Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las ultimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las ultimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las ultimas vulnerabilidades incorporadas al repositorio.

Vulnerabilidad en ModSecurity (CVE-2025-47947)

Fecha de publicación:
21/05/2025
Idioma:
Español
ModSecurity es un motor de firewall de aplicaciones web (WAF) multiplataforma de código abierto para Apache, IIS y Nginx. Las versiones hasta la 2.9.8 incluida son vulnerables a denegación de servicio en un caso especial (en versiones estables): cuando el tipo de contenido del payload es `application/json` y existe al menos una regla que ejecuta la acción `sanitiseMatchedBytes`. Hay un parche disponible en la solicitud de incorporación de cambios 3389 y se espera que forme parte de la versión 2.9.9. No se conocen workarounds.
Gravedad CVSS v3.1: ALTA
Última modificación:
20/06/2025

Vulnerabilidad en SD-WAN Versa Concerto (CVE-2025-34026)

Fecha de publicación:
21/05/2025
Idioma:
Español
La plataforma de orquestación SD-WAN Versa Concerto es vulnerable a una omisión de autenticación en la configuración del proxy inverso Traefik, lo que permite a un atacante acceder a los endpoints administrativos. El endpoint interno del Actuador puede utilizarse para acceder a volcados de pila y registros de seguimiento. Se sabe que este problema afecta a Concerto desde la versión 12.1.2 hasta la 12.2.0. Otras versiones podrían ser vulnerables.
Gravedad CVSS v4.0: CRÍTICA
Última modificación:
23/01/2026

Vulnerabilidad en SD-WAN Versa Concerto (CVE-2025-34027)

Fecha de publicación:
21/05/2025
Idioma:
Español
La plataforma de orquestación SD-WAN Versa Concerto es vulnerable a una omisión de autenticación en la configuración del proxy inverso Traefik, lo que permite a un atacante acceder a los endpoints administrativos. El endpoint de carga de Spack puede aprovecharse para una escritura TOCTOU (Tiempo de Verificación a Tiempo de Uso) en combinación con una condición de ejecución para lograr la ejecución remota de código mediante la manipulación de la carga de rutas, lo que permite que un agente no autenticado logre la ejecución remota de código (RCE). Se sabe que este problema afecta a Concerto desde la versión 12.1.2 hasta la 12.2.0. Otras versiones podrían ser vulnerables.
Gravedad CVSS v4.0: CRÍTICA
Última modificación:
15/04/2026

Vulnerabilidad en Open edX (CVE-2025-47942)

Fecha de publicación:
21/05/2025
Idioma:
Español
La plataforma Open edX es una plataforma de gestión del aprendizaje. Antes de el commit 6740e75c0fdc7ba095baf88e9f5e4f3e15cfd8ba, edxapp no contaba con protección integrada contra la descarga del archivo python_lib.zip de los cursos, lo cual es preocupante, ya que suele contener código de calificación personalizado o respuestas a problemas del curso. Esto podría afectar a cualquier curso que utilice bloques de problemas personalizados con calificación de Python. El repositorio de configuración de OpenX cuenta con un parche desde 2016, una regla de Nginx, pero su propósito era solo una mitigación temporal. Dado que el repositorio de configuración ha quedado obsoleto y no hemos podido encontrar una protección similar en Tutor, es probable que la mayoría de las implementaciones no cuenten con protección contra la descarga de python_lib.zip. La mitigación recomendada, implementada en el commit 6740e75c0fdc7ba095baf88e9f5e4f3e15cfd8ba, restringe las descargas de python_lib.zip únicamente al equipo del curso y al personal/superusuarios del sitio.
Gravedad CVSS v3.1: MEDIA
Última modificación:
15/04/2026

Vulnerabilidad en OrangeHRM v.5.7 (CVE-2025-44040)

