Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las ultimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las ultimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las ultimas vulnerabilidades incorporadas al repositorio.

Vulnerabilidad en HTMLSanitizer.jl (CVE-2025-52561)

Fecha de publicación:
23/06/2025
Idioma:
Español
HTMLSanitizer.jl es un depurador de HTML basado en listas blancas. Antes de la versión 0.2.1, al añadir la etiqueta de estilo a la lista blanca, el contenido dentro de la etiqueta se eliminaba incorrectamente del escape, y las etiquetas de cierre inyectadas como contenido se interpretaban como HTML real, lo que permitía la inyección de etiquetas y la ejecución de JavaScript. Esto podía provocar cross-site scripting (XSS) en cualquier HTML depurado con esta librería. Este problema se ha corregido en la versión 0.2.1. Una solución alternativa consiste en añadir manualmente los elementos math y SVG a la lista blanca.
Gravedad CVSS v4.0: MEDIA
Última modificación:
26/06/2025

Vulnerabilidad en Convoy (CVE-2025-52562)

Fecha de publicación:
23/06/2025
Idioma:
Español
Convoy es un panel de administración de servidores KVM para empresas de hosting. En las versiones 3.9.0-rc3 y anteriores a la 4.4.1, existe una vulnerabilidad de navegación de directorios en el componente LocaleController de Performave Convoy. Un atacante remoto no autenticado puede explotar esta vulnerabilidad enviando una solicitud HTTP especialmente manipulada con parámetros de configuración regional y de espacio de nombres maliciosos. Esto permite al atacante incluir y ejecutar archivos PHP arbitrarios en el servidor. Este problema se ha corregido en la versión 4.4.1. Una solución temporal consiste en implementar reglas estrictas de firewall de aplicaciones web (WAF) para las solicitudes entrantes dirigidas a los endpoints vulnerables.
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
26/06/2025

Vulnerabilidad en langchain-ai/langchain (CVE-2025-2828)

Fecha de publicación:
23/06/2025
Idioma:
Español
Existe una vulnerabilidad de Server-Side Request Forgery (SSRF) en el componente RequestsToolkit del paquete langchain-community (en concreto, langchain_community.agent_toolkits.openapi.toolkit.RequestsToolkit) en la versión 0.0.27 de langchain-ai/langchain. Esta vulnerabilidad se debe a que el kit de herramientas no impone restricciones a las solicitudes a direcciones de internet remotas, lo que le permite acceder también a direcciones locales. Por lo tanto, un atacante podría explotar esta vulnerabilidad para realizar escaneos de puertos, acceder a servicios locales, recuperar metadatos de instancias de entornos en la nube (p. ej., Azure, AWS) e interactuar con servidores de la red local. Este problema se ha corregido en la versión 0.0.28.
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
16/07/2025

Vulnerabilidad en Mitel OpenScape Accounting Management (CVE-2025-23092)

Fecha de publicación:
23/06/2025
Idioma:
Español
Mitel OpenScape Accounting Management (versión V5 R1.1.0) podría permitir que un atacante autenticado con privilegios administrativos realice un ataque de path traversal debido a una depuración insuficiente de la entrada del usuario. Una explotación exitosa podría permitir que un atacante cargue archivos arbitrarios y ejecute comandos no autorizados.
Gravedad CVSS v3.1: ALTA
Última modificación:
26/06/2025

Vulnerabilidad en Mitel OpenScape Xpressions (CVE-2025-48026)

Fecha de publicación:
23/06/2025
Idioma:
Español
Una vulnerabilidad en el componente WebApl de Mitel OpenScape Xpressions (V7R1 FR5 HF43 P913) podría permitir que un atacante no autenticado realice un ataque de path traversal debido a una validación de entrada insuficiente. Una explotación exitosa podría permitir que un atacante lea archivos del sistema operativo subyacente y obtenga información confidencial.
Gravedad CVSS v3.1: ALTA
Última modificación:
24/06/2025

Vulnerabilidad en Quarkus (CVE-2025-49574)

