Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las ultimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las ultimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las ultimas vulnerabilidades incorporadas al repositorio.

Vulnerabilidad en ext/wddx/wddx.c en PHP (CVE-2016-7131)

Fecha de publicación:
12/09/2016
Idioma:
Español
ext/wddx/wddx.c en PHP en versiones anteriores a 5.6.25 y 7.x en versiones anteriores a 7.0.10 permite a atacantes remotos provocar una denegación de servicio (referencia a puntero NULL y caída de aplicación) o tener otro posible impacto no especificado a través de un documento XML wddxPacket mal formado que es manejado incorrectamente en una llamada wddx_deserialize, según lo demostrado mediante una etiqueta que carece de un carácter
Gravedad CVSS v3.1: ALTA
Última modificación:
12/04/2025

Vulnerabilidad en la función php_wddx_pop_element en ext/wddx/wddx.c en PHP (CVE-2016-7130)

Fecha de publicación:
12/09/2016
Idioma:
Español
La función php_wddx_pop_element en ext/wddx/wddx.c en PHP en versiones anteriores a 5.6.25 y 7.x en versiones anteriores a 7.0.10 permite a atacantes remotos provocar una denegación de servicio (referencia a puntero NULL y caída de aplicación) o tener otro posible impacto no especificado a través de un valor binario base64 no válido, según lo demostrado mediante una llamada wddx_deserialize que no maneja adecuadamente un elemento binario en un documento XML wddxPacket.
Gravedad CVSS v3.1: ALTA
Última modificación:
12/04/2025

Vulnerabilidad en la función php_wddx_process_data en ext/wddx/wddx.c en PHP (CVE-2016-7129)

Fecha de publicación:
12/09/2016
Idioma:
Español
La función php_wddx_process_data en ext/wddx/wddx.c en PHP en versiones anteriores a 5.6.25 y 7.x en versiones anteriores a 7.0.10 permite a atacantes remotos provocar una denegación de servicio (error de segmentación) o tener otro posible impacto no especificado a través de un valor de tiempo ISO 8601 no válido, según lo demostrado mediante una llamada wddx_deserialize que no maneja adecuadamente un elemento dateTime en un documento XML wddxPacket.
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
12/04/2025

Vulnerabilidad en la función exif_process_IFD_in_TIFF en ext/exif/exif.c en PHP (CVE-2016-7128)

Fecha de publicación:
12/09/2016
Idioma:
Español
La función exif_process_IFD_in_TIFF en ext/exif/exif.c en PHP en versiones anteriores a 5.6.25 y 7.x en versiones anteriores a 7.0.10 no maneja correctamente el caso de desplazamientos en miniatura que exceden el tamaño de archivo, lo que permite a atacantes remotos obtener información sensible de un proceso de memoria a través de una imagen TIFF manipulada.
Gravedad CVSS v3.1: MEDIA
Última modificación:
12/04/2025

Vulnerabilidad en la función imagetruecolortopalette en ext/gd/gd.c en PHP (CVE-2016-7127)

Fecha de publicación:
12/09/2016
Idioma:
Español
La función imagetruecolortopalette en ext/gd/gd.c en PHP en versiones anteriores a 5.6.25 y 7.x en versiones anteriores a 7.0.10 no valida adecuadamente los valores de gama, lo que permite a atacantes remotos provocar una denegación de servicio (escritura fuera de límites) o tener otro posible impacto no especificado proporcionando diferentes signos para el segundo y tercer argumento.
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
12/04/2025

Vulnerabilidad en la función imagetruecolortopalette en ext/gd/gd.c en PHP (CVE-2016-7126)

Fecha de publicación:
12/09/2016
Idioma:
Español
La función imagetruecolortopalette en ext/gd/gd.c en PHP en versiones anteriores a 5.6.25 y 7.x en versiones anteriores a 7.0.10 no valida adecuadamente el número de colores, lo que permite a atacantes remotos provocar una denegación de servicio (error de localización de colores de selección y escritura fuera de límites) o tener otro posible impacto no especificado a través de un valor largo en el tercer argumento.
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
12/04/2025

