Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las últimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las últimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las últimas vulnerabilidades incorporadas al repositorio.

Vulnerabilidad en Firefox de Mozilla (CVE-2025-14860)

Fecha de publicación:

18/12/2025

Idioma:

Español

Uso después de liberación en el componente de las API de Acceso para Discapacitados. Esta vulnerabilidad afecta a Firefox

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

05/10/2026

Vulnerabilidad en Firefox de Mozilla (CVE-2025-14861)

Fecha de publicación:

18/12/2025

Idioma:

Español

Errores de seguridad de memoria presentes en Firefox 146. Algunos de estos errores mostraron evidencia de corrupción de memoria y presumimos que con suficiente esfuerzo algunos de estos podrían haber sido explotados para ejecutar código arbitrario. Esta vulnerabilidad afecta a Firefox menor que 146.0.1.

Gravedad CVSS v3.1: ALTA

Última modificación:

05/10/2026

Vulnerabilidad en Firefox for iOS de Mozilla (CVE-2025-14744)

Fecha de publicación:

18/12/2025

Idioma:

Español

Los caracteres Unicode RTLO podrían permitir que sitios web maliciosos suplanten nombres de archivo en la interfaz de usuario de descargas de Firefox para iOS, engañando potencialmente a los usuarios para que guarden archivos de un tipo de archivo inesperado. Esta vulnerabilidad afecta a Firefox para iOS menor que 144.0.

Gravedad CVSS v3.1: MEDIA

Última modificación:

05/10/2026

CVE-2025-40892

Fecha de publicación:

18/12/2025

Idioma:

Inglés

*** Pendiente de traducción *** A Stored Cross-Site Scripting vulnerability was discovered in the Reports functionality due to improper validation of an input parameter. An authenticated user with report privileges can define a malicious report containing a JavaScript payload, or a victim can be socially engineered to import a malicious report template. When the victim views or imports the report, the XSS executes in their browser context, allowing the attacker to perform unauthorized actions as the victim, such as modify application data, disrupt application availability, and access limited sensitive information.

Gravedad CVSS v4.0: ALTA

Última modificación:

14/04/2026

CVE-2025-40893

Fecha de publicación:

18/12/2025

Idioma:

Inglés

*** Pendiente de traducción *** A Stored HTML Injection vulnerability was discovered in the Asset List functionality due to improper validation of network traffic data. An unauthenticated attacker can send specially crafted network packets to inject HTML tags into asset attributes. When a victim views the affected assets in the Asset List (and similar functions), the injected HTML renders in their browser, enabling phishing and possibly open redirect attacks. Full XSS exploitation and direct information disclosure are prevented by the existing input validation and Content Security Policy configuration.

Gravedad CVSS v4.0: MEDIA

Última modificación:

14/04/2026

CVE-2025-40898

Fecha de publicación:

18/12/2025

Idioma:

Inglés

*** Pendiente de traducción *** A path traversal vulnerability was discovered in the Import Arc data archive functionality due to insufficient validation of the input file. An authenticated user with limited privileges, by uploading a specifically-crafted Arc data archive, can potentially write arbitrary files in arbitrary paths, altering the device configuration and/or affecting its availability.

Gravedad CVSS v4.0: ALTA

Última modificación:

14/04/2026

CVE-2025-65000

Fecha de publicación:

18/12/2025

Idioma:

Inglés

*** Pendiente de traducción *** SSH private keys of the "Remote alert handlers (Linux)" rule were exposed in the rule page&#39;s HTML source in Checkmk

Gravedad CVSS v4.0: BAJA

Última modificación:

23/12/2025

Vulnerabilidad en Guardian y CMC de Nozomi Networks (CVE-2025-40891)

Fecha de publicación:

18/12/2025

Idioma:

Español

Se descubrió una vulnerabilidad de inyección HTML almacenada en la funcionalidad de Diferencia de Instantáneas de Time Machine debido a una validación inadecuada de los datos de tráfico de red. Un atacante no autenticado puede enviar paquetes de red especialmente diseñados en dos momentos diferentes para inyectar etiquetas HTML en atributos de activos en dos instantáneas. La explotación requiere que una víctima utilice la función de Diferencia de Instantáneas de Time Machine en esas instantáneas específicas y realice acciones específicas de la GUI, momento en el cual el HTML inyectado se renderiza en su navegador, lo que permite ataques de phishing y redirección abierta. La explotación completa de XSS se evita mediante la validación de entrada y la Política de Seguridad de Contenido. La complejidad del ataque es alta debido a múltiples condiciones requeridas.

Gravedad CVSS v4.0: BAJA

Última modificación:

30/09/2026

CVE-2025-14277

Fecha de publicación:

18/12/2025

Idioma:

Inglés

*** Pendiente de traducción *** The Prime Slider – Addons for Elementor plugin for WordPress is vulnerable to Server-Side Request Forgery in all versions up to, and including, 4.0.9 via the import_elementor_template AJAX action. This makes it possible for authenticated attackers, with subscriber level access and above, to make web requests to arbitrary locations originating from the web application and can be used to query and modify information from internal services.

Gravedad CVSS v3.1: MEDIA

Última modificación:

15/04/2026

CVE-2025-14618

Fecha de publicación:

18/12/2025

Idioma:

Inglés

*** Pendiente de traducción *** The Sweet Energy Efficiency plugin for WordPress is vulnerable to unauthorized access, modification, and loss of data due to a missing capability check on the &#39;sweet_energy_efficiency_action&#39; AJAX handler in all versions up to, and including, 1.0.6. This makes it possible for authenticated attackers, with subscriber level access and above, to read, modify, and delete arbitrary graphs.

Gravedad CVSS v3.1: MEDIA

Última modificación:

15/04/2026

Vulnerabilidad en Hummingbird Performance - Cache & Page Speed Optimization for Core Web Vitals | Critical CSS | Minify CSS | Defer CSS Javascript | CDN de wpmudev (CVE-2025-14437)

Fecha de publicación:

18/12/2025

Idioma:

Español

El plugin Hummingbird Performance para WordPress es vulnerable a la Exposición de Información Sensible en todas las versiones hasta la 3.18.0, inclusive, a través de la función &#39;request&#39;. Esto hace posible que atacantes no autenticados extraigan datos sensibles, incluyendo credenciales de la API de Cloudflare.

Gravedad CVSS v3.1: ALTA

Última modificación:

01/10/2026

CVE-2025-13110

Fecha de publicación:

18/12/2025

Idioma:

Inglés

*** Pendiente de traducción *** The HUSKY – Products Filter Professional for WooCommerce plugin for WordPress is vulnerable to Insecure Direct Object Reference in all versions up to, and including, 1.3.7.3 via the "woof_add_subscr" function due to missing validation on a user controlled key. This makes it possible for authenticated attackers, with subscriber level access and above, to create product messenger subscriptions on behalf of arbitrary users, including administrators.

Gravedad CVSS v3.1: MEDIA

Última modificación:

15/04/2026