Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las ultimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las ultimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las ultimas vulnerabilidades incorporadas al repositorio.

Vulnerabilidad en Siemens AG (CVE-2025-30174)

Fecha de publicación:
13/05/2025
Idioma:
Español
Se ha identificado una vulnerabilidad en SIMATIC PCS neo V4.1 (todas las versiones), SIMATIC PCS neo V5.0 (todas las versiones), SINEC NMS (todas las versiones), SINEMA Remote Connect (todas las versiones), Totally Integrated Automation Portal (TIA Portal) V17 (todas las versiones), Totally Integrated Automation Portal (TIA Portal) V18 (todas las versiones), Totally Integrated Automation Portal (TIA Portal) V19 (todas las versiones), Totally Integrated Automation Portal (TIA Portal) V20 (todas las versiones) y User Management Component (UMC) (todas las versiones anteriores a la V2.15.1.1). Los productos afectados presentan una vulnerabilidad de desbordamiento de búfer de lectura fuera de los límites en el componente UMC integrado. Esto podría permitir que un atacante remoto no autenticado provoque una denegación de servicio.
Gravedad CVSS v4.0: ALTA
Última modificación:
03/10/2025

Vulnerabilidad en VMware (CVE-2025-22248)

Fecha de publicación:
13/05/2025
Idioma:
Español
La imagen de Docker bitnami/pgpool y el diagrama k8s bitnami/postgres-ha, en la configuración predeterminada, incluyen el usuario "repmgr" que permite el acceso no autenticado a la base de datos dentro del clúster. PGPOOL_SR_CHECK_USER es el usuario que Pgpool utiliza para realizar comprobaciones de replicación en streaming en los nodos y no debe tener un nivel de confianza. Esto permite iniciar sesión en una base de datos PostgreSQL con el usuario "repmgr" sin autenticación. Si Pgpool se expone externamente, un atacante podría usar este usuario para acceder al servicio. Esto también está presente en el diagrama Helm de Kubernetes bitnami/postgres-ha.
Gravedad CVSS v4.0: CRÍTICA
Última modificación:
18/07/2025

Vulnerabilidad en SIRIUS 3RK3 Modular Safety System y SIRIUS Safety Relays 3SK2 (CVE-2025-24007)

Fecha de publicación:
13/05/2025
Idioma:
Español
Se ha identificado una vulnerabilidad en SIRIUS 3RK3 Modular Safety System (MSS) (todas las versiones), SIRIUS Safety Relays 3SK2 (todas las versiones). Los dispositivos afectados solo ofrecen ofuscación de contraseñas débiles. Un atacante con acceso a la red podría recuperar y desofuscar la contraseña de seguridad utilizada para protegerse contra errores operativos involuntarios.
Gravedad CVSS v4.0: ALTA
Última modificación:
13/05/2025

Vulnerabilidad en SIRIUS 3RK3 Modular Safety System y SIRIUS Safety Relays 3SK2 (CVE-2025-24008)

Fecha de publicación:
13/05/2025
Idioma:
Español
Se ha identificado una vulnerabilidad en SIRIUS 3RK3 Modular Safety System (MSS) (todas las versiones), SIRIUS Safety Relays 3SK2 (todas las versiones). Los dispositivos afectados no cifran los datos en tránsito. Un atacante con acceso a la red podría interceptar la conexión y obtener información confidencial, incluyendo contraseñas de seguridad ofuscadas.
Gravedad CVSS v4.0: ALTA
Última modificación:
13/05/2025

Vulnerabilidad en Polarion (CVE-2024-51444)

Fecha de publicación:
13/05/2025
Idioma:
Español
Se ha identificado una vulnerabilidad en Polarion V2310 (todas las versiones) y Polarion V2404 (todas las versiones anteriores a V2404.4). La aplicación no valida adecuadamente la entrada del usuario para las consultas de lectura de la base de datos. Esto podría permitir que un atacante remoto autenticado realice un ataque de inyección SQL que eluda los controles de autorización y permita descargar cualquier dato de la base de datos de la aplicación.
Gravedad CVSS v4.0: ALTA
Última modificación:
23/09/2025

