Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las últimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las últimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las últimas vulnerabilidades incorporadas al repositorio.

Vulnerabilidad en Iglu Server (CVE-2024-47212)

Fecha de publicación:

03/04/2025

Idioma:

Español

Se detectó un problema en Iglu Server 0.13.0 y versiones anteriores. Este problema implica el envío de payloads muy grandes a un endpoint de API específico de Iglu Server, lo que puede dejarlo completamente inoperante. Si no se restablece el funcionamiento de Iglu Server, el procesamiento de eventos en la canalización podría detenerse.

Gravedad CVSS v3.1: ALTA

Última modificación:

08/04/2025

Vulnerabilidad en Enrich (CVE-2024-47213)

Fecha de publicación:

03/04/2025

Idioma:

Español

Se detectó un problema que afectaba a Enrich 5.1.0 y versiones anteriores. Este problema implicaba el envío de un evento Snowplow malintencionado a la canalización. Al recibir este evento e intentar validarlo, Enrich se bloqueaba e intentaba reiniciarse indefinidamente. Como resultado, se detenía el procesamiento del evento.

Gravedad CVSS v3.1: ALTA

Última modificación:

23/04/2025

Vulnerabilidad en Iglu Server (CVE-2024-47214)

Fecha de publicación:

03/04/2025

Idioma:

Español

Se descubrió un problema en Iglu Server 0.13.0 y anteriores. Es similar a CVE-2024-47212, pero implica un tipo diferente de payload. Como se mencionó anteriormente, puede dejar a Iglu Server completamente inoperante. Si no se restablece el funcionamiento de Iglu Server, el procesamiento de eventos en la canalización podría detenerse.

Gravedad CVSS v3.1: ALTA

Última modificación:

10/04/2025

Vulnerabilidad en Snowbridge (CVE-2024-47215)

Fecha de publicación:

03/04/2025

Idioma:

Español

Se detectó un problema en las configuraciones de Snowbridge que envían datos al servidor de Google Tag Manager. Este problema implica adjuntar un encabezado de vista previa de GTM SS no válido a los eventos, lo que provoca que se reintenten indefinidamente. Como resultado, el rendimiento general del reenvío de eventos a GTM SS puede verse afectado (latencia y rendimiento).

Gravedad CVSS v3.1: ALTA

Última modificación:

23/04/2025

Vulnerabilidad en Iglu Server (CVE-2024-47217)

Fecha de publicación:

03/04/2025

Idioma:

Español

Se detectó un problema en Iglu Server 0.13.0 y anteriores. Es similar a CVE-2024-47214, pero afecta a un endpoint autenticado. Puede dejar a Iglu Server completamente inoperante. Si no se restablece el funcionamiento de Iglu Server, el procesamiento de eventos en la canalización podría detenerse.

Gravedad CVSS v3.1: MEDIA

Última modificación:

08/04/2025

Vulnerabilidad en Insightsoftware Hive JDBC (CVE-2024-45199)

Fecha de publicación:

03/04/2025

Idioma:

Español

Insightsoftware Hive JDBC hasta la versión 2.6.13 presenta una vulnerabilidad de ejecución remota de código. Los atacantes pueden inyectar parámetros maliciosos en la URL de JDBC, lo que desencadena la inyección de JNDI durante el proceso cuando el controlador JDBC utiliza esta URL para conectarse a la base de datos. Esto puede provocar la ejecución remota de código.

Gravedad CVSS v3.1: ALTA

Última modificación:

15/04/2026

Vulnerabilidad en Project Worlds Online Lawyer Management System 1.0 (CVE-2025-3176)

Fecha de publicación:

03/04/2025

Idioma:

Español

Se encontró una vulnerabilidad en Project Worlds Online Lawyer Management System 1.0. Se ha clasificado como crítica. Afecta una parte desconocida del archivo /single_lawyer.php. La manipulación del argumento u_id provoca una inyección SQL. Es posible iniciar el ataque de forma remota. Se ha hecho público el exploit y puede que sea utilizado.

