Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las ultimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las ultimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las ultimas vulnerabilidades incorporadas al repositorio.

Vulnerabilidad en MinIO (CVE-2025-31489)

Fecha de publicación:

03/04/2025

Idioma:

Español

MinIO es un almacenamiento de objetos de alto rendimiento publicado bajo la Licencia Pública General Affero GNU v3.0. El componente de firma de la autorización podría no ser válido, lo que significaría que, como cliente, podría usar cualquier secreto arbitrario para cargar objetos, siempre que el usuario ya tenga permisos de escritura en el bucket. Es necesario conocer previamente la clave de acceso y el nombre del bucket al que este usuario podría tener acceso, así como una clave de acceso con permisos de escritura. Sin embargo, con la información pertinente, cargar objetos aleatorios a los buckets es trivial y sencillo mediante curl. Este problema se solucionó en la versión RELEASE.2025-04-03T14-56-28Z.

Gravedad CVSS v4.0: ALTA

Última modificación:

07/04/2025

Vulnerabilidad en API Platform Core (CVE-2025-31481)

Fecha de publicación:

03/04/2025

Idioma:

Español

API Platform Core es un sistema para crear API REST y GraphQL basadas en hipermedia. Mediante el tipo de nodo especial Relay, se puede eludir la seguridad configurada en una operación. Esta vulnerabilidad se corrigió en la versión 4.0.22.

Gravedad CVSS v3.1: ALTA

Última modificación:

08/04/2025

Vulnerabilidad en API Platform Core (CVE-2025-31485)

Fecha de publicación:

03/04/2025

Idioma:

Español

API Platform Core es un sistema para crear API REST y GraphQL basadas en hipermedia. Antes de la versión 4.0.22, una concesión GraphQL en una propiedad podía almacenarse en caché con diferentes objetos. El método ApiPlatform\GraphQl\Serializer\ItemNormalizer::isCacheKeySafe() impide el almacenamiento en caché, pero el método parent::normalize, que se invoca posteriormente, sigue creando la clave de caché y causando el problema. Esta vulnerabilidad se corrigió en la versión 4.0.22.

Gravedad CVSS v3.1: ALTA

Última modificación:

08/04/2025

Vulnerabilidad en CrushFTP 10 (CVE-2025-31161)

Fecha de publicación:

03/04/2025

Idioma:

Español

CrushFTP 10 anterior a la 10.8.4 y 11 anterior a la 11.3.1 permite omitir la autenticación y tomar el control de la cuenta crushadmin (a menos que se utilice una instancia de proxy DMZ), como se explotó en marzo y abril de 2025, también conocido como "Acceso al puerto HTTP(S) sin autenticar". Existe una condición de ejecución en el método de autorización AWS4-HMAC (compatible con S3) del componente HTTP del servidor FTP. El servidor verifica primero la existencia del usuario mediante una llamada a login_user_pass() sin necesidad de contraseña. Esto autenticará la sesión mediante el proceso de verificación HMAC hasta que el servidor vuelva a verificar la verificación del usuario. La vulnerabilidad se puede estabilizar aún más, eliminando la necesidad de activar una condición de ejecución, mediante el envío de un encabezado AWS4-HMAC alterado. Al proporcionar únicamente el nombre de usuario y una barra diagonal (/), el servidor encontrará un nombre de usuario, lo que activará la autenticación anypass. Sin embargo, no encontrará la entrada SignedHeaders esperada, lo que generará un error de indexación fuera de los límites que impedirá que el código complete la limpieza de la sesión. En conjunto, estos problemas dificultan la autenticación con cualquier usuario conocido o indeterminado (p. ej., crushadmin) y pueden comprometer por completo el sistema al obtener una cuenta administrativa.

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

21/04/2025

Vulnerabilidad en student-manage 1 (CVE-2025-29504)

Fecha de publicación:

03/04/2025

Idioma:

Español

La vulnerabilidad de permiso inseguro en student-manage 1 permite a un atacante local escalar privilegios a través de la verificación de permiso inseguro.

Gravedad CVSS v3.1: ALTA

Última modificación:

07/04/2025

Vulnerabilidad en Shenzhen Libituo Technology Co., Ltd LBT-T300-T400 v3.2 (CVE-2025-29570)

Fecha de publicación:

03/04/2025

Idioma:

Español

Un problema en Shenzhen Libituo Technology Co., Ltd LBT-T300-T400 v3.2 permite que un atacante local escale privilegios a través de la función tftp_image_check de un binario llamado rc.

Gravedad CVSS v3.1: ALTA

Última modificación:

07/04/2025

Vulnerabilidad en Tenda Ac15 V15.13.07.13 (CVE-2025-29462)

Fecha de publicación:

03/04/2025

Idioma:

Español

Se ha descubierto una vulnerabilidad de desbordamiento de búfer en Tenda Ac15 V15.13.07.13. La vulnerabilidad se produce cuando la función webCgiGetUploadFile llama a la función socketRead para procesar mensajes de solicitud HTTP, lo que provoca la sobrescritura de un búfer en la pila.

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

22/04/2025

Vulnerabilidad en Gladinet CentreStack (CVE-2025-30406)

Fecha de publicación:

03/04/2025

Idioma:

Español

Gladinet CentreStack hasta la versión 16.1.10296.56315 (solucionada en la versión 16.4.10315.56368) presenta una vulnerabilidad de deserialización debido al uso de la clave de máquina (machineKey) codificada de forma rígida en el portal de CentreStack, explotada in situ en marzo de 2025. Esto permite a los actores de amenazas (que conocen la clave de máquina) serializar un payload para la deserialización del servidor y lograr la ejecución remota de código. NOTA: Un administrador de CentreStack puede eliminar manualmente la clave de máquina definida en portal\web.config.

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

22/04/2025

Vulnerabilidad en TOTOLINK x18 v.9.1.0cu.2024_B20220329 (CVE-2025-29064)

Fecha de publicación:

03/04/2025

Idioma:

Español

Un problema en TOTOLINK x18 v.9.1.0cu.2024_B20220329 permite que un atacante remoto ejecute código arbitrario a través de la función sub_410E54 de cstecgi.cgi.

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

29/04/2025

Vulnerabilidad en Insightsoftware Spark JDBC 2.6.21 (CVE-2024-45198)

Fecha de publicación:

03/04/2025

Idioma:

Español

Insightsoftware Spark JDBC 2.6.21 presenta una vulnerabilidad de ejecución remota de código. Los atacantes pueden inyectar parámetros maliciosos en la URL de JDBC, lo que activa la inyección JNDI durante el proceso cuando el controlador JDBC utiliza esta URL para conectarse a la base de datos. Esto puede provocar la ejecución remota de código.

Gravedad CVSS v3.1: ALTA

Última modificación:

07/04/2025