Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las últimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las últimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las últimas vulnerabilidades incorporadas al repositorio.

CVE-2025-14578

Fecha de publicación:

12/12/2025

Idioma:

Inglés

*** Pendiente de traducción *** A weakness has been identified in itsourcecode Student Management System 1.0. The affected element is an unknown function of the file /update_account.php. This manipulation of the argument ID causes sql injection. It is possible to initiate the attack remotely. The exploit has been made available to the public and could be exploited.

Gravedad CVSS v4.0: MEDIA

Última modificación:

29/04/2026

Vulnerabilidad en Chrome de Google (CVE-2025-14373)

Fecha de publicación:

12/12/2025

Idioma:

Español

Implementación inapropiada en la barra de herramientas en Google Chrome para Android anterior a 143.0.7499.110 permitió a un atacante remoto realizar suplantación de dominio mediante una página HTML manipulada. (Gravedad de seguridad de Chromium: Media)

Gravedad CVSS v3.1: MEDIA

Última modificación:

30/09/2026

CVE-2024-58305

Fecha de publicación:

12/12/2025

Idioma:

Inglés

*** Pendiente de traducción *** WonderCMS 4.3.2 contains a cross-site scripting vulnerability that allows attackers to inject malicious JavaScript through the module installation endpoint. Attackers can craft a specially designed XSS payload to install a reverse shell module and execute remote commands by tricking an authenticated administrator into accessing a malicious link.

Gravedad CVSS v4.0: ALTA

Última modificación:

15/04/2026

CVE-2024-58311

Fecha de publicación:

12/12/2025

Idioma:

Inglés

*** Pendiente de traducción *** Dormakaba Saflok System 6000 contains a predictable key generation algorithm that allows attackers to derive card access keys from a 32-bit unique identifier. Attackers can exploit the deterministic key generation process by calculating valid access keys using a simple mathematical transformation of the card&#39;s unique identifier.

Gravedad CVSS v4.0: ALTA

Última modificación:

15/04/2026

CVE-2024-58314

Fecha de publicación:

12/12/2025

Idioma:

Inglés

*** Pendiente de traducción *** Atcom 100M IP Phones firmware version 2.7.x.x contains an authenticated command injection vulnerability in the web configuration CGI script that allows attackers to execute arbitrary system commands. Attackers can inject shell commands through the &#39;cmd&#39; parameter in web_cgi_main.cgi, enabling remote code execution with administrative credentials.

Gravedad CVSS v4.0: ALTA

Última modificación:

15/04/2026

Vulnerabilidad en Chrome de Google (CVE-2025-14174)

Fecha de publicación:

12/12/2025

Idioma:

Español

Acceso a memoria fuera de límites en ANGLE en Google Chrome en Mac anterior a 143.0.7499.110 permitía a un atacante remoto realizar acceso a memoria fuera de límites a través de una página HTML especialmente diseñada. (Gravedad de seguridad de Chromium: Alta)

Gravedad CVSS v3.1: ALTA

Última modificación:

30/09/2026

Vulnerabilidad en Chrome de Google (CVE-2025-14372)

Fecha de publicación:

12/12/2025

Idioma:

Español

Uso después de liberar en el Administrador de Contraseñas de Google Chrome anterior a 143.0.7499.110 permitió a un atacante remoto realizar potencialmente un escape de sandbox a través de una página HTML diseñada. (Gravedad de seguridad de Chromium: Media)

Gravedad CVSS v3.1: MEDIA

Última modificación:

30/09/2026

CVE-2024-58299

Fecha de publicación:

12/12/2025

Idioma:

Inglés

*** Pendiente de traducción *** PCMan FTP Server 2.0 contains a buffer overflow vulnerability in the &#39;pwd&#39; command that allows remote attackers to execute arbitrary code. Attackers can send a specially crafted payload during the FTP login process to overwrite memory and potentially gain system access.

Gravedad CVSS v4.0: CRÍTICA

Última modificación:

15/04/2026

CVE-2024-14010

Fecha de publicación:

12/12/2025

Idioma:

Inglés

*** Pendiente de traducción *** Typora 1.7.4 contains a command injection vulnerability in the PDF export preferences that allows attackers to execute arbitrary system commands. Attackers can inject malicious commands into the &#39;run command&#39; input field during PDF export to achieve remote code execution.

Gravedad CVSS v4.0: ALTA

Última modificación:

30/09/2026

CVE-2025-8082

Fecha de publicación:

12/12/2025

Idioma:

Inglés

*** Pendiente de traducción *** Improper neutralization of the title date in the &#39;VDatePicker&#39; component in Vuetify, allows unsanitized HTML to be inserted into the page. This can lead to a Cross-Site Scripting (XSS) https://owasp.org/www-community/attacks/xss attack. The vulnerability occurs because the &#39;title-date-format&#39; property of the &#39;VDatePicker&#39; can accept a user created function and assign its output to the &#39;innerHTML&#39; property of the title element without sanitization. This issue affects Vuetify versions greater than or equal to 2.0.0 and less than 3.0.0. Note: Version 2.x of Vuetify is End-of-Life and will not receive any updates to address this issue. For more information see here https://v2.vuetifyjs.com/en/about/eol/ .

Gravedad CVSS v3.1: MEDIA

Última modificación:

15/04/2026

CVE-2025-14571

Fecha de publicación:

12/12/2025

Idioma:

Inglés

*** Pendiente de traducción *** A vulnerability has been found in projectworlds Advanced Library Management System 1.0. Affected by this issue is some unknown functionality of the file /borrow_book.php. Such manipulation of the argument roll_number leads to sql injection. The attack may be launched remotely. The exploit has been disclosed to the public and may be used.

Gravedad CVSS v4.0: MEDIA

Última modificación:

29/04/2026

CVE-2025-14568

Fecha de publicación:

12/12/2025

Idioma:

Inglés

*** Pendiente de traducción *** A security vulnerability has been detected in haxxorsid Stock-Management-System up to fbbbf213e9c93b87183a3891f77e3cc7095f22b0. This impacts an unknown function of the file model/User.php. The manipulation of the argument employee_id/id/admin leads to sql injection. The attack can be initiated remotely. The exploit has been disclosed publicly and may be used. Continious delivery with rolling releases is used by this product. Therefore, no version details of affected nor updated releases are available. The vendor was contacted early about this disclosure but did not respond in any way. This vulnerability only affects products that are no longer supported by the maintainer.

Gravedad CVSS v4.0: BAJA

Última modificación:

29/04/2026

Suscribirse a Vulnerabilidades