Vulnerabilidad en ext/session/session.c en PHP (CVE-2016-7125)

Fecha de publicación:
12/09/2016
Idioma:
Español
ext/session/session.c en PHP en versiones anteriores a 5.6.25 y 7.x en versiones anteriores a 7.0.10 omite nombres de sesión no válidos de una manera que desencadena un análisis gramatical incorrecto, lo que permite a atacantes remotos inyectar datos de sesión de tipo arbitrario aprovechando el control de un nombre de sesión, según lo demostrado mediante la inyección de objetos.
Gravedad CVSS v3.1: ALTA
Última modificación:
12/04/2025

Vulnerabilidad en ext/standard/var_unserializer.c en PHP (CVE-2016-7124)

Fecha de publicación:
12/09/2016
Idioma:
Español
ext/standard/var_unserializer.c en PHP en versiones anteriores a 5.6.25 y 7.x en versiones anteriores a 7.0.10 no maneja adecuadamente ciertos objetos no válidos, lo que permite a atacantes remotos provocar una denegación de servicio o tener otro posible impacto no especificado a través de datos serializados manipulados que conducen a (1) una llamada __destruct o (2) una llamada al método mágico.
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
12/04/2025

Vulnerabilidad en dispositivos Cisco Wireless LAN Controller (WLC) (CVE-2016-6375)

Fecha de publicación:
12/09/2016
Idioma:
Español
Dispositivos Cisco Wireless LAN Controller (WLC) en versiones anteriores a 8.0.140.0, 8.1.x y 8.2.x en versiones anteriores a 8.2.121.0 y 8.3.x en versiones anteriores a 8.3.102.0 permiten a atacantes remotos provocar una denegación de servicio (recarga del dispositivo) mediante el envío de paquetes Inter-Access Point Protocol (IAPP) manipulados y después, el envío de peticiones de información de métricas de flujo de tráfico (TSM) a través de SNMP, vulnerabilidad también conocida como Bug ID CSCuz40221.
Gravedad CVSS v3.1: MEDIA
Última modificación:
12/04/2025

Vulnerabilidad en el marco de referencia HTTP en dispositivos Cisco (CVE-2016-1469)

Fecha de publicación:
12/09/2016
Idioma:
Español
El marco de referencia HTTP en dispositivos Cisco SPA300, SPA500 y SPA51x permite a atacantes remotos provocar una denegación de servicio (interrupción del dispositivo) a través de una serie de peticiones HTTP mal formadas, vulnerabilidad también conocida como Bug ID CSCut67385.
Gravedad CVSS v3.1: ALTA
Última modificación:
12/04/2025

Vulnerabilidad en OMXCodec.cpp en libstagefright en mediaserver en Android (CVE-2016-3899)

Fecha de publicación:
11/09/2016
Idioma:
Español
OMXCodec.cpp en libstagefright en mediaserver en Android 4.x en versiones anteriores a 4.4.4, 5.0.x en versiones anteriores a 5.0.2, 5.1.x en versiones anteriores a 5.1.1, 6.x en versiones anteriores a 2016-09-01 y 7.0 en versiones anteriores a 2016-09-01 no valida un determinado puntero, lo que permite a atacantes remotos provocar una denegación de servicio (cuelgue o reinicio del dispositivo) a través de un archivo multimedia manipulado, vulnerabilidad también conocida como error interno 29421811.
Gravedad CVSS v3.1: MEDIA
Última modificación:
12/04/2025

Vulnerabilidad en Telephony en Android (CVE-2016-3898)

Fecha de publicación:
11/09/2016
Idioma:
Español
Telephony en Android 5.0.x en versiones anteriores a 5.0.2, 5.1.x en versiones anteriores a 5.1.1, 6.x en versiones anteriores a 2016-09-01 y 7.0 en versiones anteriores a 2016-09-01 permite a atacantes provocar una denegación de servicio (pérdida de la funcionalidad 911 TTY de bloqueo de pantalla) a través de una aplicación manipulada que modifica el modo TTY mediante la trasmisión de un intento, vulnerabilidad también conocida como error interno 29832693.
Gravedad CVSS v3.1: MEDIA
Última modificación:
12/04/2025