Fecha de publicación:
23/06/2025
Idioma:
Español
Quarkus es un framework nativo de la nube (Linux) basado en contenedores para la escritura de aplicaciones Java. En versiones anteriores a la 3.24.0, existía una posible fuga de datos al duplicar un contexto duplicado. Quarkus utiliza ampliamente el contexto duplicado de Vert.x para implementar la propagación del contexto. Con la nueva semántica, los datos de una transacción pueden filtrarse a los de otra. Desde la perspectiva de Vert.x, esta nueva semántica clarifica el comportamiento. Una cantidad significativa de datos se almacena en el contexto duplicado, incluyendo el alcance de la solicitud, los detalles de seguridad y los metadatos. Duplicar un contexto duplicado es bastante inusual y solo ocurre en algunos lugares. Este problema se ha corregido en la versión 3.24.0.
Gravedad CVSS v3.1: MEDIA
Última modificación:
22/12/2025

Vulnerabilidad en NCR Terminal Handler v.1.5.1 (CVE-2023-47030)

Fecha de publicación:
23/06/2025
Idioma:
Español
Un problema en NCR Terminal Handler v.1.5.1 permite a un atacante remoto ejecutar código arbitrario y obtener información confidencial a través de una solicitud GET a un endpoint de API SOAP UserService para validar si un usuario existe.
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
25/06/2025

Vulnerabilidad en Texas Instruments LP-CC2652RB SimpleLink CC13XX CC26XX SDK 7.41.00.17 (CVE-2025-44528)

Fecha de publicación:
23/06/2025
Idioma:
Español
Un problema en Texas Instruments LP-CC2652RB SimpleLink CC13XX CC26XX SDK 7.41.00.17 permite a los atacantes provocar una denegación de servicio (DoS) mediante el envío de un paquete LL_Pause_Enc_Req manipulado durante la fase de autenticación y conexión, lo que provoca una denegación de servicio (DoS).
Gravedad CVSS v3.1: ALTA
Última modificación:
24/06/2025

Vulnerabilidad en WhiteBeam (CVE-2021-47688)

Fecha de publicación:
23/06/2025
Idioma:
Español
En WhiteBeam 0.2.0 a 0.2.1 antes de 0.2.2, un usuario con acceso local a un servidor puede omitir la funcionalidad de lista blanca porque un archivo se puede truncar en la acción OpenFileDescriptor antes de que se realice la acción VerifyCanWrite.
Gravedad CVSS v3.1: MEDIA
Última modificación:
23/06/2025

Vulnerabilidad en PySpur-Dev pyspur (CVE-2025-6518)

Fecha de publicación:
23/06/2025
Idioma:
Español
Se encontró una vulnerabilidad en PySpur-Dev pyspur (hasta la versión 0.1.18). Se ha clasificado como crítica. La función SingleLLMCallNode del archivo backend/pyspur/nodes/llm/single_llm_call.py del componente Jinja2 Template Handler se ve afectada. La manipulación del argumento user_message provoca la neutralización incorrecta de elementos especiales utilizados en un motor de plantillas. Es posible ejecutar el ataque de forma remota. Se ha hecho público el exploit y puede que sea utilizado.
Gravedad CVSS v4.0: MEDIA
Última modificación:
23/06/2025

Vulnerabilidad en pbkdf2 (CVE-2025-6545)

Fecha de publicación:
23/06/2025
Idioma:
Español
La vulnerabilidad de validación de entrada incorrecta en pbkdf2 permite la suplantación de firma mediante validación incorrecta. Esta vulnerabilidad está asociada con los archivos de programa lib/to-buffer.Js. Este problema afecta a pbkdf2 desde la versión 3.0.10 hasta la 3.1.2.
Gravedad CVSS v4.0: CRÍTICA
Última modificación:
23/06/2025

Vulnerabilidad en pbkdf2 (CVE-2025-6547)

Fecha de publicación:
23/06/2025
Idioma:
Español
La vulnerabilidad de validación de entrada incorrecta en pbkdf2 permite la suplantación de firma mediante una validación incorrecta. Este problema afecta a pbkdf2: <=3.1.2.
Gravedad CVSS v4.0: CRÍTICA
Última modificación:
23/06/2025