Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las ultimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las ultimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las ultimas vulnerabilidades incorporadas al repositorio.

Vulnerabilidad en passport-wsfed-saml2 (CVE-2025-46572)

Fecha de publicación:
06/05/2025
Idioma:
Español
passport-wsfed-saml2 proporciona una estrategia de pasaporte para los protocolos WS-fed y SAML2. Una vulnerabilidad, presente desde la versión 3.0.5 hasta la 4.6.3 incluida, permite a un atacante suplantar la identidad de cualquier usuario del inquilino Auth0 durante la autenticación SAML mediante la manipulación de una respuesta SAML. Esto se puede lograr utilizando un objeto SAML válido firmado por el IdP configurado. Los usuarios se ven afectados específicamente cuando el proveedor de servicios utiliza passport-wsfed-saml2 y se puede obtener un documento SAML válido firmado por el proveedor de identidad. La versión 4.6.4 contiene una corrección para esta vulnerabilidad.
Gravedad CVSS v4.0: CRÍTICA
Última modificación:
07/05/2025

Vulnerabilidad en passport-wsfed-saml2 (CVE-2025-46573)

Fecha de publicación:
06/05/2025
Idioma:
Español
passport-wsfed-saml2 proporciona una estrategia de pasaporte para los protocolos WS-fed y SAML2. Una vulnerabilidad, presente desde la versión 3.0.5 hasta la 4.6.3 incluida, permite a un atacante suplantar la identidad de cualquier usuario durante la autenticación SAML alterando una respuesta SAML válida. Esto se puede lograr añadiendo atributos a la respuesta. Los usuarios se ven afectados específicamente cuando el proveedor de servicios utiliza `passport-wsfed-saml2` y se puede obtener una respuesta SAML válida firmada por el proveedor de identidad. La versión 4.6.4 contiene una corrección para esta vulnerabilidad.
Gravedad CVSS v4.0: ALTA
Última modificación:
07/05/2025

Vulnerabilidad en Crestron Automate VX (CVE-2025-47418)

Fecha de publicación:
06/05/2025
Idioma:
Español
La vulnerabilidad de exposición de información confidencial a un agente no autorizado en Crestron Automate VX permite el uso indebido de la funcionalidad. No hay ninguna indicación visible cuando el sistema está grabando, y la grabación se puede habilitar remotamente mediante una API de red. Este problema afecta a Automate VX desde la versión 5.6.8161.21536 hasta la 6.4.0.49.
Gravedad CVSS v4.0: MEDIA
Última modificación:
07/05/2025

Vulnerabilidad en Crestron Automate VX (CVE-2025-47419)

Fecha de publicación:
06/05/2025
Idioma:
Español
La vulnerabilidad de transmisión de información confidencial en texto plano en Crestron Automate VX permite rastrear el tráfico de red. El dispositivo permite el acceso a la interfaz web y la API a través de puertos de red no seguros, lo que expone información confidencial, como las contraseñas de los usuarios. Este problema afecta a Automate VX desde la versión 5.6.8161.21536 hasta la 6.4.0.49.
Gravedad CVSS v4.0: CRÍTICA
Última modificación:
07/05/2025

Vulnerabilidad en SeaCMS v13.3 (CVE-2025-44073)

Fecha de publicación:
06/05/2025
Idioma:
Español
Se descubrió que SeaCMS v13.3 contiene una vulnerabilidad de inyección SQL a través del componente admin_comment_news.php.
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
12/06/2025

Vulnerabilidad en Tenda RX3 V1.0br_V16.03.13.11 (CVE-2025-44899)

Fecha de publicación:
06/05/2025
Idioma:
Español
Hay una vulnerabilidad de desbordamiento de pila en Tenda RX3 V1.0br_V16.03.13.11 En la función fromSetWifiGusetBasic de la URL web /goform/ WifiGuestSet, la manipulación del parámetro shareSpeed provoca un desbordamiento de pila.
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
04/06/2025

Vulnerabilidad en Google (CVE-2025-0649)

