Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

017 - Ir a la línea de ayuda en Ciberseguridad    Ir a Agenda     Ir a Sala de prensa     Ir a suscripción de boletines

Ir al buscador

Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las ultimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las ultimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las ultimas vulnerabilidades incorporadas al repositorio.

CVE-2025-62961
Fecha de publicación:
18/12/2025
Idioma:
Inglés
*** Pendiente de traducción *** Missing Authorization vulnerability in Sparkle WP Sparkle FSE allows Exploiting Incorrectly Configured Access Control Security Levels.This issue affects Sparkle FSE: from n/a through 1.0.9.
Gravedad CVSS v3.1: MEDIA
Última modificación:
20/01/2026

CVE-2025-62998
Fecha de publicación:
18/12/2025
Idioma:
Inglés
*** Pendiente de traducción *** Insertion of Sensitive Information Into Sent Data vulnerability in WP Messiah WP AI CoPilot allows Retrieve Embedded Sensitive Data.This issue affects WP AI CoPilot: from n/a through 1.2.7.
Gravedad CVSS v3.1: MEDIA
Última modificación:
20/01/2026

CVE-2025-63002
Fecha de publicación:
18/12/2025
Idioma:
Inglés
*** Pendiente de traducción *** Missing Authorization vulnerability in wpforchurch Sermon Manager allows Exploiting Incorrectly Configured Access Control Security Levels.This issue affects Sermon Manager: from n/a through 2.30.0.
Gravedad CVSS v3.1: MEDIA
Última modificación:
20/01/2026

CVE-2025-14896
Fecha de publicación:
18/12/2025
Idioma:
Inglés
*** Pendiente de traducción *** due to insufficient sanitazation in Vega’s `convert()` function when `safeMode` is enabled and the spec variable is an array. An attacker can craft a malicious Vega diagram specification that will allow them to send requests to any URL, including local file system paths, leading to exposure of sensitive information.
Gravedad CVSS v4.0: ALTA
Última modificación:
19/12/2025

CVE-2025-14884
Fecha de publicación:
18/12/2025
Idioma:
Inglés
*** Pendiente de traducción *** A vulnerability was detected in D-Link DIR-605 202WWB03. Affected by this issue is some unknown functionality of the component Firmware Update Service. Performing manipulation results in command injection. The attack can be initiated remotely. The exploit is now public and may be used. This vulnerability only affects products that are no longer supported by the maintainer.
Gravedad CVSS v4.0: ALTA
Última modificación:
07/01/2026

CVE-2025-14879
Fecha de publicación:
18/12/2025
Idioma:
Inglés
*** Pendiente de traducción *** A weakness has been identified in Tenda WH450 1.0.0.18. Affected is an unknown function of the file /goform/onSSIDChange of the component HTTP Request Handler. This manipulation of the argument ssid_index causes stack-based buffer overflow. It is possible to initiate the attack remotely. The exploit has been made available to the public and could be exploited.
Gravedad CVSS v4.0: ALTA
Última modificación:
24/12/2025

CVE-2025-68278
Fecha de publicación:
18/12/2025
Idioma:
Inglés
*** Pendiente de traducción *** Tina is a headless content management system. In tinacms prior to version 3.1.1, tinacms uses the gray-matter package in an insecure way allowing attackers that can control the content of the processed markdown files, e.g., blog posts, to execute arbitrary code. tinacms version 3.1.1, @tinacms/cli version 2.0.4, and @tinacms/graphql version 2.0.3 contain a fix for the issue.
Gravedad CVSS v4.0: ALTA
Última modificación:
19/12/2025

CVE-2025-68469
Fecha de publicación:
18/12/2025
Idioma:
Inglés
*** Pendiente de traducción *** ImageMagick is free and open-source software used for editing and manipulating digital images. Prior to version 7.1.1-14, ImageMagick crashes when processing a crafted TIFF file. Version 7.1.1-14 fixes the issue.
Gravedad CVSS v4.0: BAJA
Última modificación:
30/12/2025

CVE-2025-64724
Fecha de publicación:
18/12/2025
Idioma:
Inglés
*** Pendiente de traducción *** Arduino IDE is an integrated development environment. Prior to version 2.3.7, Arduino IDE for macOS is installed with world-writable file permissions on sensitive application components, allowing any local user to replace legitimate files with malicious code. When another user launches the application, the malicious code executes with that user's privileges, enabling privilege escalation and unauthorized access to sensitive data. The fix is included starting from the `2.3.7` release.
Gravedad CVSS v4.0: MEDIA
Última modificación:
19/12/2025

CVE-2025-64723
Fecha de publicación:
18/12/2025
Idioma:
Inglés
*** Pendiente de traducción *** Arduino IDE is an integrated development environment. Prior to version 2.3.7, Arduino IDE for macOS was configured with overly permissive security entitlements that could bypass macOS Hardened Runtime protections. This configuration allows attackers to inject malicious dynamic libraries into the application process, gaining access to all TCC (Transparency, Consent, and Control) permissions granted to the application. The fix is included starting from the `2.3.7 ` release.
Gravedad CVSS v4.0: MEDIA
Última modificación:
14/01/2026

CVE-2025-63389
Fecha de publicación:
18/12/2025
Idioma:
Inglés
*** Pendiente de traducción *** A critical authentication bypass vulnerability exists in Ollama platform's API endpoints in versions prior to and including v0.12.3. The platform exposes multiple API endpoints without requiring authentication, enabling remote attackers to perform unauthorized model management operations.
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
22/01/2026

CVE-2025-63390
Fecha de publicación:
18/12/2025
Idioma:
Inglés
*** Pendiente de traducción *** An authentication bypass vulnerability exists in AnythingLLM v1.8.5 in via the /api/workspaces endpoint. The endpoint fails to implement proper authentication checks, allowing unauthenticated remote attackers to enumerate and retrieve detailed information about all configured workspaces. Exposed data includes: workspace identifiers (id, name, slug), AI model configurations (chatProvider, chatModel, agentProvider), system prompts (openAiPrompt), operational parameters (temperature, history length, similarity thresholds), vector search settings, chat modes, and timestamps.
Gravedad CVSS v3.1: MEDIA
Última modificación:
22/01/2026
Suscribirse a Vulnerabilidades