Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

017 - Ir a la línea de ayuda en Ciberseguridad    Ir a Agenda     Ir a Sala de prensa     Ir a suscripción de boletines

Ir al buscador

Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las ultimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las ultimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las ultimas vulnerabilidades incorporadas al repositorio.

Vulnerabilidad en Qualifio (CVE-2025-0615)
Fecha de publicación:
21/01/2025
Idioma:
Español
Vulnerabilidad de validación de entrada en la Ruleta de la Fortuna de Qualifio. Esta vulnerabilidad permite a un atacante modificar un correo electrónico para que contenga el símbolo ‘+’ para acceder a la aplicación y ganar premios tantas veces como desee.
Gravedad CVSS v3.1: MEDIA
Última modificación:
21/01/2025

Vulnerabilidad en kernel de Linux (CVE-2024-57938)
Fecha de publicación:
21/01/2025
Idioma:
Español
En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: net/sctp: Evitar el desbordamiento de enteros de cierre automático en sctp_association_init() Si bien, de forma predeterminada, max_autoclose es igual a INT_MAX / HZ, se puede establecer net.sctp.max_autoclose en UINT_MAX. Hay un código en sctp_association_init() que, en consecuencia, puede provocar un desbordamiento.
Gravedad CVSS v3.1: MEDIA
Última modificación:
03/11/2025

Vulnerabilidad en kernel de Linux (CVE-2024-57932)
Fecha de publicación:
21/01/2025
Idioma:
Español
En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: gve: guard XDP xmit NDO on existing xdp queues En GVE, las colas XDP dedicadas solo existen cuando se instala un programa XDP y la interfaz está activa. Como tal, la devolución de llamada NDO XDP XMIT debe regresar temprano si alguna de estas condiciones es falsa. En el caso de que no haya un programa XDP cargado, priv->num_xdp_queues=0 que puede causar un error de división por cero, y en el caso de que la interfaz esté inactiva, num_xdp_queues permanece intacto para persistir el conteo de colas XDP para la siguiente interfaz activa, pero el puntero TX en sí sería NULL. La devolución de llamada XDP xmit también necesita sincronizarse con un dispositivo que esté pasando de abierto a cerrado. Esta sincronización ocurrirá a través del bit GVE_PRIV_FLAGS_NAPI_ENABLED junto con una llamadasynchronous_net(), que espera a que se completen las secciones críticas de RCU en el momento de la llamada.
Gravedad CVSS v3.1: MEDIA
Última modificación:
26/09/2025

Vulnerabilidad en kernel de Linux (CVE-2024-57933)
Fecha de publicación:
21/01/2025
Idioma:
Español
En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: gve: proteger las operaciones XSK ante la existencia de colas Este parche predica la habilitación y deshabilitación de los grupos XSK ante la existencia de colas. Tal como está, si la interfaz está inactiva, deshabilitar o habilitar los grupos XSK provocaría un bloqueo, ya que el puntero de cola RX sería NULL. El registro del grupo XSK se producirá como parte de la siguiente interfaz activa. De forma similar, xsk_wakeup debe protegerse contra la desaparición de colas mientras se ejecuta la función, por lo que se agrega una comprobación contra el indicador GVE_PRIV_FLAGS_NAPI_ENABLED para sincronizar con la desactivación del bit y elsynchronous_net() en gve_turndown.
Gravedad CVSS v3.1: MEDIA
Última modificación:
01/10/2025

Vulnerabilidad en kernel de Linux (CVE-2024-57930)
Fecha de publicación:
21/01/2025
Idioma:
Español
En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: tracing: Hacer que process_string() también permita matrices Para detectar un error común en el que un TP_fast_assign() de TRACE_EVENT() asigna una dirección de una cadena asignada al búfer de anillo y luego la referencia en TP_printk(), que se puede ejecutar horas después cuando la cadena está libre, la función test_event_printk() se ejecuta en todos los eventos a medida que se registran para asegurarse de que no haya desreferenciaciones no deseadas. Llama a process_string() para gestionar los casos en formato TP_printk() que tienen "%s". Devuelve si la cadena es segura o no. Pero puede tener algunos falsos positivos. Por ejemplo, xe_bo_move() tiene: TP_printk("move_lacks_source:%s, migrate object %p [size %zu] from %s to %s device_id:%s", __entry->move_lacks_source ? "yes" : "no", __entry->bo, __entry->size, xe_mem_type_to_name[__entry->old_placement], xe_mem_type_to_name[__entry->new_placement], __get_str(device_id)) Where the "%s" Donde "%s" hace referencia a xe_mem_type_to_name[]. Esta es una matriz de punteros a los que el evento debería poder acceder de forma segura. En lugar de marcar esto como una referencia incorrecta, si una referencia apunta a una matriz, donde el campo de registro es el índice, considérela segura.
Gravedad CVSS v3.1: MEDIA
Última modificación:
03/11/2025

