Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las ultimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las ultimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las ultimas vulnerabilidades incorporadas al repositorio.

Vulnerabilidad en PwnDoc (CVE-2025-23044)

Fecha de publicación:

20/01/2025

Idioma:

Español

PwnDoc es un generador de informes de pruebas de penetración. No hay protección CSRF en pwndoc, lo que permite a los atacantes enviar solicitudes en nombre de un usuario conectado. Esto incluye solicitudes GET y POST debido a la falta del atributo SameSite= en las cookies y la capacidad de actualizar las cookies. El commit 14acb704891245bf1703ce6296d62112e85aa995 soluciona el problema.

Gravedad CVSS v3.1: MEDIA

Última modificación:

07/05/2025

Vulnerabilidad en WeGIA (CVE-2025-23218)

Fecha de publicación:

20/01/2025

Idioma:

Español

WeGIA es un gestor web de código abierto centrado en el idioma portugués y en instituciones benéficas. Se identificó una vulnerabilidad de inyección SQL en la aplicación WeGIA, concretamente en el archivo endpoint adicionar_especie.php. Esta vulnerabilidad permite a los atacantes ejecutar comandos SQL arbitrarios en la base de datos, lo que permite el acceso no autorizado a información sensible. Durante la explotación, fue posible realizar un volcado completo de la base de datos de la aplicación, lo que pone de relieve la gravedad de la falla. Esta vulnerabilidad se ha corregido en la versión 3.2.10.

Gravedad CVSS v4.0: CRÍTICA

Última modificación:

28/02/2025

Vulnerabilidad en WeGIA (CVE-2025-23219)

Fecha de publicación:

20/01/2025

Idioma:

Español

WeGIA es un gestor web de código abierto centrado en el idioma portugués y en instituciones benéficas. Se identificó una vulnerabilidad de inyección SQL en la aplicación WeGIA, concretamente en el archivo endpoint adicionar_cor.php. Esta vulnerabilidad permite a los atacantes ejecutar comandos SQL arbitrarios en la base de datos, lo que permite el acceso no autorizado a información sensible. Durante la explotación, fue posible realizar un volcado completo de la base de datos de la aplicación, lo que pone de relieve la gravedad de la falla. Esta vulnerabilidad se ha corregido en la versión 3.2.10.

Gravedad CVSS v4.0: CRÍTICA

Última modificación:

28/02/2025

Vulnerabilidad en WeGIA (CVE-2025-23220)

Fecha de publicación:

20/01/2025

Idioma:

Español

WeGIA es un gestor web de código abierto centrado en el idioma portugués y en instituciones benéficas. Se identificó una vulnerabilidad de inyección SQL en la aplicación WeGIA, concretamente en el archivo endpoint adicionar_raca.php. Esta vulnerabilidad permite a los atacantes ejecutar comandos SQL arbitrarios en la base de datos, lo que permite el acceso no autorizado a información sensible. Durante la explotación, fue posible realizar un volcado completo de la base de datos de la aplicación, lo que pone de relieve la gravedad de la falla. Esta vulnerabilidad se ha corregido en la versión 3.2.10.

Gravedad CVSS v4.0: CRÍTICA

Última modificación:

28/02/2025

Vulnerabilidad en Vite (CVE-2025-24010)

Fecha de publicación:

20/01/2025

Idioma:

Español

Vite es una herramienta de interfaz framework para JavaScript. Vite permitía que cualquier sitio web enviara solicitudes al servidor de desarrollo y leyera la respuesta debido a la configuración CORS predeterminada y la falta de validación en el encabezado Origin para las conexiones WebSocket. Esta vulnerabilidad se solucionó en 6.0.9, 5.4.12 y 4.5.6.

Gravedad CVSS v3.1: MEDIA

Última modificación:

19/09/2025

Vulnerabilidad en CodeIgniter (CVE-2025-24013)

Fecha de publicación:

20/01/2025

Idioma:

Español

CodeIgniter es una web PHP full-stack framework. Antes de la versión 4.5.8, CodeIgniter carecía de una validación de encabezado adecuada para su nombre y valor. El atacante potencial puede construir encabezados malformados deliberadamente con la clase Header. Esto podría interrumpir la funcionalidad de la aplicación, lo que podría causar errores o generar solicitudes HTTP no válidas. En algunos casos, estas solicitudes malformadas pueden conducir a un escenario de denegación de servicio (DoS) si el firewall de la aplicación web de un servicio remoto las interpreta como maliciosas y bloquea la comunicación con la aplicación. Esta vulnerabilidad se solucionó en la versión 4.5.8.

