Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las ultimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las ultimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las ultimas vulnerabilidades incorporadas al repositorio.

Vulnerabilidad en Vega (CVE-2025-25304)

Fecha de publicación:

14/02/2025

Idioma:

Español

Vega es una gramática de visualización, un formato declarativo para crear, guardar y compartir diseños de visualización interactivos. Antes de la versión 5.26.0 de vega y 5.4.2 de vega-selections, la función `vlSelectionTuples` se puede utilizar para llamar a funciones de JavaScript, lo que conduce a Cross Site Scripting. `vlSelectionTuples` llama a múltiples funciones que pueden ser controladas por un atacante, incluida una llamada con un argumento controlado por el atacante. Esto se puede utilizar para llamar a `Function()` con JavaScript arbitrario y la función resultante se puede llamar con `vlSelectionTuples` o utilizando una coerción de tipo para llamar a `toString` o `valueOf`. La versión 5.26.0 de vega y 5.4.2 de vega-selections solucionan este problema.

Gravedad CVSS v4.0: MEDIA

Última modificación:

14/02/2025

Vulnerabilidad en @octokit/request-error (CVE-2025-25289)

Fecha de publicación:

14/02/2025

Idioma:

Español

@octokit/request-error es una clase de error para los errores de solicitud de Octokit. A partir de la versión 1.0.0 y antes de la versión 6.1.7, existe una vulnerabilidad de denegación de servicio de expresión regular (ReDoS) en el procesamiento de encabezados de solicitud HTTP. Al enviar un encabezado de autorización que contiene una secuencia excesivamente larga de espacios seguidos de una nueva línea y "@", un atacante puede explotar un procesamiento ineficiente de expresiones regulares, lo que lleva a un consumo excesivo de recursos. Esto puede degradar significativamente el rendimiento del servidor o causar una condición de denegación de servicio (DoS), lo que afecta la disponibilidad. La versión 6.1.7 contiene una solución para el problema.

Gravedad CVSS v3.1: MEDIA

Última modificación:

14/02/2025

Vulnerabilidad en @octokit/request (CVE-2025-25290)

Fecha de publicación:

14/02/2025

Idioma:

Español

@octokit/request envía solicitudes parametrizadas a las API de GitHub con valores predeterminados razonables en los navegadores y Node. A partir de la versión 1.0.0 y antes de la versión 9.2.1, la expresión regular `/&lt;([^&gt;]+)&gt;; rel="deprecation"/` utilizada para hacer coincidir el encabezado `link` en las respuestas HTTP es vulnerable a un ataque ReDoS (denegación de servicio de expresión regular). Esta vulnerabilidad surge debido a la naturaleza ilimitada del comportamiento de coincidencia de la expresión regular, que puede provocar un retroceso catastrófico al procesar una entrada especialmente manipulada. Un atacante podría explotar esta falla enviando un encabezado `link` malicioso, lo que resultaría en un uso excesivo de la CPU y potencialmente causaría que el servidor dejara de responder, lo que afectaría la disponibilidad del servicio. La versión 9.2.1 corrige el problema.

Gravedad CVSS v3.1: MEDIA

Última modificación:

16/01/2026

Vulnerabilidad en @octokit/endpoint (CVE-2025-25285)

Fecha de publicación:

14/02/2025

Idioma:

Español

@octokit/endpoint convierte los endpoints de la API REST en opciones de solicitud genéricas. A partir de la versión 4.1.0 y antes de la versión 10.1.3, al crear parámetros `options` específicos, se puede activar la llamada `endpoint.parse(options)`, lo que lleva a un ataque de denegación de servicio de expresión regular (ReDoS). Esto hace que el programa se cuelgue y da como resultado un alto uso de la CPU. El problema ocurre en la función `parse` dentro del archivo `parse.ts` del paquete npm `@octokit/endpoint`. La versión 10.1.3 contiene un parche para el problema.