Vulnerabilidad en Polarion (CVE-2024-51445)

Fecha de publicación:
13/05/2025
Idioma:
Español
Se ha identificado una vulnerabilidad en Polarion V2310 (todas las versiones) y Polarion V2404 (todas las versiones anteriores a V2404.4). La aplicación afectada contiene una vulnerabilidad de inyección de entidades externas XML (XXE) en la función de importación de docx. Esto podría permitir que un atacante remoto autenticado lea datos arbitrarios del servidor de aplicaciones.
Gravedad CVSS v4.0: ALTA
Última modificación:
23/09/2025

Vulnerabilidad en Polarion (CVE-2024-51446)

Fecha de publicación:
13/05/2025
Idioma:
Español
Se ha identificado una vulnerabilidad en Polarion V2310 (todas las versiones) y Polarion V2404 (todas las versiones anteriores a V2404.4). La función de carga de archivos de la aplicación afectada depura incorrectamente los archivos XML. Esto podría permitir que un atacante remoto autenticado realice un ataque de Cross-Site Scripting almacenados mediante la carga de archivos XML especialmente manipulados que posteriormente son descargados y vistos por otros usuarios de la aplicación.
Gravedad CVSS v4.0: MEDIA
Última modificación:
23/09/2025

Vulnerabilidad en Polarion (CVE-2024-51447)

Fecha de publicación:
13/05/2025
Idioma:
Español
Se ha identificado una vulnerabilidad en Polarion V2310 (todas las versiones) y Polarion V2404 (todas las versiones anteriores a V2404.2). La implementación de inicio de sesión de la aplicación afectada presenta una vulnerabilidad de discrepancia de respuesta observable al validar nombres de usuario. Esto podría permitir que un atacante remoto no autenticado distinga entre nombres de usuario válidos e inválidos.
Gravedad CVSS v4.0: MEDIA
Última modificación:
22/08/2025

Vulnerabilidad en Desigo CC (CVE-2024-23815)

Fecha de publicación:
13/05/2025
Idioma:
Español
Se ha identificado una vulnerabilidad en Desigo CC (todas las versiones si se permite el acceso desde clientes instalados al servidor de Desigo CC desde redes fuera de una zona de alta protección). La aplicación de servidor afectada no autentica solicitudes específicas del cliente. La modificación del binario del cliente podría permitir que un atacante remoto no autenticado ejecute consultas SQL arbitrarias en la base de datos del servidor a través del puerto de eventos (predeterminado: 4998/tcp).
Gravedad CVSS v4.0: ALTA
Última modificación:
13/05/2025

Vulnerabilidad en Schneider Electric SE (CVE-2025-3916)

Fecha de publicación:
13/05/2025
Idioma:
Español
CWE-121: Existe una vulnerabilidad de desbordamiento de búfer basada en pila que podría provocar que atacantes locales puedan explotar estos problemas para potencialmente ejecutar código arbitrario mientras el usuario final abre un archivo de proyecto malicioso (archivo SSD) proporcionado por el atacante.
Gravedad CVSS v4.0: MEDIA
Última modificación:
13/05/2025

Vulnerabilidad en SMA Solar Technology AG (CVE-2025-41645)

Fecha de publicación:
13/05/2025
Idioma:
Español
Un atacante remoto no autenticado podría usar una cuenta de demostración del portal para secuestrar dispositivos que se crearon en esa cuenta por error.
Gravedad CVSS v3.1: ALTA
Última modificación:
13/05/2025

Vulnerabilidad en Apache Superset (CVE-2025-27696)

Fecha de publicación:
13/05/2025
Idioma:
Español
Una vulnerabilidad de autorización incorrecta en Apache Superset permite que usuarios autenticados con permisos de lectura asuman la propiedad de paneles, gráficos o conjuntos de datos. Este problema afecta a Apache Superset hasta la versión 4.1.1. Se recomienda actualizar a la versión 4.1.2 o superior, que soluciona el problema.
Gravedad CVSS v4.0: MEDIA
Última modificación:
29/09/2025