Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

017 - Ir a la línea de ayuda en Ciberseguridad    Ir a Agenda     Ir a Sala de prensa     Ir a suscripción de boletines

Ir al buscador

Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las ultimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las ultimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las ultimas vulnerabilidades incorporadas al repositorio.

CVE-2025-61673
Fecha de publicación:
03/10/2025
Idioma:
Inglés
*** Pendiente de traducción *** Karapace is an open-source implementation of Kafka REST and Schema Registry. Versions 5.0.0 and 5.0.1 contain an authentication bypass vulnerability when configured to use OAuth 2.0 Bearer Token authentication. If a request is sent without an Authorization header, the token validation logic is skipped entirely, allowing an unauthenticated user to read and write to Schema Registry endpoints that should otherwise be protected. This effectively renders the OAuth authentication mechanism ineffective. This issue is fixed in version 5.0.2.
Gravedad CVSS v3.1: ALTA
Última modificación:
15/04/2026

CVE-2025-61677
Fecha de publicación:
03/10/2025
Idioma:
Inglés
*** Pendiente de traducción *** DataChain is a Python-based AI-data warehouse for transforming and analyzing unstructured data. Versions 0.34.1 and below allow for deseriaization of untrusted data because of the way the DataChain library reads serialized objects from environment variables (such as DATACHAIN__METASTORE and DATACHAIN__WAREHOUSE) in the loader.py module. An attacker with the ability to set these environment variables can trigger code execution when the application loads. This issue is fixed in version 0.34.2.
Gravedad CVSS v3.1: BAJA
Última modificación:
15/04/2026

CVE-2025-61679
Fecha de publicación:
03/10/2025
Idioma:
Inglés
*** Pendiente de traducción *** Anyquery is an SQL query engine built on top of SQLite. Versions 0.4.3 and below allow attackers who have already gained access to localhost, even with low privileges, to use the http server through the port unauthenticated, and access private integration data like emails, without any warning of a foreign login from the provider. This issue is fixed in version 0.4.4.
Gravedad CVSS v3.1: ALTA
Última modificación:
15/04/2026

CVE-2025-61680
Fecha de publicación:
03/10/2025
Idioma:
Inglés
*** Pendiente de traducción *** Minecraft RCON Terminal is a VS Code extension that streamlines Minecraft server management. Versions 0.1.0 through 2.0.6 stores passwords using VS Code's configuration API which writes to settings.json in plaintext. This issue is fixed in version 2.1.0.
Gravedad CVSS v4.0: MEDIA
Última modificación:
15/04/2026

CVE-2025-61681
Fecha de publicación:
03/10/2025
Idioma:
Inglés
*** Pendiente de traducción *** KUNO CMS is a fully deployable full-stack blog application. Versions 1.3.13 and below contain validation flaws in its file upload functionality that can be exploited for stored XSS. The upload endpoint only validates file types based on Content-Type headers, lacks file content analysis and extension whitelist restrictions, allowing attackers to upload SVG files containing malicious scripts (disguised as images). When users access the uploaded resource pages, arbitrary JavaScript executes in their browsers. This issue is fixed in version 1.3.14.
Gravedad CVSS v3.1: MEDIA
Última modificación:
15/04/2026

CVE-2025-43825
Fecha de publicación:
03/10/2025
Idioma:
Inglés
*** Pendiente de traducción *** A vulnerability in Liferay Portal 7.4.0 through 7.4.3.132, and Liferay DXP 2025.Q1.0 through 2025.Q1.4, 2024.Q4.0 through 2024.Q4.5, 2024.Q3.0 through 2024.Q3.13, 2024.Q2.1 through 2024.Q2.13, 2024.Q1.1 through 2024.Q1.12, 2023.Q4.0 through 2023.Q4.10, 2023.Q3.1 through 2023.Q3.10, and 7.4 GA through update 92 allows sensitive user data to be included in the Freemarker template. This weakness permits an unauthorized actor to gain access to, and potentially render, confidential information that should remain restricted.
Gravedad CVSS v4.0: MEDIA
Última modificación:
15/12/2025

CVE-2025-61585
Fecha de publicación:
03/10/2025
Idioma:
Inglés
*** Pendiente de traducción *** Rejected reason: Further research determined the issue is not an independent vulnerability as it originates from Apache Felix.
Gravedad: Pendiente de análisis
Última modificación:
03/10/2025

CVE-2025-59943
Fecha de publicación:
03/10/2025
Idioma:
Inglés
*** Pendiente de traducción *** phpMyFAQ is an open source FAQ web application. Versions 4.0-nightly-2025-10-03 and below do not enforce uniqueness of email addresses during user registration. This allows multiple distinct accounts to be created with the same email. Because email is often used as an identifier for password resets, notifications, and administrative actions, this flaw can cause account ambiguity and, in certain configurations, may lead to privilege escalation or account takeover. This issue is fixed in version 4.0.13.
Gravedad CVSS v3.1: ALTA
Última modificación:
10/10/2025

CVE-2025-59944
Fecha de publicación:
03/10/2025
Idioma:
Inglés
*** Pendiente de traducción *** Cursor is a code editor built for programming with AI. Versions 1.6.23 and below contain case-sensitive checks in the way Cursor IDE protects its sensitive files (e.g., */.cursor/mcp.json), which allows attackers to modify the content of these files through prompt injection and achieve remote code execution. A prompt injection can lead to full RCE through modifying sensitive files on case-insensitive fileystems. This issue is fixed in version 1.7.
Gravedad CVSS v3.1: ALTA
Última modificación:
16/10/2025

CVE-2025-10696
Fecha de publicación:
03/10/2025
Idioma:
Inglés
*** Pendiente de traducción *** OpenSupports exposes an endpoint that allows the list of 'supervised users' for any account to be edited, but it does not validate whether the actor is the owner of that list. A Level 1 staff member can modify the supervision relationship of a third party (the target user), who can then view the tickets of the added 'supervised' users. This breaks the authorization model and filters the content of other users' tickets.This issue affects OpenSupports: 4.11.0.
Gravedad CVSS v4.0: ALTA
Última modificación:
22/12/2025

CVE-2025-10695
Fecha de publicación:
03/10/2025
Idioma:
Inglés
*** Pendiente de traducción *** Two unauthenticated diagnostic endpoints allow arbitrary backend-initiated network connections to an attacker‑supplied destination. Both endpoints are exposed with permission =&gt; &amp;#39;any&amp;#39;, enabling unauthenticated SSRF for internal network scanning and service interaction.<br /> <br /> This issue affects OpenSupports: 4.11.0.
Gravedad CVSS v4.0: MEDIA
Última modificación:
22/12/2025

CVE-2025-10692
Fecha de publicación:
03/10/2025
Idioma:
Inglés
*** Pendiente de traducción *** The endpoint POST /api/staff/get-new-tickets concatenates the user-controlled parameter departmentId directly into the SQL WHERE clause without parameter binding. As a result, an authenticated staff user (level ≥ 1) can inject SQL to alter the filter logic, effectively bypassing department scoping and disclosing tickets beyond their intended access.This issue affects OpenSupports: 4.11.0.
Gravedad CVSS v4.0: ALTA
Última modificación:
15/04/2026
Suscribirse a Vulnerabilidades