Fecha de publicación:
21/05/2025
Idioma:
Español
Un problema en OrangeHRM v.5.7 permite a un atacante escalar privilegios a través de UserService.php y la función checkFOrOldHash
Gravedad CVSS v3.1: ALTA
Última modificación:
13/10/2025

Vulnerabilidad en Vtiger CRM Open Source Edition v8.3.0 (CVE-2025-45753)

Fecha de publicación:
21/05/2025
Idioma:
Español
Una vulnerabilidad en Vtiger CRM Open Source Edition v8.3.0 permite a un atacante con privilegios de administrador ejecutar código PHP arbitrario explotando la funcionalidad de importación ZIP en la función de importación de módulos.
Gravedad CVSS v3.1: ALTA
Última modificación:
10/06/2025

Vulnerabilidad en FreeFloat FTP Server 1.0 (CVE-2025-5052)

Fecha de publicación:
21/05/2025
Idioma:
Español
Se detectó una vulnerabilidad crítica en FreeFloat FTP Server 1.0. Esta vulnerabilidad afecta a una funcionalidad desconocida del componente LS Command Handler. La manipulación provoca un desbordamiento del búfer. El ataque puede ejecutarse en remoto. Se ha hecho público el exploit y puede que sea utilizado.
Gravedad CVSS v4.0: MEDIA
Última modificación:
23/06/2025

Vulnerabilidad en FreeFloat FTP Server 1.0 (CVE-2025-5053)

Fecha de publicación:
21/05/2025
Idioma:
Español
Se ha detectado una vulnerabilidad clasificada como crítica en FreeFloat FTP Server 1.0. Este problema afecta a una funcionalidad desconocida del componente MDIR Command Handler. La manipulación provoca un desbordamiento del búfer. El ataque puede ejecutarse en remoto. Se ha hecho público el exploit y puede que sea utilizado.
Gravedad CVSS v4.0: MEDIA
Última modificación:
10/06/2025

Vulnerabilidad en FreeFloat FTP Server 1.0 (CVE-2025-5051)

Fecha de publicación:
21/05/2025
Idioma:
Español
Se ha detectado una vulnerabilidad crítica en FreeFloat FTP Server 1.0. Se ve afectada una función desconocida del componente BINARY Command Handler. La manipulación provoca un desbordamiento del búfer. Es posible ejecutar el ataque de forma remota. Se ha hecho público el exploit y puede que sea utilizado.
Gravedad CVSS v4.0: MEDIA
Última modificación:
23/06/2025

Vulnerabilidad en Vtiger CRM Open Source Edition v8.3.0 (CVE-2025-45755)

Fecha de publicación:
21/05/2025
Idioma:
Español
Existe una vulnerabilidad de Cross-Site Scripting (XSS) Almacenado en Vtiger CRM Open Source Edition v8.3.0, explotable mediante la función de importación de servicios. Un atacante puede crear un archivo CSV malicioso que contenga un payload XSS, asignada al campo "Nombre del servicio". Al cargar el archivo, la aplicación depura incorrectamente la entrada del usuario, lo que provoca la ejecución persistente del script.
Gravedad CVSS v3.1: MEDIA
Última modificación:
10/06/2025

Vulnerabilidad en Vertiv (CVE-2025-46412)

Fecha de publicación:
21/05/2025
Idioma:
Español
Los productos Vertiv afectados no protegen adecuadamente las funciones del servidor web que podrían permitir que un atacante eluda la autenticación.
Gravedad CVSS v4.0: CRÍTICA
Última modificación:
15/04/2026

Vulnerabilidad en AutomationDirect (CVE-2025-36535)

Fecha de publicación:
21/05/2025
Idioma:
Español
El servidor web integrado carece de autenticación y controles de acceso, lo que permite acceso remoto sin restricciones. Esto podría provocar cambios de configuración, interrupciones operativas o ejecución de código arbitrario, según el entorno y la funcionalidad expuesta.
Gravedad CVSS v4.0: CRÍTICA
Última modificación:
15/04/2026