Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

017 - Ir a la línea de ayuda en Ciberseguridad    Ir a Agenda     Ir a Sala de prensa     Ir a suscripción de boletines

Ir al buscador

Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las últimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las últimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las últimas vulnerabilidades incorporadas al repositorio.

CVE-2025-61679
Fecha de publicación:
03/10/2025
Idioma:
Inglés
*** Pendiente de traducción *** Anyquery is an SQL query engine built on top of SQLite. Versions 0.4.3 and below allow attackers who have already gained access to localhost, even with low privileges, to use the http server through the port unauthenticated, and access private integration data like emails, without any warning of a foreign login from the provider. This issue is fixed in version 0.4.4.
Gravedad CVSS v3.1: ALTA
Última modificación:
15/04/2026

CVE-2025-61680
Fecha de publicación:
03/10/2025
Idioma:
Inglés
*** Pendiente de traducción *** Minecraft RCON Terminal is a VS Code extension that streamlines Minecraft server management. Versions 0.1.0 through 2.0.6 stores passwords using VS Code's configuration API which writes to settings.json in plaintext. This issue is fixed in version 2.1.0.
Gravedad CVSS v4.0: MEDIA
Última modificación:
15/04/2026

CVE-2025-61681
Fecha de publicación:
03/10/2025
Idioma:
Inglés
*** Pendiente de traducción *** KUNO CMS is a fully deployable full-stack blog application. Versions 1.3.13 and below contain validation flaws in its file upload functionality that can be exploited for stored XSS. The upload endpoint only validates file types based on Content-Type headers, lacks file content analysis and extension whitelist restrictions, allowing attackers to upload SVG files containing malicious scripts (disguised as images). When users access the uploaded resource pages, arbitrary JavaScript executes in their browsers. This issue is fixed in version 1.3.14.
Gravedad CVSS v3.1: MEDIA
Última modificación:
15/04/2026

CVE-2025-43825
Fecha de publicación:
03/10/2025
Idioma:
Inglés
*** Pendiente de traducción *** A vulnerability in Liferay Portal 7.4.0 through 7.4.3.132, and Liferay DXP 2025.Q1.0 through 2025.Q1.4, 2024.Q4.0 through 2024.Q4.5, 2024.Q3.0 through 2024.Q3.13, 2024.Q2.1 through 2024.Q2.13, 2024.Q1.1 through 2024.Q1.12, 2023.Q4.0 through 2023.Q4.10, 2023.Q3.1 through 2023.Q3.10, and 7.4 GA through update 92 allows sensitive user data to be included in the Freemarker template. This weakness permits an unauthorized actor to gain access to, and potentially render, confidential information that should remain restricted.
Gravedad CVSS v4.0: MEDIA
Última modificación:
15/12/2025

CVE-2025-61585
Fecha de publicación:
03/10/2025
Idioma:
Inglés
*** Pendiente de traducción *** Rejected reason: Further research determined the issue is not an independent vulnerability as it originates from Apache Felix.
Gravedad: Pendiente de análisis
Última modificación:
03/10/2025

CVE-2025-59943
Fecha de publicación:
03/10/2025
Idioma:
Inglés
*** Pendiente de traducción *** phpMyFAQ is an open source FAQ web application. Versions 4.0-nightly-2025-10-03 and below do not enforce uniqueness of email addresses during user registration. This allows multiple distinct accounts to be created with the same email. Because email is often used as an identifier for password resets, notifications, and administrative actions, this flaw can cause account ambiguity and, in certain configurations, may lead to privilege escalation or account takeover. This issue is fixed in version 4.0.13.
Gravedad CVSS v3.1: ALTA
Última modificación:
10/10/2025

CVE-2025-59944
Fecha de publicación:
03/10/2025
Idioma:
Inglés
*** Pendiente de traducción *** Cursor is a code editor built for programming with AI. Versions 1.6.23 and below contain case-sensitive checks in the way Cursor IDE protects its sensitive files (e.g., */.cursor/mcp.json), which allows attackers to modify the content of these files through prompt injection and achieve remote code execution. A prompt injection can lead to full RCE through modifying sensitive files on case-insensitive fileystems. This issue is fixed in version 1.7.
Gravedad CVSS v3.1: ALTA
Última modificación:
16/10/2025

CVE-2025-10696
Fecha de publicación:
03/10/2025
Idioma:
Inglés
*** Pendiente de traducción *** OpenSupports exposes an endpoint that allows the list of 'supervised users' for any account to be edited, but it does not validate whether the actor is the owner of that list. A Level 1 staff member can modify the supervision relationship of a third party (the target user), who can then view the tickets of the added 'supervised' users. This breaks the authorization model and filters the content of other users' tickets.This issue affects OpenSupports: 4.11.0.
Gravedad CVSS v4.0: ALTA
Última modificación:
22/12/2025

CVE-2025-10695
Fecha de publicación:
03/10/2025
Idioma:
Inglés
*** Pendiente de traducción *** Two unauthenticated diagnostic endpoints allow arbitrary backend-initiated network connections to an attacker‑supplied destination. Both endpoints are exposed with permission =&gt; &amp;#39;any&amp;#39;, enabling unauthenticated SSRF for internal network scanning and service interaction.<br /> <br /> This issue affects OpenSupports: 4.11.0.
Gravedad CVSS v4.0: MEDIA
Última modificación:
22/12/2025

CVE-2025-10692
Fecha de publicación:
03/10/2025
Idioma:
Inglés
*** Pendiente de traducción *** The endpoint POST /api/staff/get-new-tickets concatenates the user-controlled parameter departmentId directly into the SQL WHERE clause without parameter binding. As a result, an authenticated staff user (level ≥ 1) can inject SQL to alter the filter logic, effectively bypassing department scoping and disclosing tickets beyond their intended access.This issue affects OpenSupports: 4.11.0.
Gravedad CVSS v4.0: ALTA
Última modificación:
15/04/2026

CVE-2025-59829
Fecha de publicación:
03/10/2025
Idioma:
Inglés
*** Pendiente de traducción *** Claude Code is an agentic coding tool. Versions below 1.0.120 failed to account for symlinks when checking permission deny rules. If a user explicitly denied Claude Code access to a file and Claude Code had access to a symlink pointing to that file, it was possible for Claude Code to access the file. Users on standard Claude Code auto-update will have received this fix automatically. Users performing manual updates are advised to update to the latest version. This issue is fixed in version 1.0.120.
Gravedad CVSS v4.0: BAJA
Última modificación:
24/10/2025

CVE-2025-54374
Fecha de publicación:
03/10/2025
Idioma:
Inglés
*** Pendiente de traducción *** Eidos is an extensible framework for Personal Data Management. Versions 0.21.0 and below contain a one-click remote code execution vulnerability. An attacker can exploit this vulnerability by embedding a specially crafted eidos: URL on any website, including a malicious one they control. When a victim visits such a site or clicks on the link, the browser triggers the app’s custom URL handler (eidos:), causing the Eidos application to launch and process the URL, leading to remote code execution on the victim’s machine. This issue does not have a fix as of October 3, 2025
Gravedad CVSS v3.1: ALTA
Última modificación:
24/10/2025
Suscribirse a Vulnerabilidades