Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las ultimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las ultimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las ultimas vulnerabilidades incorporadas al repositorio.

Vulnerabilidad en WeGIA (CVE-2025-54061)

Fecha de publicación:
17/07/2025
Idioma:
Español
WeGIA es un gestor web de código abierto centrado en el idioma portugués y las instituciones benéficas. Se identificó una vulnerabilidad de inyección SQL en versiones anteriores a la 3.4.6 en el parámetro `idatendido_familiares` del endpoint `/html/funcionario/dependente_editarDoc.php`. Esta vulnerabilidad permite a un atacante manipular consultas SQL y acceder a información confidencial de la base de datos, como nombres de tablas y datos sensibles. La versión 3.4.6 corrige el problema.
Gravedad CVSS v4.0: CRÍTICA
Última modificación:
30/07/2025

Vulnerabilidad en WeGIA (CVE-2025-54062)

Fecha de publicación:
17/07/2025
Idioma:
Español
WeGIA es un gestor web de código abierto centrado en el idioma portugués y las instituciones benéficas. Se identificó una vulnerabilidad de inyección SQL en versiones anteriores a la 3.4.6 en el endpoint `/html/funcionario/profile_dependente.php`, concretamente en el parámetro `id_dependente`. Esta vulnerabilidad permite a los atacantes ejecutar comandos SQL arbitrarios, comprometiendo la confidencialidad, integridad y disponibilidad de la base de datos. La versión 3.4.6 corrige el problema.
Gravedad CVSS v4.0: CRÍTICA
Última modificación:
30/07/2025

Vulnerabilidad en Netwrix Directory Manager (CVE-2025-47189)

Fecha de publicación:
17/07/2025
Idioma:
Español
Netwrix Directory Manager hasta el 01-05-2025 permite XSS.
Gravedad CVSS v3.1: MEDIA
Última modificación:
21/07/2025

Vulnerabilidad en Hollo (CVE-2025-53941)

Fecha de publicación:
17/07/2025
Idioma:
Español
Hollo es un software de microblogging federado para un solo usuario, diseñado para federarse a través de ActivityPub. Las versiones anteriores a la 0.6.5 permiten el envío de elementos de formulario HTML, lo que hace que el software sea vulnerable a la inyección de HTML. La versión 0.6.5 soluciona el problema.
Gravedad CVSS v3.1: MEDIA
Última modificación:
17/07/2025

Vulnerabilidad en TOTOLINK N350RT V9.3.5u.6139_B20201216 (CVE-2025-51630)

Fecha de publicación:
17/07/2025
Idioma:
Español
Se descubrió que TOTOLINK N350RT V9.3.5u.6139_B20201216 contiene un desbordamiento de búfer a través del parámetro ePort en la función setIpPortFilterRules.
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
18/07/2025

Vulnerabilidad en WeGIA (CVE-2025-53946)

Fecha de publicación:
17/07/2025
Idioma:
Español
WeGIA es un gestor web de código abierto centrado en el idioma portugués y las instituciones benéficas. Se identificó una vulnerabilidad de inyección SQL en versiones anteriores a la 3.4.5 en el parámetro `id_funcionario` del endpoint `/html/saude/profile_paciente.php`. Esta vulnerabilidad permite a un atacante manipular consultas SQL y acceder a información confidencial de la base de datos, como nombres de tablas y datos sensibles. La versión 3.4.5 corrige el problema.
Gravedad CVSS v4.0: CRÍTICA
Última modificación:
30/07/2025

Vulnerabilidad en MaxKB (CVE-2025-53927)

Fecha de publicación:
17/07/2025
Idioma:
Español
MaxKB es un asistente de IA de código abierto para empresas. Antes de la versión 2.0.0, las reglas de diseño de la sandbox no se podían eludir, ya que MaxKB solo restringía los permisos de ejecución de los archivos en un directorio específico. Por lo tanto, un atacante podía usar el método `shutil.copy2` en Python para copiar el comando que desea ejecutar al directorio ejecutable. Esto elude las restricciones de directorio y el shell inverso. La versión 2.0.0 soluciona este problema.
Gravedad CVSS v3.1: MEDIA
Última modificación:
02/08/2025

Vulnerabilidad en MaxKB (CVE-2025-53928)

Fecha de publicación:
17/07/2025
Idioma:
Español
MaxKB es un asistente de IA de código abierto para empresas. En versiones anteriores a la 1.10.9-lts y la 2.0.0, existía una vulnerabilidad de ejecución remota de comandos en la llamada MCP. Las versiones 1.10.9-lts y 2.0.0 solucionan el problema.
Gravedad CVSS v3.1: MEDIA
Última modificación:
02/08/2025

Vulnerabilidad en mailcow: dockerized (CVE-2025-53909)

Fecha de publicación:
17/07/2025
Idioma:
Español
mailcow: dockerized es una suite de correo electrónico/groupware de código abierto basada en Docker. Existe una vulnerabilidad de inyección de plantillas del lado del servidor (SSTI) en versiones anteriores a la 2025-07 en el sistema de plantillas de notificación que mailcow utiliza para enviar alertas de cuota y cuarentena. El motor de renderizado de plantillas permite que expresiones de plantilla que podrían ser utilizadas indebidamente ejecuten código en ciertos contextos. El problema requiere acceso de administrador a la interfaz de usuario de mailcow para configurar las plantillas, que se renderizan automáticamente durante el funcionamiento normal del sistema. La versión 2025-07 contiene un parche para solucionar el problema.
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
11/09/2025

Vulnerabilidad en Catalyst::Plugin::Session para Perl (CVE-2025-40924)

Fecha de publicación:
17/07/2025
Idioma:
Español
Catalyst::Plugin::Session para Perl, versiones anteriores a la 0.44, genera identificadores de sesión de forma insegura. El identificador de sesión se genera a partir de un hash (generalmente SHA-1) de un contador simple, la fecha de la época, la función rand integrada, el PID y el contexto actual de Catalyst. Esta información es de baja entropía. El PID se obtendrá de un pequeño conjunto de números, y la fecha de la época puede ser descifrada si no se filtra desde la cabecera HTTP Date. La función rand integrada no es adecuada para uso criptográfico. Los identificadores de sesión predecibles podrían permitir que un atacante acceda a los sistemas.
Gravedad CVSS v3.1: MEDIA
Última modificación:
17/07/2025

Vulnerabilidad en Xen Project (CVE-2025-1713)

Fecha de publicación:
17/07/2025
Idioma:
Español
Al configurar la reasignación de interrupciones para dispositivos PCI(-X) antiguos, incluidos los puentes PCI(-X), se requiere una búsqueda del puente ascendente. Esta búsqueda, que implica la adquisición de un bloqueo, se realiza en un contexto donde la adquisición de dicho bloqueo no es segura. Esto puede provocar un interbloqueo.
Gravedad CVSS v3.1: ALTA
Última modificación:
17/07/2025

Vulnerabilidad en Bluebird (CVE-2025-5344)

Fecha de publicación:
17/07/2025
Idioma:
Español
Los dispositivos Bluebird contienen una aplicación de kiosco preinstalada. Esta aplicación expone un proveedor de servicios no seguro, "com.bluebird.kiosk.launcher.IpartnerKioskRemoteService". Un atacante local puede enlazar con el servicio de tipo AIDL para modificar la configuración global y la imagen de fondo de pantalla del dispositivo. Este problema afecta a todas las versiones anteriores a la 1.1.2.
Gravedad CVSS v4.0: ALTA
Última modificación:
17/07/2025