Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las últimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las últimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las últimas vulnerabilidades incorporadas al repositorio.

Vulnerabilidad en el parámetro Ethernet number en el portal móvil de HGiga OAKlouds (CVE-2021-37912)

Fecha de publicación:
15/09/2021
Idioma:
Español
El portal móvil de HGiga OAKlouds no filtra los caracteres especiales del parámetro Ethernet number de la página de configuración de la tarjeta de interfaz de red. Unos atacantes remotos pueden usar esta vulnerabilidad para llevar a cabo una inyección de comandos y ejecutar comandos arbitrarios en el sistema sin iniciar sesión
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
28/09/2021

Vulnerabilidad en IBM Security Guardium (CVE-2021-29773)

Fecha de publicación:
15/09/2021
Idioma:
Español
IBM Security Guardium versiones 10.6 y 11.3, podría permitir a un atacante autenticado remoto conseguir información confidencial o modificar los detalles del usuario causado por una vulnerabilidad de objeto directo no seguro (IDOR). IBM X-Force ID: 202865
Gravedad CVSS v3.1: MEDIA
Última modificación:
03/05/2022

Vulnerabilidad en una inyección de propiedades en objetos JSON en Jitsi Meet (CVE-2021-39205)

Fecha de publicación:
15/09/2021
Idioma:
Español
Jitsi Meet es una aplicación de videoconferencia de código abierto. Las versiones anteriores a 2.0.6173 son vulnerables a un ataque de tipo cross-site scripting del lado del cliente por medio de una inyección de propiedades en objetos JSON que no fueron escapados correctamente. No se conocen incidentes relacionados con la explotación de esta vulnerabilidad. Este problema ha sido corregido en la versión 2.0.6173 de Jitsi Meet. No se conocen soluciones aparte de la actualización
Gravedad CVSS v3.1: MEDIA
Última modificación:
10/09/2022

Vulnerabilidad en IBM QRadar SIEM (CVE-2021-29750)

Fecha de publicación:
15/09/2021
Idioma:
Español
IBM QRadar SIEM versiones 7.3 y 7.4, usa algoritmos criptográficos más débiles de lo esperado que podrían permitir a un atacante descifrar información altamente confidencial. IBM X-Force ID: 201778
Gravedad CVSS v3.1: ALTA
Última modificación:
28/09/2021

Vulnerabilidad en un módulo de Prosody en Jitsi Meet (CVE-2021-39215)

Fecha de publicación:
15/09/2021
Idioma:
Español
Jitsi Meet es una aplicación de videoconferencia de código abierto. En versiones anteriores a 2.0.5963, un módulo de Prosody permite el uso de algoritmos simétricos para comprender los tokens web JSON. Esto significa que los tokens generados por fuentes arbitrarias pueden ser usados para conseguir autorización a las salas protegidas. Este problema ha sido corregido en Jitsi Meet versión 2.0.5963. No se presentan soluciones conocidas aparte de la actualización
Gravedad CVSS v3.1: ALTA
Última modificación:
28/09/2021

Vulnerabilidad en una URL en TinyFileManager (CVE-2021-40965)

Fecha de publicación:
15/09/2021
Idioma:
Español
Se presenta una vulnerabilidad de tipo Cross-Site Request Forgery (CSRF) en TinyFileManager en Todas las versiones hasta 2.4.6 incluyéndola, que permite a atacantes subir archivos y ejecutar comandos del Sistema Operativo induciendo al usuario administrador a navegar por una URL controlada por un atacante
Gravedad CVSS v3.1: ALTA
Última modificación:
31/12/2025

Vulnerabilidad en el archivo /tinyfilemanager.php en TinyFileManager (CVE-2021-40966)

Fecha de publicación:
15/09/2021
Idioma:
Español
Se presenta una vulnerabilidad de tipo XSS almacenado en TinyFileManager. Todas las versiones hasta 2.4.6 incluyéndola, en el archivo /tinyfilemanager.php cuando el servidor recibe un archivo que contiene HTML y javascript en su nombre. Un usuario malicioso puede subir un archivo con un nombre malicioso que contenga código javascript y se ejecutará en cualquier navegador de usuario cuando éste acceda al servidor
Gravedad CVSS v3.1: MEDIA
Última modificación:
31/12/2025

Vulnerabilidad en el parámetro "fullpath" en TinyFileManager (CVE-2021-40964)

Fecha de publicación:
15/09/2021
Idioma:
Español
Se presenta una vulnerabilidad de Salto de Directorio en TinyFileManager en Todas las versiones hasta 2.4.6 incluyéndola, que permite a atacantes subir un archivo (con credenciales de administrador o con la vulnerabilidad CSRF) con el parámetro "fullpath" que contiene cadenas de salto de ruta (../ y ..\) para escapar del directorio de trabajo previsto del servidor y escribir archivos maliciosos en cualquier directorio del ordenador
Gravedad CVSS v3.1: MEDIA
Última modificación:
31/12/2025

Vulnerabilidad en IBM Security Guardium (CVE-2021-20433)

Fecha de publicación:
15/09/2021
Idioma:
Español
IBM Security Guardium versión 11.3, podría permitir a un usuario autenticado conseguir información confidencial que podría ser usada en otros ataques contra el sistema. IBM X-Force ID: 196345
Gravedad CVSS v3.1: MEDIA
Última modificación:
27/09/2021

Vulnerabilidad en los parámetros (1) NOM_CLI , (2) ADRESSE , (3) ADRESSE2, (4) LOCALITE en /eshop/productos/json/aouCustomerAdresse; y el parámetro (5) nom_liste a /eshop/productos/json/addCustomerFavorite en SITA Software Azur CMS (CVE-2021-28901)

Fecha de publicación:
15/09/2021
Idioma:
Español
Se presentan múltiples vulnerabilidades de tipo cross-site scripting (XSS) en SITA Software Azur CMS versiones 1.2.3.1 y anteriores, que permiten a atacantes remotos inyectar scripts web o HTML arbitrario por medio de los parámetros (1) NOM_CLI , (2) ADRESSE , (3) ADRESSE2, (4) LOCALITE en /eshop/productos/json/aouCustomerAdresse; y el parámetro (5) nom_liste a /eshop/productos/json/addCustomerFavorite
Gravedad CVSS v3.1: MEDIA
Última modificación:
28/09/2021

Vulnerabilidad en el campo Title de un Radar en la aplicación TechRadar para Confluence Server (CVE-2021-37412)

Fecha de publicación:
15/09/2021
Idioma:
Español
La aplicación TechRadar versión 1.1, para Confluence Server permite una vulnerabilidad de tipo XSS por medio del campo Title de un Radar
Gravedad CVSS v3.1: MEDIA
Última modificación:
24/01/2023

Vulnerabilidad en la herramienta de administración de MyLittleBackup (CVE-2021-39392)

Fecha de publicación:
15/09/2021
Idioma:
Español
La herramienta de administración de MyLittleBackup versiones hasta 1.7 incluyéndola, permite a atacantes remotos ejecutar código arbitrario porque machineKey está embebida (la misma para todas las instalaciones de los clientes) en web.config, y puede usarse para enviar código ASP serializado
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
07/10/2021