Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las ultimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las ultimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las ultimas vulnerabilidades incorporadas al repositorio.

Vulnerabilidad en FireCask Like &amp; Share Button para WordPress (CVE-2024-11226)

Fecha de publicación:

21/01/2025

Idioma:

Español

El complemento FireCask Like &amp; Share Button para WordPress es vulnerable a Cross-Site Scripting Almacenado a través del parámetro &#39;width&#39; en todas las versiones hasta la 1.2 y incluida, debido a un escape de entrada y salida insuficiente de desinfección. Esto permite que atacantes autenticados, con acceso de nivel de colaborador y superior, inyecten scripts web arbitraria en páginas que se ejecutarán cada vez que un usuario acceda a una página inyectada.

Gravedad CVSS v3.1: MEDIA

Última modificación:

21/01/2025

Vulnerabilidad en Apache CXF (CVE-2025-23184)

Fecha de publicación:

21/01/2025

Idioma:

Español

Hay una posible vulnerabilidad de denegación de servicio presente en versiones de Apache CXF anteriores a 3.5.10, 3.6.5 y 4.0.6. En algunos casos extremos, es posible que las instancias de CachedOutputStream no se cierren y, si están respaldadas por archivos temporales, pueden llenar el archivo sistema (se aplica a servidores y clientes).

Gravedad CVSS v3.1: MEDIA

Última modificación:

15/12/2025

Vulnerabilidad en WP-BibTeX para WordPress (CVE-2024-12005)

Fecha de publicación:

21/01/2025

Idioma:

Español

El complemento WP-BibTeX para WordPress es vulnerable a Cross-Site Request Forgery en todas las versiones hasta la 3.0.1 y incluida. Esto se debe a una validación de nonce incorrecta o faltante en la función wp_bibtex_option_page(). Esto hace posible que atacantes no autenticados inyecten la web maliciosa scripts a través de una solicitud falsificada, siempre que puedan engañar al administrador del sitio para que realice una acción como hacer clic en un enlace.

Gravedad CVSS v3.1: MEDIA

Última modificación:

31/01/2025

Vulnerabilidad en Link Library para WordPress (CVE-2024-13404)

Fecha de publicación:

21/01/2025

Idioma:

Español

El complemento Link Library para WordPress es vulnerable a Cross-Site Scripting Reflejado a través del parámetro &#39;searchll&#39; en todas las versiones hasta 7.7.2 y incluida, debido a un escape de entrada desinfección y de salida insuficiente. Esto permite que atacantes no autenticados inyecten scripts web arbitraria en páginas que se ejecutan si logran engañar a un usuario para que realice una acción como hacer clic en un enlace.

Gravedad CVSS v3.1: MEDIA

Última modificación:

31/01/2025

Vulnerabilidad en WebSAM DeploymentManager (CVE-2024-6466)

Fecha de publicación:

21/01/2025

Idioma:

Español

WebSAM DeploymentManager v6.0 a v6.80 de NEC Corporation permite a un atacante restablecer configuraciones o reiniciar productos a través de la red con X-framework-OPTIONS no especificado.

Gravedad CVSS v3.1: MEDIA

Última modificación:

21/01/2025

Vulnerabilidad en Visual Website Collaboration, Feedback &amp; Project Management – ??Atarim para WordPress (CVE-2024-12104)

Fecha de publicación:

21/01/2025

Idioma:

Español

El complemento Visual Website Collaboration, Feedback &amp; Project Management – ??Atarim para WordPress es vulnerable a la pérdida no autorizada de datos debido a una falta de verificación de capacidad en las funciones wpf_delete_file y wpf_delete_file en todas las versiones hasta la 4.0.9 y incluida. Esto permite que atacantes no autenticados eliminen páginas y archivos de proyectos.

Gravedad CVSS v3.1: MEDIA

Última modificación:

17/02/2026

Vulnerabilidad en JetElements para WordPress (CVE-2025-0371)

Fecha de publicación:

21/01/2025

Idioma:

Español

El complemento JetElements para WordPress es vulnerable a Cross-Site Scripting almacenado a través de varios widgets en todas las versiones hasta la 2.7.2.1 incluida, debido a una desinfección de entrada insuficiente y a un escape de salida en los atributos proporcionados por el usuario. Esto permite que atacantes autenticados, con acceso de nivel de colaborador y superior, inyecten secuencias de comandos web arbitrarias en páginas que se ejecutarán cada vez que un usuario acceda a una página inyectada.