Vulnerabilidad en kernel de Linux (CVE-2024-57931)
Fecha de publicación:
21/01/2025
Idioma:
Español
En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: selinux: ignorar permisos extendidos desconocidos Al evaluar permisos extendidos, ignorar permisos desconocidos en lugar de llamar a BUG(). Esta confirmación garantiza que se puedan agregar permisos futuros sin interferir con kernels más antiguos.
Gravedad CVSS v3.1: MEDIA
Última modificación:
03/11/2025

Vulnerabilidad en Kibana (CVE-2024-52973)
Fecha de publicación:
21/01/2025
Idioma:
Español
Una asignación de recursos sin límites ni constricción en Kibana puede provocar un bloqueo causado por una solicitud manipulado especial a /api/log_entries/summary. Esto lo pueden llevar a cabo los usuarios con acceso de lectura a la función Observability-Logs en Kibana.
Gravedad CVSS v3.1: MEDIA
Última modificación:
30/09/2025

Vulnerabilidad en Betheme para WordPress (CVE-2025-0450)
Fecha de publicación:
21/01/2025
Idioma:
Español
El complemento Betheme para WordPress es vulnerable a Cross-Site Scripting Almacenado a través de la funcionalidad JS personalizada del complemento en todas las versiones hasta incluida, 27.6.1 debido a la falta de desinfección de entrada y el escape de salida en los atributos proporcionados por el usuario. Esto hace posible que los atacantes autenticados, con acceso de nivel de colaborador y superior, inyecten scripts web arbitraria en las páginas que se ejecutarán cada vez que un usuario acceda a una página inyectada.
Gravedad CVSS v3.1: MEDIA
Última modificación:
05/06/2025

Vulnerabilidad en Social Share, Social Login and Social Comments Plugin – Super Socializer para WordPress (CVE-2024-13230)
Fecha de publicación:
21/01/2025
Idioma:
Español
El complemento Social Share, Social Login and Social Comments Plugin – Super Socializer para WordPress es vulnerable a una inyección SQL limitada a través del parámetro «SuperSocializerKey» en todas las versiones hasta la 7.14 y incluida, debido a un escape insuficiente en el parámetro proporcionado por el usuario y a la falta de preparación suficiente en la consulta SQL existente. Esto permite que atacantes no autenticados agreguen valores adicionales a la consulta ya existente que se pueden usar para extraer metadatos del usuario de la base de datos.
Gravedad CVSS v3.1: MEDIA
Última modificación:
05/06/2025

Vulnerabilidad en wp-greet para WordPress (CVE-2024-13444)
Fecha de publicación:
21/01/2025
Idioma:
Español
El complemento wp-greet para WordPress es vulnerable a Cross-Site Request Forgery en todas las versiones hasta la 6.2 incluida. Esto se debe a la falta o la validación incorrecta de un nonce en una función. Esto permite que atacantes no autenticados actualicen configuraciones e inyecten scripts web maliciosos a través de una solicitud falsificada, siempre que puedan engañar al administrador de un sitio para que realice una acción como hacer clic en un enlace.
Gravedad CVSS v3.1: MEDIA
Última modificación:
21/01/2025

Vulnerabilidad en Elastic Defend (CVE-2024-37284)
Fecha de publicación:
21/01/2025
Idioma:
Español
La gestión inadecuada de la codificación alternativa ocurre cuando Elastic Defend en sistemas Windows intenta escanear un archivo o proceso codificado como un carácter multibyte. Esto genera una excepción no detectada que hace que Elastic Defend se bloquee, lo que a su vez le impedirá poner en cuarentena el archivo o finalizar el proceso.
Gravedad CVSS v3.1: MEDIA
Última modificación:
21/01/2025

Vulnerabilidad en Elasticsearch (CVE-2024-43709)
Fecha de publicación:
21/01/2025
Idioma:
Español
Una asignación de recursos sin límites ni limitación en Elasticsearch puede generar una excepción OutOfMemoryError que resulte en un bloqueo a través de una consulta especialmente manipulada que utiliza una función SQL.
Gravedad CVSS v3.1: MEDIA
Última modificación:
21/02/2025
Suscribirse a Vulnerabilidades