Fecha de publicación:
06/05/2025
Idioma:
Español
La cadena de entrada JSON incorrecta en las versiones de servicio de Tensorflow de Google hasta la 2.18.0 permite una recursión potencialmente ilimitada que puede provocar un bloqueo del servidor.
Gravedad CVSS v4.0: ALTA
Última modificación:
31/07/2025

Vulnerabilidad en Libxmp (CVE-2025-47256)

Fecha de publicación:
06/05/2025
Idioma:
Español
Desde Libxmp hasta la versión 4.6.2 hay un desbordamiento de búfer basado en pila en depack_pha en loaders/prowizard/pha.c a través de un módulo rastreador de formato Pha mal formado en un archivo .mod.
Gravedad CVSS v3.1: MEDIA
Última modificación:
07/05/2025

Vulnerabilidad en Crestron Automate VX (CVE-2025-47417)

Fecha de publicación:
06/05/2025
Idioma:
Español
Vulnerabilidad de exposición de información sensible a un actor no autorizado en Crestron Automate VX permite el uso indebido de la funcionalidad. Cuando la opción "Habilitar imágenes de depuración" en Crestron Automate VX está activa, las instantáneas del vídeo capturado o fragmentos del mismo se almacenan localmente en el sistema, sin que haya indicios visibles de que esto ocurra. Este problema afecta a Automate VX desde la versión 5.6.8161.21536 hasta la 6.4.0.49.
Gravedad CVSS v4.0: MEDIA
Última modificación:
07/05/2025

Vulnerabilidad en Quarkus (CVE-2024-12225)

Fecha de publicación:
06/05/2025
Idioma:
Español
Se detectó una vulnerabilidad en Quarkus en el módulo quarkus-security-webauthn. El módulo Quarkus WebAuthn publica endpoints REST predeterminados para el registro e inicio de sesión de los usuarios, a la vez que permite a los desarrolladores proporcionar endpoints REST personalizados. Cuando los desarrolladores proporcionan endpoints REST personalizados, los endpoints predeterminados permanecen accesibles, lo que podría permitir a los atacantes obtener una cookie de inicio de sesión que no tiene un usuario correspondiente en la aplicación Quarkus o, dependiendo de cómo esté escrita la aplicación, podría corresponder a un usuario existente sin relación con el atacante actual, lo que permite a cualquiera iniciar sesión como un usuario existente con solo conocer su nombre de usuario.
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
31/07/2025

Vulnerabilidad en goshs (CVE-2025-46816)

Fecha de publicación:
06/05/2025
Idioma:
Español
goshs es un SimpleHTTPServer escrito en Go. A partir de la versión 0.3.4 y anteriores a la 1.0.5, ejecutar goshs sin argumentos permite que cualquiera pueda ejecutar comandos en el servidor. La función `dispatchReadPump` no verifica la opción `-c` de la CLI, lo que permite que cualquiera ejecute cualquier comando mediante websockets. La versión 1.0.5 corrige este problema.
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
07/05/2025

Vulnerabilidad en phpgt/Dom (CVE-2025-46820)

Fecha de publicación:
06/05/2025
Idioma:
Español
phpgt/Dom proporciona acceso a las API modernas de DOM. Las versiones de phpgt/Dom anteriores a la 4.1.8 exponen el token GITHUB_TOKEN en el artefacto de ejecución del flujo de trabajo de Dom. El archivo de flujo de trabajo ci.yml utiliza actions/upload-artifact@v4 para cargar el artefacto de compilación. Este artefacto es un archivo zip del directorio actual, que incluye el archivo .git/config generado automáticamente que contiene el token GITHUB_TOKEN de la ejecución. Dado que el artefacto se puede descargar antes de que finalice el flujo de trabajo, un atacante puede extraer el token del artefacto durante unos segundos y usarlo con la API de GitHub para enviar código malicioso o reescribir las confirmaciones de versiones en el repositorio. Cualquier usuario intermedio del repositorio puede verse afectado, pero el token solo debería ser válido mientras dure la ejecución del flujo de trabajo, lo que limita el tiempo de explotación. La versión 4.1.8 soluciona el problema.
Gravedad CVSS v3.1: ALTA
Última modificación:
07/05/2025