Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

017 - Ir a la línea de ayuda en Ciberseguridad    Ir a Agenda     Ir a Sala de prensa     Ir a suscripción de boletines

Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las últimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las últimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las últimas vulnerabilidades incorporadas al repositorio.

CVE-2025-34452
Fecha de publicación:
18/12/2025
Idioma:
Inglés
*** Pendiente de traducción *** Streama versions 1.10.0 through 1.10.5 and prior to commit b7c8767 contain a combination of path traversal and server-side request forgery (SSRF) vulnerabilities in that allow an authenticated attacker to write arbitrary files to the server filesystem. The issue exists in the subtitle download functionality, where user-controlled parameters are used to fetch remote content and construct file paths without proper validation. By supplying a crafted subtitle download URL and a path traversal sequence in the file name, an attacker can write files to arbitrary locations on the server, potentially leading to remote code execution.
Gravedad CVSS v4.0: ALTA
Última modificación:
14/07/2026

Vulnerabilidad en scrcpy de Genymobile (CVE-2025-34449)
Fecha de publicación:
18/12/2025
Idioma:
Español
Las versiones de Genymobile/scrcpy hasta la 3.3.3 inclusive, anteriores al commit 3e40b24, contienen una vulnerabilidad de desbordamiento de búfer en la función sc_device_msg_deserialize(). Un dispositivo comprometido puede enviar mensajes manipulados que causan lecturas fuera de límites, lo que puede resultar en corrupción de memoria o una condición de denegación de servicio. Esta vulnerabilidad puede permitir una explotación adicional en el sistema anfitrión.
Gravedad CVSS v4.0: MEDIA
Última modificación:
30/09/2026

Vulnerabilidad en Dialogflow CX Messenger de Google Cloud (CVE-2025-13427)
Fecha de publicación:
18/12/2025
Idioma:
Español
Una vulnerabilidad de omisión de autenticación en Google Cloud Dialogflow CX Messenger permitió a usuarios no autenticados interactuar con agentes de chat restringidos, obteniendo acceso al conocimiento de los agentes y la capacidad de activar sus intenciones, manipulando parámetros de inicialización o elaborando solicitudes de API específicas.<br /> <br /> Todas las versiones posteriores al 20 de agosto de 2025 han sido actualizadas para protegerse de esta vulnerabilidad. No se requiere ninguna acción del usuario para esto.
Gravedad CVSS v4.0: MEDIA
Última modificación:
30/09/2026

CVE-2025-68161
Fecha de publicación:
18/12/2025
Idioma:
Inglés
*** Pendiente de traducción *** The Socket Appender in Apache Log4j Core versions 2.0-beta9 through 2.25.2 does not perform TLS hostname verification of the peer certificate, even when the verifyHostName https://logging.apache.org/log4j/2.x/manual/appenders/network.html#SslConfiguration-attr-verifyHostName configuration attribute or the log4j2.sslVerifyHostName https://logging.apache.org/log4j/2.x/manual/systemproperties.html#log4j2.sslVerifyHostName system property is set to true.<br /> <br /> This issue may allow a man-in-the-middle attacker to intercept or redirect log traffic under the following conditions:<br /> <br /> * The attacker is able to intercept or redirect network traffic between the client and the log receiver.<br /> * The attacker can present a server certificate issued by a certification authority trusted by the Socket Appender’s configured trust store (or by the default Java trust store if no custom trust store is configured).<br /> <br /> <br /> Users are advised to upgrade to Apache Log4j Core version 2.25.3, which addresses this issue.<br /> <br /> As an alternative mitigation, the Socket Appender may be configured to use a private or restricted trust root to limit the set of trusted certificates.
Gravedad CVSS v4.0: MEDIA
Última modificación:
20/01/2026

CVE-2025-67653
Fecha de publicación:
18/12/2025
Idioma:
Inglés
*** Pendiente de traducción *** Advantech WebAccess/SCADA is vulnerable to directory traversal, which may allow an attacker to determine the existence of arbitrary files.
Gravedad CVSS v4.0: MEDIA
Última modificación:
31/12/2025

