Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

017 - Ir a la línea de ayuda en Ciberseguridad    Ir a Agenda     Ir a Sala de prensa     Ir a suscripción de boletines

Ir al buscador

Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las últimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las últimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las últimas vulnerabilidades incorporadas al repositorio.

CVE-2025-62250
Fecha de publicación:
21/10/2025
Idioma:
Inglés
*** Pendiente de traducción *** Improper Authentication in Liferay Portal 7.4.0 through 7.4.3.132, and older unsupported versions, and Liferay DXP 2023.Q4.0, 2023.Q3.1 through 2023.Q3.4, 7.4 GA through update 92, 7.3 GA through update 35, and older unsupported versions allows remote attackers to send malicious data to the Liferay Portal 7.4.0 through 7.4.3.132, and older unsupported versions, and Liferay DXP 2023.Q4.0, 2023.Q3.1 through 2023.Q3.4, 7.4 GA through update 92, 7.3 GA through update 35, and older unsupported versions that will treat it as trusted data via unauthenticated cluster messages.
Gravedad CVSS v4.0: MEDIA
Última modificación:
12/12/2025

CVE-2025-60751
Fecha de publicación:
21/10/2025
Idioma:
Inglés
*** Pendiente de traducción *** GeographicLib 2.5 is vulnerable to Buffer Overflow in GeoConvert DMS::InternalDecode.
Gravedad CVSS v3.1: ALTA
Última modificación:
15/04/2026

CVE-2025-61220
Fecha de publicación:
21/10/2025
Idioma:
Inglés
*** Pendiente de traducción *** The incomplete verification mechanism in the AutoBizLine com.mysecondline.app 1.2.91 allows attackers to log in as other users and gain unauthorized access to their personal information.
Gravedad CVSS v3.1: ALTA
Última modificación:
15/04/2026

CVE-2025-12024
Fecha de publicación:
21/10/2025
Idioma:
Inglés
*** Pendiente de traducción *** Rejected reason: ** REJECT ** DO NOT USE THIS CANDIDATE NUMBER. Reason: This candidate was issued in error. Notes: All references and descriptions in this candidate have been removed to prevent accidental usage.
Gravedad: Pendiente de análisis
Última modificación:
21/10/2025

CVE-2025-22166
Fecha de publicación:
21/10/2025
Idioma:
Inglés
*** Pendiente de traducción *** This High severity DoS (Denial of Service) vulnerability was introduced in version 2.0 of Confluence Data Center.<br /> <br /> This DoS (Denial of Service) vulnerability, with a CVSS Score of 8.3, allows an attacker to cause a resource to be unavailable for its intended users by temporarily or indefinitely disrupting services of a host connected to a network.<br /> <br /> Atlassian recommends that Confluence Data Center customers upgrade to latest version, if you are unable to do so, upgrade your instance to one of the specified supported fixed versions:<br /> Confluence Data Center and Server 8.5: Upgrade to a release greater than or equal to 8.5.25<br /> Confluence Data Center and Server 9.2: Upgrade to a release greater than or equal to 9.2.7<br /> Confluence Data Center and Server 10.0: Upgrade to a release greater than or equal to 10.0.2<br /> <br /> See the release notes ([https://confluence.atlassian.com/doc/confluence-release-notes-327.html]). You can download the latest version of Confluence Data Center from the download center ([https://www.atlassian.com/software/confluence/download-archives]).<br /> <br /> This vulnerability was reported via our Atlassian (Internal) program.
Gravedad CVSS v4.0: ALTA
Última modificación:
05/12/2025

CVE-2025-59438
Fecha de publicación:
21/10/2025
Idioma:
Inglés
*** Pendiente de traducción *** Mbed TLS through 3.6.4 has an Observable Timing Discrepancy.
Gravedad CVSS v3.1: MEDIA
Última modificación:
23/10/2025

CVE-2025-60344
Fecha de publicación:
21/10/2025
Idioma:
Inglés
*** Pendiente de traducción *** A path traversal (directory traversal) vulnerability in D-Link DSR series routers allows unauthenticated remote attackers to manipulate input parameters used for file or directory path resolution (e.g., via sequences such as “../”). Successful exploitation may allow access to files outside of the intended directory, potentially exposing sensitive system or configuration files. The issue results from insufficient validation or sanitization of user-supplied input. Affected Products include: DSR-150, DSR-150N, and DSR-250N v1.09B32_WW.
Gravedad CVSS v3.1: ALTA
Última modificación:
15/04/2026

CVE-2025-60932
Fecha de publicación:
21/10/2025
Idioma:
Inglés
*** Pendiente de traducción *** Multiple stored cross-site scripting (XSS) vulnerabilities in the Current Goals function of HR Performance Solutions Performance Pro v3.19.17 allows attackers to execute arbitrary web scripts or HTML via a crafted payload injected into the Goal Name, Goal Notes, Action Step Name, Action Step Description, Note Name, and Goal Description parameters. The patched version is PP-Release-6.3.2.0.
Gravedad CVSS v3.1: MEDIA
Última modificación:
15/04/2026

CVE-2025-60933
Fecha de publicación:
21/10/2025
Idioma:
Inglés
*** Pendiente de traducción *** Multiple stored cross-site scripting (XSS) vulnerabilities in the Future Goals function of HR Performance Solutions Performance Pro v3.19.17 allows attackers to execute arbitrary web scripts or HTML via a crafted payload injected into the Goal Name, Goal Notes, Action Step Name, Action Step Description, Note Name, and Goal Description parameters. The patched version is PP-Release-6.3.2.0.
Gravedad CVSS v3.1: MEDIA
Última modificación:
15/04/2026

CVE-2025-60934
Fecha de publicación:
21/10/2025
Idioma:
Inglés
*** Pendiente de traducción *** Multiple stored cross-site scripting (XSS) vulnerabilities in the index.php component of HR Performance Solutions Performance Pro v3.19.17 allows attackers to execute arbitrary web scripts or HTML via a crafted payload injected into the Employee Notes, title, or description parameters. The patched version is PP-Release-6.3.2.0.
Gravedad CVSS v3.1: MEDIA
Última modificación:
15/04/2026

CVE-2025-56450
Fecha de publicación:
21/10/2025
Idioma:
Inglés
*** Pendiente de traducción *** Log2Space Subscriber Management Software 1.1 is vulnerable to unauthenticated SQL injection via the `lead_id` parameter in the `/l2s/api/selfcareLeadHistory` endpoint. A remote attacker can exploit this by sending a specially crafted POST request, resulting in the execution of arbitrary SQL queries. The backend fails to sanitize the user input, allowing enumeration of database schemas, table names, and potentially leading to full database compromise.
Gravedad CVSS v3.1: MEDIA
Última modificación:
15/04/2026

CVE-2025-57521
Fecha de publicación:
21/10/2025
Idioma:
Inglés
*** Pendiente de traducción *** Bambu Studio 2.1.1.52 and earlier is affected by a vulnerability that allows arbitrary code execution during application startup. The application loads a network plugin without validating its digital signature or verifying its authenticity. A local attacker can exploit this behavior by placing a malicious component in the expected location, which is controllable by the attacker (e.g., under %APPDATA%), resulting in code execution within the context of the user. The main application is digitally signed, which may allow a malicious component to inherit trust and evade detection by security solutions that rely on signed parent processes.
Gravedad CVSS v3.1: MEDIA
Última modificación:
15/04/2026
Suscribirse a Vulnerabilidades