Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las ultimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las ultimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las ultimas vulnerabilidades incorporadas al repositorio.

Vulnerabilidad en Drupal COOKiES Consent Management (CVE-2025-47703)

Fecha de publicación:
14/05/2025
Idioma:
Español
La vulnerabilidad de neutralización incorrecta de la entrada durante la generación de páginas web ('Cross-site Scripting') en Drupal COOKiES Consent Management permite Cross-Site Scripting (XSS). Este problema afecta a COOKiES Consent Management: desde la versión 0.0.0 hasta la 1.2.14.
Gravedad CVSS v3.1: MEDIA
Última modificación:
10/06/2025

Vulnerabilidad en Drupal oEmbed Providers (CVE-2025-47702)

Fecha de publicación:
14/05/2025
Idioma:
Español
La vulnerabilidad de neutralización incorrecta de la entrada durante la generación de páginas web ('Cross-site Scripting') en Drupal oEmbed Providers permite Cross-Site Scripting (XSS). Este problema afecta a los proveedores oEmbed: desde la versión 0.0.0 hasta la 2.2.2.
Gravedad CVSS v3.1: MEDIA
Última modificación:
10/06/2025

Vulnerabilidad en Drupal Restrict route by IP (CVE-2025-47701)

Fecha de publicación:
14/05/2025
Idioma:
Español
La vulnerabilidad de Cross-Site Request Forgery (CSRF) en Drupal Restrict route by IP permite Cross-Site Request Forgery. Este problema afecta a Restringir ruta por IP: desde la versión 0.0.0 hasta la 1.3.0.
Gravedad CVSS v3.1: ALTA
Última modificación:
25/06/2025

Vulnerabilidad en SMA1000 Appliance Work Place (CVE-2025-40595)

Fecha de publicación:
14/05/2025
Idioma:
Español
Se ha identificado una vulnerabilidad de Server-side request forgery (SSRF) en la interfaz de SMA1000 Appliance Work Place. Al usar una URL codificada, un atacante remoto no autenticado podría provocar que el dispositivo realice solicitudes a una ubicación no deseada.
Gravedad CVSS v3.1: ALTA
Última modificación:
16/05/2025

Vulnerabilidad en Thunderbird (CVE-2025-3932)

Fecha de publicación:
14/05/2025
Idioma:
Español
Se pudo crear un correo electrónico que mostraba un enlace de seguimiento como archivo adjunto. Si el usuario intentaba abrirlo, Thunderbird accedía automáticamente al enlace. La configuración para bloquear contenido remoto no lo impidió. Se ha corregido Thunderbird para que ya no permita el acceso a las páginas web que aparecen en el encabezado X-Mozilla-External-Attachment-URL de un correo electrónico. Esta vulnerabilidad afecta a Thunderbird (versión anterior a la 128.10.1) y Thunderbird (versión anterior a la 138.0.1).
Gravedad CVSS v3.1: MEDIA
Última modificación:
05/06/2025

Vulnerabilidad en Thunderbird (CVE-2025-3909)

Fecha de publicación:
14/05/2025
Idioma:
Español
La gestión que Thunderbird hace del encabezado X-Mozilla-External-Attachment-URL puede explotarse para ejecutar JavaScript en el contexto file:///. Al manipular un archivo adjunto de correo electrónico anidado (message/rfc822) y configurar su tipo de contenido como application/pdf, Thunderbird puede representarlo incorrectamente como HTML al abrirlo, lo que permite que el JavaScript incrustado se ejecute sin necesidad de descargar el archivo. Este comportamiento se basa en que Thunderbird guarda automáticamente el archivo adjunto en /tmp y lo enlaza mediante el protocolo file:///, lo que podría permitir la ejecución de JavaScript como parte del HTML. Esta vulnerabilidad afecta a Thunderbird versiones anteriores a la 128.10.1 y a la 138.0.1.
Gravedad CVSS v3.1: MEDIA
Última modificación:
05/06/2025

Vulnerabilidad en Thunderbird (CVE-2025-3875)

