar una lectura más allá del límite del búfer asignado. Un atacante puede aprovechar esta vulnerabilidad para ejecutar código en el contexto del proceso actual. Era ZDI-CAN-26423.

Gravedad CVSS v3.1: ALTA

Última modificación:

25/07/2025

Suscribirse a Vulnerabilidades