Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las ultimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las ultimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las ultimas vulnerabilidades incorporadas al repositorio.

Vulnerabilidad en Tauri Shell (CVE-2025-31477)

Fecha de publicación:
02/04/2025
Idioma:
Español
El complemento Tauri Shell permite acceder al shell del sistema. Antes de la versión 2.2.1, este complemento exponía la funcionalidad para ejecutar código y abrir programas en el sistema. El endpoint abierto de este complemento estaba diseñado para permitir la apertura de funciones con el programa de apertura del sistema (p. ej., xdg-open en Linux). Esto estaba previsto que estuviera restringido a un número razonable de protocolos, como https o mailto, por defecto. Esta restricción predeterminada no funcionaba debido a una validación incorrecta de los protocolos permitidos, lo que permitía que el controlador de protocolos registrado del sistema abriera protocolos potencialmente peligrosos como file://, smb:// o nfs://, entre otros. Al pasar información de usuario no confiable al endpoint abierto, estos protocolos potencialmente peligrosos pueden ser objeto de abuso para obtener ejecución remota de código en el sistema. Esto requiere la exposición directa del endpoint a los usuarios de la aplicación o la ejecución de código en el frontend de una aplicación Tauri. Esta vulnerabilidad se corrigió en la versión 2.2.1.
Gravedad CVSS v4.0: CRÍTICA
Última modificación:
29/04/2025

Vulnerabilidad en GitHub (CVE-2025-31479)

Fecha de publicación:
02/04/2025
Idioma:
Español
Canonical/Get-Workflow-Version-Action es una acción compuesta de GitHub para obtener commit SHA con el que se llamó el flujo de trabajo reutilizable de GitHub. Antes de 1.0.1, si el paso Get-Workflow-Version-Action falla, la salida de excepción puede incluir el GitHub_Token. Si el token completo se incluye en la salida de excepción, GitHub redactará automáticamente el secreto de los registros de acciones de GitHub. Sin embargo, el token puede ser truncado, lo que se pone en la parte del GitHub_Token que se mostrará en texto plano en los registros de acciones de GitHub. Cualquier persona con acceso de lectura al repositorio de GitHub puede ver registros de acciones de GitHub. Para los repositorios públicos, cualquiera puede ver los registros de acciones de GitHub. La oportunidad de explotar esta vulnerabilidad es limitada: el GitHub_Token se revoca automáticamente cuando se completa el trabajo. Sin embargo, hay una oportunidad para un ataque en el tiempo entre el GitHub_Token que se muestra en los registros y la finalización del trabajo. Los usuarios que usan la entrada GitHub-Token se ven afectados. Esta vulnerabilidad se fija en 1.0.1.
Gravedad CVSS v3.1: ALTA
Última modificación:
07/04/2025

Vulnerabilidad en conda-forge (CVE-2025-31484)

Fecha de publicación:
02/04/2025
Idioma:
Español
La infraestructura de conda-forge contiene configuraciones y ajustes comunes para componentes clave de la misma. Entre el 10/02/2025 y el 01/04/2025, la infraestructura de conda-forge utilizó el token incorrecto para el acceso a cf-staging de Azure. Este error impedía que cualquier responsable de feedstock cargara un paquete en el canal de conda-forge, omitiendo nuestro proceso de carga de feedstock-token. Se revisaron los registros de seguridad de anaconda.org para detectar paquetes que no se hubieran copiado de cf-staging al canal de conda-forge, pero no se encontró ninguno.
Gravedad CVSS v4.0: CRÍTICA
Última modificación:
07/04/2025

Vulnerabilidad en SourceCodester Online Tutor Portal 1.0 (CVE-2025-3119)

Fecha de publicación:
02/04/2025
Idioma:
Español
Se encontró una vulnerabilidad en SourceCodester Online Tutor Portal 1.0. Se ha declarado como crítico. Esta vulnerabilidad afecta el código desconocido del archivo /tutor/courses/manage_course.php. La manipulación de la identificación del argumento conduce a la inyección de SQL. El ataque se puede iniciar de forma remota. Se ha hecho público el exploit y puede que sea utilizado.
Gravedad CVSS v4.0: MEDIA
Última modificación:
09/04/2025

Vulnerabilidad en Arduino IDE (CVE-2025-27608)