Fecha de publicación:
14/05/2025
Idioma:
Español
Thunderbird analiza las direcciones de forma que puede permite la suplantación del remitente si el servidor permite el uso de una dirección de remitente no válida. Por ejemplo, si el encabezado "De" contiene el valor (inválido) "Nombre falsificado", Thunderbird trata spoofed@example.com como la dirección real. Esta vulnerabilidad afecta a Thunderbird < 128.10.1 y Thunderbird < 138.0.1.
Gravedad CVSS v3.1: ALTA
Última modificación:
05/06/2025

Vulnerabilidad en Thunderbird (CVE-2025-3877)

Fecha de publicación:
14/05/2025
Idioma:
Español
Un correo electrónico HTML manipulado que utiliza enlaces mailbox:/// puede desencadenar descargas automáticas no solicitadas de archivos .pdf al escritorio o directorio personal del usuario sin previo aviso, incluso con el guardado automático desactivado. Este comportamiento puede utilizarse para llenar el disco con datos innecesarios (p. ej., usando /dev/urandom en Linux) o para filtrar credenciales de Windows mediante enlaces SMB al visualizar el correo electrónico en modo HTML. Si bien se requiere la interacción del usuario para descargar el archivo .pdf, la ofuscación visual puede ocultar el desencadenador de la descarga. Ver el correo electrónico en modo HTML es suficiente para cargar contenido externo. Esta vulnerabilidad afecta a Thunderbird (versión anterior a la 128.10.1) y Thunderbird (versión anterior a la 138.0.1).
Gravedad CVSS v3.1: MEDIA
Última modificación:
11/06/2025

Vulnerabilidad en NAS en Samsung Mobile Processor, Wearable Processor, y Modem Exynos (CVE-2025-26785)

Fecha de publicación:
14/05/2025
Idioma:
Español
Se descubrió un problema en NAS en Samsung Mobile Processor, Wearable Processor, y Modem Exynos 9820, 9825, 980, 990, 850, 1080, 2100, 1280, 2200, 1330, 1380, 1480, 2400, 9110, W920, W930, W1000, módem 5123, módem 5300 y módem 5400. La falta de una verificación de longitud genera escrituras fuera de los límites.
Gravedad CVSS v3.1: ALTA
Última modificación:
25/06/2025

Vulnerabilidad en NAS en Samsung Mobile Processor, Wearable Processor, y Modem Exynos (CVE-2025-26784)

Fecha de publicación:
14/05/2025
Idioma:
Español
Se descubrió un problema en NAS en Samsung Mobile Processor, Wearable Processor, y Modem Exynos 9820, 9825, 980, 990, 850, 1080, 2100, 1280, 2200, 1330, 1380, 1480, 2400, 9110, W920, W930, W1000, módem 5123, módem 5300 y módem 5400. La falta de una verificación de longitud genera escrituras fuera de los límites.
Gravedad CVSS v3.1: MEDIA
Última modificación:
25/06/2025

Vulnerabilidad en Sulu (CVE-2025-47778)

Fecha de publicación:
14/05/2025
Idioma:
Español
Sulu es un sistema de gestión de contenido PHP de código abierto basado en el framework Symfony. A partir de las versiones 2.5.21, 2.6.5 y 3.0.0-alpha1, un usuario administrador puede subir archivos SVG que pueden cargar datos externos mediante la librería XML DOM. Esto puede utilizarse para referencias a entidades externas XML inseguras. El problema se ha corregido en las versiones 2.6.9, 2.5.25 y 3.0.0-alpha3. Como solución alternativa, se puede corregir manualmente el archivo de efectos `src/Sulu/Bundle/MediaBundle/FileInspector/SvgFileInspector.php`.
Gravedad CVSS v4.0: MEDIA
Última modificación:
16/05/2025

Vulnerabilidad en motionEye (CVE-2025-47782)

Fecha de publicación:
14/05/2025
Idioma:
Español
motionEye es una interfaz en línea para el software motion, un programa de videovigilancia con detección de movimiento. En las versiones 0.43.1b1 a 0.43.1b3, el uso de una ruta de dispositivo (cámara) construida con la API web `add`/`add_camera` de motionEye permite a un atacante con credenciales de administrador de motionEye ejecutar cualquier comando dentro de un shell no interactivo como el usuario de ejecución de motionEye, `motion` por defecto. La vulnerabilidad se ha corregido con motionEye v0.43.1b4. Como workaround, aplique el parche manualmente.
Gravedad CVSS v4.0: ALTA
Última modificación:
16/05/2025