Gravedad CVSS v3.1: MEDIA

Última modificación:

01/08/2025

Vulnerabilidad en Sunshine (CVE-2024-51738)

Fecha de publicación:

20/01/2025

Idioma:

Español

Sunshine es un servidor de transmisión de juegos autoalojado para Moonlight. En la versión 0.23.1 y anteriores, la implementación del protocolo de emparejamiento de Sunshine no valida el orden de las solicitudes y, por lo tanto, es vulnerable a un ataque MITM, lo que potencialmente permite que un atacante no autenticado empareje un cliente secuestrando un intento de emparejamiento legítimo. Un atacante remoto también puede usar este error para bloquear Sunshine. Esta vulnerabilidad se corrigió en 2025.118.151840.

Gravedad CVSS v4.0: ALTA

Última modificación:

11/09/2025

Vulnerabilidad en PhpSpreadsheet (CVE-2025-22131)

Fecha de publicación:

20/01/2025

Idioma:

Español

PhpSpreadsheet es una librería de PHP para leer y escribir archivos de hojas de cálculo. Vulnerabilidad de Cross-Site Scripting (XSS) en el código que traduce el archivo XLSX a una representación HTML y lo muestra en la respuesta.

Gravedad CVSS v4.0: MEDIA

Última modificación:

06/03/2025

Vulnerabilidad en IBM Security Verify Access e IBM Security Verify Access Docker (CVE-2024-45647)

Fecha de publicación:

20/01/2025

Idioma:

Español

IBM Security Verify Access 10.0.0 a 10.0.8 e IBM Security Verify Access Docker 10.0.0 a 10.0.8 podrían permitir que un usuario no verificado cambie la contraseña de un usuario vencido sin conocimiento previo de dicha contraseña.

Gravedad CVSS v3.1: MEDIA

Última modificación:

29/01/2025

Vulnerabilidad en WriteFreely (CVE-2025-24337)

Fecha de publicación:

20/01/2025

Idioma:

Español

WriteFreely hasta 0.15.1, cuando se utiliza MySQL, permite a los usuarios locales descubrir credenciales leyendo config.ini.

Gravedad CVSS v3.1: ALTA

Última modificación:

20/01/2025

Vulnerabilidad en kernel de Linux (CVE-2025-21655)

Fecha de publicación:

20/01/2025

Idioma:

Español

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: io_uring/eventfd: garantizar que io_eventfd_signal() posponga otro período de RCU io_eventfd_do_signal() se invoca desde una devolución de llamada de RCU, pero al eliminar la referencia a io_ev_fd, llama a io_eventfd_free() directamente si El recuento cae a cero. Esto no es correcto, ya que cualquier posible liberación de io_ev_fd debería posponerse otro período de gracia de RCU. Simplemente llame a io_eventfd_put() en lugar de abrir el código dec-and-test y free, lo que lo diferirá correctamente a otro período de gracia de RCU.

Gravedad CVSS v3.1: MEDIA

Última modificación:

03/11/2025

Vulnerabilidad en OpenSSL Software Foundation (CVE-2024-13176)

Fecha de publicación:

20/01/2025

Idioma:

Español

Resumen del problema: Existe un canal lateral de temporización que potencialmente podría permitir recuperar la clave privada en el cálculo de la firma ECDSA. Resumen del impacto: Un canal lateral de temporización en los cálculos de firmas ECDSA podría permitir que un atacante recupere la clave privada. Sin embargo, para medir el tiempo se necesitaría acceso local a la aplicación de firma o una conexión de red muy rápida con baja latencia. Hay una señal de tiempo de alrededor de 300 nanosegundos cuando la palabra superior del valor nonce ECDSA invertido es cero. Esto puede suceder con una probabilidad significativa sólo para algunas de las curvas elípticas admitidas. En particular, la curva NIST P-521 se ve afectada. Para poder medir esta fuga, el proceso atacante debe estar ubicado en la misma computadora física o debe tener una conexión de red muy rápida con baja latencia. Por esa razón la severidad de esta vulnerabilidad es Baja.

Gravedad CVSS v3.1: MEDIA

Última modificación:

03/11/2025

Suscribirse a Vulnerabilidades