Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las ultimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las ultimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las ultimas vulnerabilidades incorporadas al repositorio.

CVE-2025-9615

Fecha de publicación:

26/01/2026

Idioma:

Inglés

*** Pendiente de traducción *** A flaw was found in NetworkManager. The NetworkManager package allows access to files that may belong to other users. NetworkManager allows non-root users to configure the system&#39;s network. The daemon runs with root privileges and can access files owned by users different from the one who added the connection.

Gravedad CVSS v3.1: BAJA

Última modificación:

27/01/2026

CVE-2025-9820

Fecha de publicación:

26/01/2026

Idioma:

Inglés

*** Pendiente de traducción *** A flaw was found in the GnuTLS library, specifically in the gnutls_pkcs11_token_init() function that handles PKCS#11 token initialization. When a token label longer than expected is processed, the function writes past the end of a fixed-size stack buffer. This programming error can cause the application using GnuTLS to crash or, in certain conditions, be exploited for code execution. As a result, systems or applications relying on GnuTLS may be vulnerable to a denial of service or local privilege escalation attacks.

Gravedad CVSS v3.1: MEDIA

Última modificación:

27/01/2026

CVE-2026-1190

Fecha de publicación:

26/01/2026

Idioma:

Inglés

*** Pendiente de traducción *** A flaw was found in Keycloak&#39;s SAML brokering functionality. When Keycloak is configured as a client in a Security Assertion Markup Language (SAML) setup, it fails to validate the `NotOnOrAfter` timestamp within the `SubjectConfirmationData`. This allows an attacker to delay the expiration of SAML responses, potentially extending the time a response is considered valid and leading to unexpected session durations or resource consumption.

Gravedad CVSS v3.1: BAJA

Última modificación:

27/01/2026

CVE-2026-1443

Fecha de publicación:

26/01/2026

Idioma:

Inglés

*** Pendiente de traducción *** A flaw has been found in code-projects Online Music Site 1.0. Affected by this issue is some unknown functionality of the file /Administrator/PHP/AdminDeleteUser.php. This manipulation of the argument ID causes sql injection. The attack can be initiated remotely. The exploit has been published and may be used.

Gravedad CVSS v4.0: MEDIA

Última modificación:

05/02/2026

CVE-2026-0810

Fecha de publicación:

26/01/2026

Idioma:

Inglés

*** Pendiente de traducción *** A flaw was found in gix-date. The `gix_date::parse::TimeBuf::as_str` function can generate strings containing invalid non-UTF8 characters. This issue violates the internal safety invariants of the `TimeBuf` component, leading to undefined behavior when these malformed strings are subsequently processed. This could potentially result in application instability or other unforeseen consequences.

Gravedad CVSS v3.1: MEDIA

Última modificación:

13/02/2026

CVE-2025-14525

Fecha de publicación:

26/01/2026

Idioma:

Inglés

*** Pendiente de traducción *** A flaw was found in kubevirt. A user within a virtual machine (VM), if the guest agent is active, can exploit this by causing the agent to report an excessive number of network interfaces. This action can overwhelm the system&#39;s ability to store VM configuration updates, effectively blocking changes to the Virtual Machine Instance (VMI). This allows the VM user to restrict the VM administrator&#39;s ability to manage the VM, leading to a denial of service for administrative operations.

Gravedad CVSS v3.1: MEDIA

Última modificación:

27/01/2026

CVE-2025-9520

Fecha de publicación:

26/01/2026

Idioma:

Inglés

*** Pendiente de traducción *** An IDOR vulnerability exists in Omada Controllers that allows an attacker with Administrator permissions to manipulate requests and potentially hijack the Owner account.

Gravedad CVSS v4.0: ALTA

Última modificación:

27/01/2026

CVE-2025-9521

Fecha de publicación:

26/01/2026

Idioma:

Inglés

*** Pendiente de traducción *** Password Confirmation Bypass vulnerability in Omada Controllers, allowing an attacker with a valid session token to bypass secondary verification, and change the user’s password without proper confirmation, leading to weakened account security.

Gravedad CVSS v4.0: BAJA

Última modificación:

27/01/2026

CVE-2025-14969

Fecha de publicación:

26/01/2026

Idioma:

Inglés

*** Pendiente de traducción *** A flaw was found in Hibernate Reactive. When an HTTP endpoint is exposed to perform database operations, a remote client can prematurely close the HTTP connection. This action may lead to leaking connections from the database connection pool, potentially causing a Denial of Service (DoS) by exhausting available database connections.

Gravedad CVSS v3.1: MEDIA

Última modificación:

05/02/2026

CVE-2025-11687

Fecha de publicación:

26/01/2026

Idioma:

Inglés

*** Pendiente de traducción *** A flaw was found in the gi-docgen. This vulnerability allows arbitrary JavaScript execution in the context of the page — enabling DOM access, session cookie theft and other client-side attacks — via a crafted URL that supplies a malicious value to the q GET parameter (reflected DOM XSS).

Gravedad CVSS v3.1: MEDIA

Última modificación:

27/01/2026

CVE-2025-14459

Fecha de publicación:

26/01/2026

Idioma:

Inglés

*** Pendiente de traducción *** A flaw was found in KubeVirt Containerized Data Importer (CDI). This vulnerability allows a user to clone PersistentVolumeClaims (PVCs) from unauthorized namespaces, resulting in unauthorized access to data via the DataImportCron PVC source mechanism.

Gravedad CVSS v3.1: ALTA

Última modificación:

27/01/2026

CVE-2025-11065

Fecha de publicación:

26/01/2026

Idioma:

Inglés

*** Pendiente de traducción *** A flaw was found in github.com/go-viper/mapstructure/v2, in the field processing component using mapstructure.WeakDecode. This vulnerability allows information disclosure through detailed error messages that may leak sensitive input values via malformed user-supplied data processed in security-critical contexts.

Gravedad CVSS v3.1: MEDIA

Última modificación:

03/02/2026

Suscribirse a Vulnerabilidades