Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las últimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las últimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las últimas vulnerabilidades incorporadas al repositorio.

Vulnerabilidad en Download Manager de codename065 (CVE-2025-15364)

Fecha de publicación:
06/01/2026
Idioma:
Español
El plugin Download Manager para WordPress es vulnerable a la escalada de privilegios mediante la toma de control de cuentas en todas las versiones hasta la 3.3.40, inclusive. Esto se debe a que el plugin no valida correctamente la identidad de un usuario antes de actualizar sus detalles, como la contraseña. Esto hace posible que atacantes no autenticados cambien las contraseñas de los usuarios, excepto las de los administradores, y aprovechen eso para obtener acceso a su cuenta.
Gravedad CVSS v3.1: ALTA
Última modificación:
07/10/2026

Vulnerabilidad en com.afmobi.boomplayer de TECNO Mobile (CVE-2025-15385)

Fecha de publicación:
06/01/2026
Idioma:
Español
Vulnerabilidad de Verificación Insuficiente de la Autenticidad de los Datos en TECNO Mobile com.Afmobi.Boomplayer permite la omisión de autenticación. Este problema afecta a com.Afmobi.Boomplayer: 7.4.63.
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
07/10/2026

Vulnerabilidad en MediaTek chipset de MediaTek, Inc. (CVE-2025-20760)

Fecha de publicación:
06/01/2026
Idioma:
Español
En Módem, existe una posible lectura de datos de pila no inicializados debido a una excepción no capturada. Esto podría llevar a una denegación de servicio remota, si un UE se ha conectado a una estación base maliciosa controlada por el atacante, sin necesidad de privilegios de ejecución adicionales. No se necesita interacción del usuario para la explotación. ID del parche: MOLY01676750; ID del problema: MSV-4653.
Gravedad CVSS v3.1: MEDIA
Última modificación:
07/10/2026

Vulnerabilidad en MediaTek chipset de MediaTek, Inc. (CVE-2025-20761)

Fecha de publicación:
06/01/2026
Idioma:
Español
En el módem, existe una posible caída del sistema debido a un manejo de errores incorrecto. Esto podría llevar a una denegación de servicio remota, si un UE se ha conectado a una estación base maliciosa controlada por el atacante, sin necesidad de privilegios de ejecución adicionales. No se necesita interacción del usuario para la explotación. ID del parche: MOLY01311265; ID del problema: MSV-4655.
Gravedad CVSS v3.1: MEDIA
Última modificación:
07/10/2026

Vulnerabilidad en MediaTek chipset de MediaTek, Inc. (CVE-2025-20762)

Fecha de publicación:
06/01/2026
Idioma:
Español
En el Módem, existe una posible caída del sistema debido a un manejo de errores incorrecto. Esto podría llevar a una denegación de servicio remota, si un UE se ha conectado a una estación base maliciosa controlada por el atacante, sin necesidad de privilegios de ejecución adicionales. No se necesita interacción del usuario para la explotación. ID del parche: MOLY01685181; ID del problema: MSV-4760.
Gravedad CVSS v3.1: MEDIA
Última modificación:
07/10/2026

Vulnerabilidad en MediaTek chipset de MediaTek, Inc. (CVE-2025-20778)

Fecha de publicación:
06/01/2026
Idioma:
Español
En visualización, existe una posible escritura fuera de límites debido a una comprobación de límites faltante. Esto podría conducir a una escalada de privilegios local si un actor malicioso ya ha obtenido el privilegio de Sistema. No se necesita interacción del usuario para la explotación. ID de parche: ALPS10184870; ID de problema: MSV-4729.
Gravedad CVSS v3.1: ALTA
Última modificación:
07/10/2026

Vulnerabilidad en iccDEV de InternationalColorConsortium (CVE-2026-21507)

Fecha de publicación:
06/01/2026
Idioma:
Español
iccDEV proporciona un conjunto de bibliotecas y herramientas para trabajar con perfiles de gestión de color ICC. Las versiones 2.3.1 e inferiores tienen un bucle infinito en la función CalcProfileID de IccProfile.cpp. Este problema está corregido en la versión 2.3.1.1.
Gravedad CVSS v3.1: ALTA
Última modificación:
12/01/2026

