Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las ultimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las ultimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las ultimas vulnerabilidades incorporadas al repositorio.

Vulnerabilidad en bPlugins LLC Icons Font Loader (CVE-2024-24714)

Fecha de publicación:
26/02/2024
Idioma:
Español
Carga sin restricciones de archivos con vulnerabilidad de tipo peligroso en bPlugins LLC Icons Font Loader. Este problema afecta a Icons Font Loader: desde n/a hasta 1.1.4.
Gravedad CVSS v3.1: ALTA
Última modificación:
28/04/2025

Vulnerabilidad en ITFlow.org (CVE-2024-25344)

Fecha de publicación:
26/02/2024
Idioma:
Español
Vulnerabilidad de cross-site scripting en ITFlow.org antes de el commit v.432488eca3998c5be6b6b9e8f8ba01f54bc12378 permite a un atacante remoto ejecutar código arbitrario y obtener información confidencial a través de settings.php, settings+company.php, settings_defaults.php,settings_integrations.php, settings_invoice.php, settings_localization .php, componentes settings_mail.php.
Gravedad CVSS v3.1: MEDIA
Última modificación:
25/04/2025

Vulnerabilidad en flusity-CMS 2.33 (CVE-2024-25410)

Fecha de publicación:
26/02/2024
Idioma:
Español
flusity-CMS 2.33 es vulnerable a la carga sin restricciones de archivos con tipo peligroso en update_setting.php.
Gravedad CVSS v3.1: MEDIA
Última modificación:
25/03/2025

Vulnerabilidad en Splinefont (CVE-2024-25081)

Fecha de publicación:
26/02/2024
Idioma:
Español
Splinefont en FontForge hasta 20230101 permite la inyección de comandos mediante nombres de archivos manipulados.
Gravedad CVSS v3.1: MEDIA
Última modificación:
04/11/2025

Vulnerabilidad en Splinefont (CVE-2024-25082)

Fecha de publicación:
26/02/2024
Idioma:
Español
Splinefont en FontForge hasta 20230101 permite la inyección de comandos a través de archivos creados o comprimidos.
Gravedad CVSS v3.1: MEDIA
Última modificación:
04/11/2025

Vulnerabilidad en Suricata (CVE-2024-23835)

Fecha de publicación:
26/02/2024
Idioma:
Español
Suricata es un sistema de detección de intrusiones en la red, un sistema de prevención de intrusiones y un motor de monitoreo de seguridad de la red. Antes de la versión 7.0.3, el uso excesivo de memoria durante el análisis de pgsql podía provocar fallos relacionados con OOM. Esta vulnerabilidad está parcheada en 7.0.3. Como workaround, los usuarios pueden desactivar el analizador de capa de aplicación pgsql.
Gravedad CVSS v3.1: ALTA
Última modificación:
18/12/2024

Vulnerabilidad en Suricata (CVE-2024-23836)

Fecha de publicación:
26/02/2024
Idioma:
Español
Suricata es un sistema de detección de intrusiones en la red, un sistema de prevención de intrusiones y un motor de monitoreo de seguridad de la red. Antes de las versiones 6.0.16 y 7.0.3, un atacante podía manipular el tráfico para hacer que Suricata utilizara mucha más CPU y memoria de la necesaria para procesar el tráfico, lo que puede provocar ralentizaciones extremas y denegación de servicio. Esta vulnerabilidad está parcheada en 6.0.16 o 7.0.3. Los workarounds incluyen deshabilitar el analizador de la capa de aplicación del protocolo afectado en el yaml y reducir el valor `stream.reassembly. Depth` ayuda a reducir la gravedad del problema.
Gravedad CVSS v3.1: ALTA
Última modificación:
19/12/2024

Vulnerabilidad en Talos (CVE-2024-23605)

Fecha de publicación:
26/02/2024
Idioma:
Español
Existe una vulnerabilidad de desbordamiento de búfer de almacenamiento dinámico en la funcionalidad header.n_kv de la librería GGUF de llama.cpp Commit 18c2e17. Un archivo .gguf especialmente manipulado puede provocar la ejecución de código. Un atacante puede proporcionar un archivo malicioso para desencadenar esta vulnerabilidad.
Gravedad CVSS v3.1: ALTA
Última modificación:
04/11/2025

Vulnerabilidad en LibHTP (CVE-2024-23837)

Fecha de publicación:
26/02/2024
Idioma:
Español
LibHTP es un analizador consciente de la seguridad para el protocolo HTTP. El tráfico manipulado puede provocar un tiempo de procesamiento excesivo de los encabezados HTTP, lo que lleva a la denegación de servicio. Este problema se aborda en 0.5.46.
Gravedad CVSS v3.1: ALTA
Última modificación:
03/11/2025

Vulnerabilidad en Jetty (CVE-2024-22201)

Fecha de publicación:
26/02/2024
Idioma:
Español
Jetty es un servidor web y motor de servlet basado en Java. Una conexión SSL HTTP/2 que esté establecida y TCP congestionada se filtrará cuando expire el tiempo de espera. Un atacante puede provocar que muchas conexiones terminen en este estado y que el servidor se quede sin descriptores de archivos, lo que eventualmente provocará que el servidor deje de aceptar nuevas conexiones de clientes válidos. La vulnerabilidad está parcheada en 9.4.54, 10.0.20, 11.0.20 y 12.0.6.
Gravedad CVSS v3.1: ALTA
Última modificación:
13/02/2025

Vulnerabilidad en Apache Camel (CVE-2024-22371)

Fecha de publicación:
26/02/2024
Idioma:
Español
Exposición de datos confidenciales mediante la creación de un EventFactory malicioso y proporcionando un ExchangeCreatedEvent personalizado que expone datos confidenciales. Vulnerabilidad en Apache Camel. Este problema afecta a Apache Camel: desde 3.21.X hasta 3.21.3, desde 3.22.X hasta 3.22.0, desde 4.0.X hasta 4.0.3, desde 4.X hasta 4.3.0. Se recomienda a los usuarios actualizar a la versión 3.21.4, 3.22.1, 4.0.4 o 4.4.0, que soluciona el problema.
Gravedad CVSS v3.1: BAJA
Última modificación:
25/04/2025

Vulnerabilidad en Tencent Blueking CMDB (CVE-2024-22873)

Fecha de publicación:
26/02/2024
Idioma:
Español
Se descubrió que Tencent Blueking CMDB v3.2.xa v3.9.x contenía Server-Side Request Forgery (SSRF) a través de la función de suscripción de eventos (/service/subscription.go). Esta vulnerabilidad permite a los atacantes acceder a solicitudes internas mediante una solicitud POST manipulada.
Gravedad CVSS v3.1: ALTA
Última modificación:
09/06/2025