Fecha de publicación:
02/04/2025
Idioma:
Español
Arduino IDE 2.x es un IDE basado en Theia IDE framework y creado con Electron. Se ha identificado una vulnerabilidad de Cross-Site Scripting (XSS) dentro del Arduino-IDE antes de la versión v2.3.5. La vulnerabilidad ocurre en el campo URLS de Administrador de placa adicional, que se puede encontrar en la sección Preferencias -> Configuración de la interfaz IDE Arduino. En las versiones vulnerables, los valores ingresados ??en este campo se muestran directamente al usuario a través de un objeto de información sobre herramientas de notificación, sin una rutina de codificación de salida adecuada, debido a la interpretación subyacente del motor ElectronJS. Esta vulnerabilidad expone el parámetro de entrada a los ataques AutoXSS, lo que puede conducir a riesgos de seguridad dependiendo de dónde se inyecte el payload malicioso. Esta vulnerabilidad se fija en 2.3.5.
Gravedad CVSS v4.0: BAJA
Última modificación:
07/04/2025

Vulnerabilidad en Next.js (CVE-2025-30218)

Fecha de publicación:
02/04/2025
Idioma:
Español
Next.js es un React framework para construir aplicaciones web de pila completa. Para mitigar CVE-2025-29927, Next.js validó el ID X-Middleware-subrequest que persistió en múltiples solicitudes entrantes. Sin embargo, esta ID de subrequest se envía a todas las solicitudes, incluso si el destino no es el mismo host que la aplicación Next.js. Iniciar una solicitud de recuperación a un tercero dentro de Middleware enviará el ID de subrequest de X-Middleware a ese tercero. Esta vulnerabilidad se fija en 12.3.6, 13.5.10, 14.2.26 y 15.2.4.
Gravedad CVSS v4.0: BAJA
Última modificación:
10/09/2025

Vulnerabilidad en HCL DevOps Deploy / HCL Launch (CVE-2025-0257)

Fecha de publicación:
02/04/2025
Idioma:
Español
HCL DevOps Deploy / HCL Launch podría permitir el acceso no autorizado a otros servicios o la exposición potencial de datos confidenciales debido a la falta de autenticación en su servicio de retransmisión de agentes.
Gravedad CVSS v3.1: MEDIA
Última modificación:
10/04/2025

Vulnerabilidad en PEXIP Infinity 29 (CVE-2025-30080)

Fecha de publicación:
02/04/2025
Idioma:
Español
La señalización en PEXIP Infinity 29 a 36.2 antes de 37.0 tiene una validación de entrada inadecuada que permite a los atacantes remotos activar una negación temporal de servicio (aborto de software).
Gravedad CVSS v3.1: ALTA
Última modificación:
18/06/2025

Vulnerabilidad en SourceCodester Online Tutor Portal 1.0 (CVE-2025-3118)

Fecha de publicación:
02/04/2025
Idioma:
Español
Se encontró una vulnerabilidad en SourceCodester Online Tutor Portal 1.0. Se ha clasificado como crítico. Esto afecta a una parte desconocida del archivo /tutor/courses/view_course.php. La manipulación de la identificación del argumento conduce a la inyección de SQL. Es posible iniciar el ataque de forma remota. Se ha hecho público el exploit y puede que sea utilizado.
Gravedad CVSS v4.0: MEDIA
Última modificación:
10/04/2025

Vulnerabilidad en OS4ed OpenSis (CVE-2025-22923)

Fecha de publicación:
02/04/2025
Idioma:
Español
Un problema en OS4ed OpenSis V8.0 a V9.1 permite a los atacantes ejecutar a Directory Traversal y eliminar archivos enviando una solicitud POST manipulada a /Modules.Php?modName=users/staff.php&removeFile.
Gravedad CVSS v3.1: ALTA
Última modificación:
17/07/2025

Vulnerabilidad en OS4ed OpenSis (CVE-2025-22924)

Fecha de publicación:
02/04/2025
Idioma:
Español
OS4ed OpenSis V7.0 a V9.1 contiene una vulnerabilidad de inyección SQL a través del parámetro STU_ID AT /Modules/students/student.php.
Gravedad CVSS v3.1: ALTA
Última modificación:
29/04/2025

Vulnerabilidad en OS4ed OpenSis (CVE-2025-22925)

Fecha de publicación:
02/04/2025
Idioma:
Español
Se descubrió que OS4ed OpenSis v7.0 a V9.1 contenía una vulnerabilidad de inyección SQL a través del parámetro de tabla AT /Attendance/AttendancEcodes.php. El atacante remoto y autenticado requiere que el rol de administración explote con éxito esta vulnerabilidad.
Gravedad CVSS v3.1: ALTA
Última modificación:
29/04/2025