Gravedad CVSS v3.1: MEDIA

Última modificación:

14/02/2025

Vulnerabilidad en @octokit/plugin-paginate-rest (CVE-2025-25288)

Fecha de publicación:

14/02/2025

Idioma:

Español

@octokit/plugin-paginate-rest es el complemento de Octokit para paginar las respuestas de los endpoints de la API REST. En las versiones que comienzan con la 1.0.0 y anteriores a la 11.4.1 del paquete npm `@octokit/plugin-paginate-rest`, al llamar a `octokit.paginate.iterator()`, una instancia de `octokit` especialmente manipulada (en particular, con un parámetro `link` malicioso en la sección `headers` de `request`) puede desencadenar un ataque ReDoS. La versión 11.4.1 contiene una solución para el problema.

Gravedad CVSS v3.1: MEDIA

Última modificación:

14/02/2025

Vulnerabilidad en Mattermost (CVE-2025-0503)

Fecha de publicación:

14/02/2025

Idioma:

Español

Las versiones 9.11.x &lt;= 9.11.6 de Mattermost no pueden filtrar los mensajes directos del endpoint de canales eliminados, lo que permite a un atacante inferir las identificaciones de usuario y otros metadatos de los mensajes directos eliminados si alguien había marcado manualmente los mensajes directos como eliminados en la base de datos.

Gravedad CVSS v3.1: BAJA

Última modificación:

29/09/2025

Vulnerabilidad en Source Code and Project Beauty Parlour Management System V1.1 (CVE-2025-26157)

Fecha de publicación:

14/02/2025

Idioma:

Español

Se encontró una vulnerabilidad de inyección SQL en /bpms/index.php en Source Code and Project Beauty Parlour Management System V1.1, que permite a atacantes remotos ejecutar código arbitrario a través del parámetro de solicitud POST de nombre.

Gravedad CVSS v3.1: MEDIA

Última modificación:

06/06/2025

Vulnerabilidad en Kashipara Online Attendance Management System V1.0 (CVE-2025-26158)

Fecha de publicación:

14/02/2025

Idioma:

Español

Se descubrió una vulnerabilidad de Cross Site Scripting (XSS) almacenado en la página manage-employee.php del Kashipara Online Attendance Management System V1.0. Esta vulnerabilidad permite a atacantes remotos ejecutar secuencias de comandos arbitrarias a través del parámetro department.

Gravedad CVSS v3.1: MEDIA

Última modificación:

06/06/2025

Vulnerabilidad en FeMiner wms v.1.0 (CVE-2025-25997)

Fecha de publicación:

14/02/2025

Idioma:

Español

La vulnerabilidad de Directory Traversal en FeMiner wms v.1.0 permite a un atacante remoto obtener información confidencial a través del componente databak.php.

Gravedad CVSS v3.1: ALTA

Última modificación:

13/05/2025

Vulnerabilidad en PHPGurukul Online Shopping Portal v2.1 (CVE-2025-26156)

Fecha de publicación:

14/02/2025

Idioma:

Español

Se encontró una vulnerabilidad de inyección SQL en /shopping/track-orders.php en PHPGurukul Online Shopping Portal v2.1, que permite a atacantes remotos ejecutar código arbitrario a través del parámetro de solicitud POST orderid.

Gravedad CVSS v3.1: ALTA

Última modificación:

02/04/2025

Vulnerabilidad en HP LaserJet Pro, HP LaserJet Enterprise y HP LaserJet Managed (CVE-2025-26508)

Fecha de publicación:

14/02/2025

Idioma:

Español

Algunas impresoras HP LaserJet Pro, HP LaserJet Enterprise y HP LaserJet Managed pueden ser potencialmente vulnerables a la ejecución remota de código y a la elevación de privilegios al procesar un trabajo de impresión PostScript.

Gravedad CVSS v4.0: ALTA

Última modificación:

15/01/2026