CVE-2025-63951
Fecha de publicación:
18/12/2025
Idioma:
Inglés
*** Pendiente de traducción *** An insecure deserialization vulnerability exists in the rss-mp3.php script of the MiczFlor RPi-Jukebox-RFID project through commit 4b2334f0ae0e87c0568876fc41c48c38aa9a7014 (2025-10-07). The &amp;#39;rss&amp;#39; GET parameter receives data that is passed directly to the unserialize() function without validation. This allows a remote, unauthenticated attacker to inject arbitrary PHP objects, causing the application to process them and leading to errors or a denial of service.
Gravedad CVSS v3.1: ALTA
Última modificación:
31/12/2025

CVE-2025-63949
Fecha de publicación:
18/12/2025
Idioma:
Inglés
*** Pendiente de traducción *** A Reflected Cross-Site Scripting (XSS) vulnerability in yohanawi Hotel Management System (commit 87e004a) allows a remote attacker to execute arbitrary web script via the &amp;#39;error&amp;#39; parameter in pages/room.php.
Gravedad CVSS v3.1: MEDIA
Última modificación:
31/12/2025

CVE-2025-63950
Fecha de publicación:
18/12/2025
Idioma:
Inglés
*** Pendiente de traducción *** An insecure deserialization vulnerability exists in the download.php script of the to3k Twittodon application through commit b1c58a7d1dc664b38deb486ca290779621342c0b (2023-02-28). The &amp;#39;obj&amp;#39; parameter receives base64-encoded data that is passed directly to the unserialize() function without validation. This allows a remote, unauthenticated attacker to inject arbitrary PHP objects, leading to a denial of service.
Gravedad CVSS v3.1: ALTA
Última modificación:
31/12/2025

CVE-2025-62002
Fecha de publicación:
18/12/2025
Idioma:
Inglés
*** Pendiente de traducción *** BullWall Ransomware Containment considers the number of files modified to trigger detection. An authenticated attacker could encrypt a single (possibly large) file without triggering detection if thresholds are configured to require multiple file changes. The number of files to trigger detection can be configured by the user. Versions 4.6.0.0, 4.6.0.6, 4.6.0.7, and 4.6.1.4 are affected. Other versions may also be affected.
Gravedad CVSS v4.0: MEDIA
Última modificación:
15/01/2026

CVE-2025-62003
Fecha de publicación:
18/12/2025
Idioma:
Inglés
*** Pendiente de traducción *** BullWall Server Intrusion Protection has a noticeable configuration-dependent delay before the MFA check for RDP connections. A remote, authenticated attacker can potentially bypass detection during this delay. Versions 4.6.0.0, 4.6.0.6, 4.6.0.7, and 4.6.1.4 are affected. Other versions may also be affected.
Gravedad CVSS v4.0: ALTA
Última modificación:
15/01/2026

CVE-2025-62004
Fecha de publicación:
18/12/2025
Idioma:
Inglés
*** Pendiente de traducción *** BullWall Server Intrusion Protection (SIP) services are initialized after login services during system startup. A local, authenticated attacker can log in after boot and before SIP MFA is running. The SIP services do not retroactively enforce MFA or disconnect sessions that were not subject to SIP MFA. Versions 4.6.0.0, 4.6.0.6, 4.6.0.7, and 4.6.1.4 are affected. Other versions mayy also be affected. BullWall plans to improve detection method documentation.
Gravedad CVSS v4.0: ALTA
Última modificación:
15/01/2026

CVE-2025-63947
Fecha de publicación:
18/12/2025
Idioma:
Inglés
*** Pendiente de traducción *** A Reflected Cross-Site Scripting (XSS) vulnerability exists in phpMsAdmin version 2.2 in the database_mode.php file. An attacker can execute arbitrary web script or HTML via the dbname parameter after a user is authenticated.
Gravedad CVSS v3.1: MEDIA
Última modificación:
06/01/2026
Suscribirse a Vulnerabilidades