Vulnerabilidad en Crypt::Sodium::XS de IAMB (CVE-2025-15444)

Fecha de publicación:
06/01/2026
Idioma:
Español
Las versiones del módulo Crypt::Sodium::XS anteriores a 0.000042, para Perl, incluyen una versión vulnerable de libsodium.<br /> <br /> libsodium menor o igual a 1.0.20 o una versión de libsodium lanzada antes del 30 de diciembre de 2025 contiene una vulnerabilidad documentada como CVE-2025-69277 https://www.cve.org/CVERecord?id=CVE-2025-69277.<br /> <br /> La vulnerabilidad de libsodium establece:<br /> <br /> En casos de uso atípicos que involucran cierta criptografía personalizada o datos no confiables para crypto_core_ed25519_is_valid_point, maneja incorrectamente las comprobaciones de si un punto de curva elíptica es válido porque a veces permite puntos que no están en el grupo criptográfico principal.<br /> <br /> 0.000042 incluye una versión de libsodium actualizada a 1.0.20-stable, lanzada el 3 de enero de 2026, que incluye una corrección para la vulnerabilidad.
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
07/10/2026

Vulnerabilidad en panel de pterodactyl (CVE-2025-68954)

Fecha de publicación:
06/01/2026
Idioma:
Español
Pterodactyl es un panel de gestión de servidores de juegos gratuito y de código abierto. Las versiones 1.11.11 y anteriores no revocan las conexiones SFTP activas cuando un usuario es eliminado de una instancia de servidor o sus permisos cambian con respecto al acceso a archivos a través de SFTP. Esto permite que un usuario que ya estaba conectado a SFTP permanezca conectado y acceda a los archivos incluso después de que sus permisos sean revocados. Un usuario debe haber estado conectado a SFTP en el momento en que sus permisos fueron revocados para que esta vulnerabilidad pueda ser explotada. Este problema está solucionado en la versión 1.12.0.
Gravedad CVSS v4.0: ALTA
Última modificación:
07/10/2026

Vulnerabilidad en panel de pterodactyl (CVE-2025-69197)

Fecha de publicación:
06/01/2026
Idioma:
Español
Pterodactyl es un panel de gestión de servidores de juegos gratuito y de código abierto. Las versiones 1.11.11 e inferiores permiten que el TOTP se utilice varias veces durante su ventana de validez. A los usuarios con 2FA habilitado se les solicita que ingresen un token durante el inicio de sesión, y después no se marca suficientemente como usado en el sistema. Esto permite a un atacante que intercepta ese token usarlo además de un nombre de usuario/contraseña conocido durante la ventana de validez del token de 60 segundos. El atacante debe haber interceptado un token 2FA válido (por ejemplo, durante una pantalla compartida). Este problema está solucionado en la versión 1.12.0.
Gravedad CVSS v3.1: MEDIA
Última modificación:
07/10/2026

Vulnerabilidad en badkeys (CVE-2026-21439)

Fecha de publicación:
06/01/2026
Idioma:
Español
badkeys es una herramienta y biblioteca para verificar claves públicas criptográficas en busca de vulnerabilidades conocidas. En las versiones 0.0.15 e inferiores, un atacante podría inyectar contenido con caracteres de control ASCII como tabulaciones verticales, secuencias de escape ANSI, etc., que pueden generar una salida engañosa de la herramienta de línea de comandos badkeys. Esto afecta el escaneo de claves DKIM (tanto --dkim como --dkim-dns), claves SSH (modo --ssh-lines), y nombres de archivo en varios modos. Este problema está solucionado en la versión 0.0.16.
Gravedad CVSS v4.0: BAJA
Última modificación:
12/01/2026

CVE-2026-0607

Fecha de publicación:
06/01/2026
Idioma:
Inglés
*** Pendiente de traducción *** A flaw has been found in code-projects Online Music Site 1.0. This affects an unknown part of the file /Administrator/PHP/AdminViewSongs.php. Executing a manipulation of the argument ID can lead to sql injection. It is possible to launch the attack remotely. The exploit has been published and may be used.
Gravedad CVSS v4.0: MEDIA
Última modificación:
29/04/2026