Gravedad CVSS v3.1: MEDIA

Última modificación:

31/01/2025

Vulnerabilidad en String locator para WordPress (CVE-2024-10936)

Fecha de publicación:

21/01/2025

Idioma:

Español

El complemento String locator para WordPress es vulnerable a la inyección de objetos PHP en todas las versiones hasta la 2.6.6 incluida, a través de la deserialización de entradas no confiables en la función &#39;recursive_unserialize_replace&#39;. Esto hace posible que atacantes no autenticados inyecten un objeto PHP. No hay ninguna cadena POP presente en el software vulnerable. Si hay una cadena POP presente a través de un complemento o tema adicional instalado en el sistema de destino, podría permitir al atacante eliminar archivos arbitrarios, recuperar datos confidenciales o ejecutar código. Un administrador debe realizar una acción de búsqueda y reemplazo para activar el exploit.

Gravedad CVSS v3.1: ALTA

Última modificación:

05/02/2025

Vulnerabilidad en 1003 Mortgage Application para WordPress (CVE-2024-13536)

Fecha de publicación:

21/01/2025

Idioma:

Español

El complemento 1003 Mortgage Application para WordPress es vulnerable a la divulgación de ruta completa en todas las versiones hasta la 1.87 incluida. Esto se debe a que el archivo /inc/class/fnm/export.php es de acceso público con el registro de errores habilitado. Esto permite que atacantes no autenticados recuperen la ruta completa de la aplicación web, que se puede utilizar para ayudar a otros ataques. La información mostrada no es útil por sí sola y requiere que exista otra vulnerabilidad para que se produzcan daños en un sitio web afectado.

Gravedad CVSS v3.1: MEDIA

Última modificación:

21/01/2025

Vulnerabilidad en Brave Browser (CVE-2025-23086)

Fecha de publicación:

21/01/2025

Idioma:

Español

En la mayoría de las plataformas de escritorio, las versiones 1.70.x-1.73.x de Brave Browser incluían una función para mostrar el origen de un sitio en el cuadro de diálogo de selección de archivos proporcionado por el sistema operativo cuando un sitio solicita al usuario que cargue o descargue un archivo. Sin embargo, en algunos casos, el origen no se dedujo correctamente. Cuando se combina con una vulnerabilidad de redireccionamiento abierto en un sitio confiable, esto podría permitir que un sitio malicioso inicie una descarga cuyo origen en el cuadro de diálogo de selección de archivos aparece como el sitio confiable que inició la redirección.

Gravedad CVSS v3.1: MEDIA

Última modificación:

22/03/2025

Vulnerabilidad en IBM UrbanCode Deploy (CVE-2024-45091)

Fecha de publicación:

21/01/2025

Idioma:

Español

IBM UrbanCode Deploy (UCD) 7.0 a 7.0.5.24, 7.1 a 7.1.2.10 y 7.2 a 7.2.3.13 almacena información potencialmente confidencial en archivos de registro que podrían ser leídos por un usuario local con acceso a los registros de solicitudes HTTP.

Gravedad CVSS v3.1: MEDIA

Última modificación:

29/01/2025

Vulnerabilidad en Vim (CVE-2025-24014)

Fecha de publicación:

20/01/2025

Idioma:

Español

Vim es un editor de texto de línea de comandos de código abierto. Se encontró un error de segmentación en Vim antes de la versión 9.1.1043. En el modo Ex silencioso (-s -e), Vim normalmente no muestra una pantalla y solo funciona silenciosamente en modo por lotes. Sin embargo, aún es posible activar la función que maneja el desplazamiento de una versión de interfaz gráfica de usuario de Vim al introducir algunos caracteres binarios en Vim. Sin embargo, la función que gestiona el desplazamiento puede estar activando un redibujado, que accederá al puntero ScreenLines, incluso aunque esta variable no haya sido asignada (ya que no hay pantalla). Esta vulnerabilidad se corrigió en la versión 9.1.1043.

Gravedad CVSS v3.1: MEDIA

Última modificación:

14/08/2025