Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

017 - Ir a la línea de ayuda en Ciberseguridad    Ir a Agenda     Ir a Sala de prensa     Ir a suscripción de boletines

Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las últimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las últimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las últimas vulnerabilidades incorporadas al repositorio.

CVE-2025-15003
Fecha de publicación:
22/12/2025
Idioma:
Inglés
*** Pendiente de traducción *** A vulnerability was found in SeaCMS up to 13.3. The impacted element is an unknown function of the file admin_video.php. Performing a manipulation of the argument e_id results in sql injection. The attack is possible to be carried out remotely. The exploit has been made public and could be used.
Gravedad CVSS v4.0: BAJA
Última modificación:
29/04/2026

CVE-2025-15002
Fecha de publicación:
21/12/2025
Idioma:
Inglés
*** Pendiente de traducción *** A vulnerability has been found in SeaCMS up to 13.3. The affected element is an unknown function of the file js/player/dmplayer/dmku/class/mysqli.class.php. Such manipulation of the argument page/limit leads to sql injection. The attack can be executed remotely. The exploit has been disclosed to the public and may be used.
Gravedad CVSS v4.0: MEDIA
Última modificación:
29/04/2026

CVE-2025-62901
Fecha de publicación:
21/12/2025
Idioma:
Inglés
*** Pendiente de traducción *** Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') vulnerability in tormorten WP Microdata wp-microdata allows Stored XSS.This issue affects WP Microdata: from n/a through
Gravedad CVSS v3.1: MEDIA
Última modificación:
23/04/2026

CVE-2025-62926
Fecha de publicación:
21/12/2025
Idioma:
Inglés
*** Pendiente de traducción *** Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') vulnerability in HappyDevs TempTool [Show Current Template Info] current-template-name allows Stored XSS.This issue affects TempTool [Show Current Template Info]: from n/a through
Gravedad CVSS v3.1: MEDIA
Última modificación:
23/04/2026

CVE-2025-62955
Fecha de publicación:
21/12/2025
Idioma:
Inglés
*** Pendiente de traducción *** Exposure of Sensitive System Information to an Unauthorized Control Sphere vulnerability in HappyDevs TempTool [Show Current Template Info] current-template-name allows Retrieve Embedded Sensitive Data.This issue affects TempTool [Show Current Template Info]: from n/a through
Gravedad CVSS v3.1: MEDIA
Última modificación:
23/04/2026

Vulnerabilidad en FH1201 de Tenda (CVE-2025-14995)
Fecha de publicación:
21/12/2025
Idioma:
Español
Una vulnerabilidad ha sido encontrada en Tenda FH1201 1.2.0.14(408). Afectada es la función sprintf del archivo /goform/SetIpBind. Tal manipulación del argumento page conduce a un desbordamiento de búfer basado en pila. El ataque puede ser realizado desde remoto. El exploit ha sido divulgado al público y puede ser usado.
Gravedad CVSS v4.0: ALTA
Última modificación:
28/09/2026

CVE-2025-14994
Fecha de publicación:
21/12/2025
Idioma:
Inglés
*** Pendiente de traducción *** A flaw has been found in Tenda FH1201 and FH1206 1.2.0.14(408)/1.2.0.8(8155). This impacts the function strcat of the file /goform/webtypelibrary of the component HTTP Request Handler. This manipulation of the argument webSiteId causes stack-based buffer overflow. The attack is possible to be carried out remotely. The exploit has been published and may be used.
Gravedad CVSS v4.0: ALTA
Última modificación:
31/12/2025

Vulnerabilidad en SureForms - Contact Form, Payment Form & Other Custom Form Builder de brainstormforce (CVE-2025-14855)
Fecha de publicación:
21/12/2025
Idioma:
Español
El plugin SureForms para WordPress es vulnerable a cross-site scripting almacenado a través de los parámetros de los campos del formulario en todas las versiones hasta la 2.2.0, inclusive, debido a una sanitización de entrada y un escape de salida insuficientes. Esto hace posible que atacantes no autenticados inyecten scripts web arbitrarios en páginas que se ejecutarán cada vez que un usuario acceda a una página inyectada.
Gravedad CVSS v3.1: ALTA
Última modificación:
28/09/2026

Vulnerabilidad en Redirection for Contact Form 7 de themeisle (CVE-2025-14800)
Fecha de publicación:
21/12/2025
Idioma:
Español
El plugin Redirection for Contact Form 7 para WordPress es vulnerable a la carga arbitraria de archivos debido a la falta de validación del tipo de archivo en la función 'move_file_to_upload' en todas las versiones hasta la 3.2.7, inclusive. Esto hace posible que atacantes no autenticados copien archivos arbitrarios en el servidor del sitio afectado. Si 'allow_url_fopen' está configurado en 'On', es posible cargar un archivo remoto al servidor.
Gravedad CVSS v3.1: ALTA
Última modificación:
28/09/2026

Vulnerabilidad en AC18 de Tenda (CVE-2025-14993)
Fecha de publicación:
21/12/2025
Idioma:
Español
Una vulnerabilidad fue detectada en Tenda AC18 15.03.05.05. Esto afecta a la función sprintf del archivo /goform/SetDlnaCfg del componente HTTP Request Handler. La manipulación del argumento scanList resulta en desbordamiento de búfer basado en pila. El ataque puede ser ejecutado remotamente. El exploit es ahora público y puede ser usado.
Gravedad CVSS v4.0: ALTA
Última modificación:
28/09/2026

CVE-2025-14992
Fecha de publicación:
21/12/2025
Idioma:
Inglés
*** Pendiente de traducción *** A security vulnerability has been detected in Tenda AC18 15.03.05.05. The impacted element is the function strcpy of the file /goform/GetParentControlInfo of the component HTTP Request Handler. The manipulation of the argument mac leads to stack-based buffer overflow. Remote exploitation of the attack is possible. The exploit has been disclosed publicly and may be used.
Gravedad CVSS v4.0: ALTA
Última modificación:
31/12/2025

CVE-2025-68644
Fecha de publicación:
21/12/2025
Idioma:
Inglés
*** Pendiente de traducción *** Yealink RPS before 2025-06-27 allows unauthorized access to information, including AutoP URL addresses. This was fixed by deploying an enhanced authentication mechanism through a security update to all cloud instances.
Gravedad CVSS v3.1: ALTA
Última modificación:
15/04/2026
Suscribirse a Vulnerabilidades