Gravedad CVSS v4.0: MEDIA

Última modificación:

15/05/2025

Vulnerabilidad en FastCMS 0.1.5 (CVE-2025-3177)

Fecha de publicación:

03/04/2025

Idioma:

Español

Se encontró una vulnerabilidad en FastCMS 0.1.5. Se ha declarado crítica. Esta vulnerabilidad afecta al código desconocido del componente JWT Handler. La manipulación implica el uso de una clave criptográfica predefinida. El ataque puede iniciarse en remoto. Es un ataque de complejidad bastante alta. Parece difícil de explotar. Se ha hecho público el exploit y puede que sea utilizado.

Gravedad CVSS v4.0: BAJA

Última modificación:

08/04/2025

Vulnerabilidad en CrushFTP 10 (CVE-2025-31161)

Fecha de publicación:

03/04/2025

Idioma:

Español

CrushFTP 10 anterior a la 10.8.4 y 11 anterior a la 11.3.1 permite omitir la autenticación y tomar el control de la cuenta crushadmin (a menos que se utilice una instancia de proxy DMZ), como se explotó en marzo y abril de 2025, también conocido como "Acceso al puerto HTTP(S) sin autenticar". Existe una condición de ejecución en el método de autorización AWS4-HMAC (compatible con S3) del componente HTTP del servidor FTP. El servidor verifica primero la existencia del usuario mediante una llamada a login_user_pass() sin necesidad de contraseña. Esto autenticará la sesión mediante el proceso de verificación HMAC hasta que el servidor vuelva a verificar la verificación del usuario. La vulnerabilidad se puede estabilizar aún más, eliminando la necesidad de activar una condición de ejecución, mediante el envío de un encabezado AWS4-HMAC alterado. Al proporcionar únicamente el nombre de usuario y una barra diagonal (/), el servidor encontrará un nombre de usuario, lo que activará la autenticación anypass. Sin embargo, no encontrará la entrada SignedHeaders esperada, lo que generará un error de indexación fuera de los límites que impedirá que el código complete la limpieza de la sesión. En conjunto, estos problemas dificultan la autenticación con cualquier usuario conocido o indeterminado (p. ej., crushadmin) y pueden comprometer por completo el sistema al obtener una cuenta administrativa.

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

31/10/2025

Vulnerabilidad en generator-jhipster-entity-audit (CVE-2025-31119)

Fecha de publicación:

03/04/2025

Idioma:

Español

generator-jhipster-entity-audit es un módulo de JHipster que habilita la auditoría de entidades y la página de registro de auditoría. En versiones anteriores a la versión 5.9.1, generator-jhipster-entity-audit permitía la reflexión insegura al seleccionar Javers como marco de auditoría de entidades. Si un atacante logra insertar clases maliciosas en la ruta de clases y, además, tiene acceso a estas interfaces REST para llamar a los endpoints REST mencionados, el uso de estas líneas de código puede provocar la ejecución remota no intencionada de código. Esta vulnerabilidad se corrigió en la versión 5.9.1.

Gravedad CVSS v3.1: ALTA

Última modificación:

15/04/2026

Vulnerabilidad en API Platform Core (CVE-2025-31481)

Fecha de publicación:

03/04/2025

Idioma:

Español

API Platform Core es un sistema para crear API REST y GraphQL basadas en hipermedia. Mediante el tipo de nodo especial Relay, se puede eludir la seguridad configurada en una operación. Esta vulnerabilidad se corrigió en la versión 4.0.22.

Gravedad CVSS v3.1: ALTA

Última modificación:

15/04/2026

Vulnerabilidad en API Platform Core (CVE-2025-31485)

Fecha de publicación:

03/04/2025

Idioma:

Español

API Platform Core es un sistema para crear API REST y GraphQL basadas en hipermedia. Antes de la versión 4.0.22, una concesión GraphQL en una propiedad podía almacenarse en caché con diferentes objetos. El método ApiPlatform\GraphQl\Serializer\ItemNormalizer::isCacheKeySafe() impide el almacenamiento en caché, pero el método parent::normalize, que se invoca posteriormente, sigue creando la clave de caché y causando el problema. Esta vulnerabilidad se corrigió en la versión 4.0.22.

Gravedad CVSS v3.1: ALTA

Última modificación:

15/04/2026

Suscribirse a Vulnerabilidades