Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

017 - Ir a la línea de ayuda en Ciberseguridad    Ir a Agenda     Ir a Sala de prensa     Ir a suscripción de boletines

Ir al buscador

Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las ultimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las ultimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las ultimas vulnerabilidades incorporadas al repositorio.

CVE-2025-62423
Fecha de publicación:
16/10/2025
Idioma:
Inglés
*** Pendiente de traducción *** ClipBucket V5 provides open source video hosting with PHP. In version5.5.2 - #140 and earlier, a Blind SQL injection vulnerability exists in the Admin Area’s “/admin_area/login_as_user.php” file. Exploiting this vulnerability requires access privileges to the Admin Area.
Gravedad CVSS v3.1: MEDIA
Última modificación:
16/10/2025

CVE-2025-61553
Fecha de publicación:
16/10/2025
Idioma:
Inglés
*** Pendiente de traducción *** An out-of-bounds write in VirtIO network device emulation in BitVisor from commit 108df6 (2020-05-20) to commit 480907 (2025-07-06) allows local attackers to cause a denial of service (host hypervisor crash) via a crafted PCI configuration space access. Given it's a heap overflow in a privileged hypervisor context, exploitation may enable arbitrary code execution or guest-to-host privilege escalation.
Gravedad: Pendiente de análisis
Última modificación:
16/10/2025

CVE-2025-60855
Fecha de publicación:
16/10/2025
Idioma:
Inglés
*** Pendiente de traducción *** Reolink Video Doorbell WiFi DB_566128M5MP_W performs insufficient validation of firmware update signatures. This allows attackers to load malicious firmware images, resulting in arbitrary code execution with root privileges.
Gravedad CVSS v3.1: MEDIA
Última modificación:
16/10/2025

CVE-2025-61514
Fecha de publicación:
16/10/2025
Idioma:
Inglés
*** Pendiente de traducción *** An arbitrary file upload vulnerability in SageMath, Inc CoCalc before commit 0d2ff58 allows attackers to execute arbitrary code via uploading a crafted SVG file.
Gravedad CVSS v3.1: MEDIA
Última modificación:
16/10/2025

CVE-2025-11493
Fecha de publicación:
16/10/2025
Idioma:
Inglés
*** Pendiente de traducción *** The ConnectWise Automate Agent does not fully verify the authenticity of files downloaded from the server, such as updates, dependencies, and integrations. This creates a risk where an on-path attacker could perform a man-in-the-middle attack and substitute malicious files for legitimate ones by impersonating a legitimate server. This risk is mitigated when HTTPS is enforced and is related to CVE-2025-11492.
Gravedad CVSS v3.1: ALTA
Última modificación:
16/10/2025

CVE-2025-11852
Fecha de publicación:
16/10/2025
Idioma:
Inglés
*** Pendiente de traducción *** A vulnerability was found in Apeman ID71 218.53.203.117. The impacted element is an unknown function of the file /onvif/device_service of the component ONVIF Service. Performing manipulation results in missing authentication. The attack is possible to be carried out remotely. The exploit has been made public and could be used. The vendor was contacted early about this disclosure but did not respond in any way.
Gravedad CVSS v4.0: MEDIA
Última modificación:
16/10/2025

CVE-2025-11853
Fecha de publicación:
16/10/2025
Idioma:
Inglés
*** Pendiente de traducción *** A vulnerability was determined in Sismics Teedy up to 1.11. This affects an unknown function of the file /api/file of the component API Endpoint. Executing manipulation can lead to improper access controls. The attack may be performed from remote. The exploit has been publicly disclosed and may be utilized. The vendor was contacted early about this disclosure but did not respond in any way.
Gravedad CVSS v4.0: MEDIA
Última modificación:
16/10/2025

CVE-2025-34253
Fecha de publicación:
16/10/2025
Idioma:
Inglés
*** Pendiente de traducción *** D-Link Nuclias Connect firmware versions
Gravedad CVSS v4.0: MEDIA
Última modificación:
16/10/2025

CVE-2025-34254
Fecha de publicación:
16/10/2025
Idioma:
Inglés
*** Pendiente de traducción *** D-Link Nuclias Connect firmware versions
Gravedad CVSS v4.0: MEDIA
Última modificación:
16/10/2025

CVE-2025-34255
Fecha de publicación:
16/10/2025
Idioma:
Inglés
*** Pendiente de traducción *** D-Link Nuclias Connect firmware versions
Gravedad CVSS v4.0: MEDIA
Última modificación:
16/10/2025

CVE-2025-11492
Fecha de publicación:
16/10/2025
Idioma:
Inglés
*** Pendiente de traducción *** In the ConnectWise Automate Agent, communications could be configured to use HTTP instead of HTTPS. In such cases, an on-path threat actor with a man-in-the-middle network position could intercept, modify, or replay agent-server traffic. Additionally, the encryption method used to obfuscate some communications over the HTTP channel is updated in the Automate 2025.9 patch to enforce HTTPS for all agent communications.
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
16/10/2025

CVE-2025-62413
Fecha de publicación:
16/10/2025
Idioma:
Inglés
*** Pendiente de traducción *** MQTTX is an MQTT 5.0 desktop client and MQTT testing tool. A Cross-Site Scripting (XSS) vulnerability was introduced in MQTTX v1.12.0 due to improper handling of MQTT message payload rendering. Malicious payloads containing HTML or JavaScript could be rendered directly in the MQTTX message viewer. If exploited, this could allow attackers to execute arbitrary scripts in the context of the application UI — for example, attempting to access MQTT connection credentials or trigger unintended actions through script injection. This vulnerability is especially relevant when MQTTX is used with brokers in untrusted or multi-tenant environments, where message content cannot be fully controlled. This vulnerability is fixed in 1.12.1.
Gravedad CVSS v3.1: MEDIA
Última modificación:
16/10/2025
Suscribirse a Vulnerabilidades