Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las ultimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las ultimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las ultimas vulnerabilidades incorporadas al repositorio.

Vulnerabilidad en Open-Xchange OX Guard (CVE-2016-6853)

Fecha de publicación:

15/12/2016

Idioma:

Español

Ha sido descubierto un problema en Open-Xchange OX Guard en versiones anteriores a 2.4.2-rev5. Un código de script y las referencias a sitios web externos pueden ser inyectados a los nombres de las claves públicas de PGP. Al solicitar esa clave más adelante usando una URL específica, ese código script podría ser ejecutado. En caso de inyectar sitios web externos, los usuarios pueden ser llevados a un esquema de phishing. El código script malicioso puede ser ejecutado en un contexto de usuario. Esto puede conducir al secuestro de sesión o activar acciones no deseadas a través de la interfaz web (envío de correo, eliminación de datos, etc.).

Gravedad CVSS v3.1: MEDIA

Última modificación:

12/04/2025

Vulnerabilidad en Open-Xchange OX App Suite (CVE-2016-6852)

Fecha de publicación:

15/12/2016

Idioma:

Español

Ha sido descubierto un problema en Open-Xchange OX App Suite en versiones anteriores a 7.8.2-rev8. Usuarios pueden proporcionar rutas de archivo locales para el lector RSS; la respuesta y el código de error dan sugerencias sobre si el archivo proporcionado existe o no. Atacantes podrían descubrir versiones de sistemas de archivos o bibliotecas específicas en el servidor middleware para preparar futuros ataques.

Gravedad CVSS v3.1: MEDIA

Última modificación:

12/04/2025

Vulnerabilidad en Open-Xchange OX Guard (CVE-2016-6851)

Fecha de publicación:

15/12/2016

Idioma:

Español

Ha sido descubierto un problema en Open-Xchange OX Guard en versiones anteriores a 2.4.2-rev5. Código script puede ser usado como parámetro para la aplicación web de lectura huésped OX Guard. Esto permite ataques de XSS contra usuarios arbitrarios debido a que ninguna autenticación previa es necesaria. El código script malicioso puede ser ejecutado en un contexto de usuario. Esto puede conducir al secuestro de sesión o desencadenar acciones no deseadas a través de la interfaz web (envío de correo, eliminación de datos, etc.) en caso de que el usuario tenga una sesión activa en el mismo dominio a la vez.

Gravedad CVSS v3.1: MEDIA

Última modificación:

12/04/2025

Vulnerabilidad en Open-Xchange OX App Suite (CVE-2016-6850)

Fecha de publicación:

15/12/2016

Idioma:

Español

Ha sido descubierto un problema en Open-Xchange OX App Suite en versiones anteriores a 7.8.2-rev8. Archivos SVG pueden ser usados como imágenes de perfil. En caso de que su estructura XML contenga iframes y código script, este código podría ser ejecutado al llamar a la URL de imagen relacionada o visualizar la imagen de la persona relacionada dentro de un navegador. Un código script malicioso puede ser ejecutado en un contexto de usuario. Esto puede conducir al secuestro de sesión o desencadenar acciones no deseadas a través de la interfaz web (envío de correo, eliminación de datos, etc.).

Gravedad CVSS v3.1: MEDIA

Última modificación:

12/04/2025

Vulnerabilidad en Open-Xchange OX App Suite (CVE-2016-6848)

Fecha de publicación:

15/12/2016

Idioma:

Español

Ha sido descubierto un problema en Open-Xchange OX App Suite en versiones anteriores a 7.8.2-rev8. La petición API puede ser usada para inyectar, generar y descargar archivos ejecutables al cliente ("Reflected File Download"). Se puede crear un archivo por lotes específico de plataforma malintencionada (por ejemplo, Microsoft Windows) a través de un dominio de confianza sin autenticación que, si es ejecutado por el usuario, puede conducir a la ejecución de código local.

Gravedad CVSS v3.1: MEDIA

Última modificación:

12/04/2025

Vulnerabilidad en Open-Xchange OX App Suite (CVE-2016-6847)

Fecha de publicación:

15/12/2016

Idioma:

Español

Ha sido descubierto un problema en Open-Xchange OX App Suite en versiones anteriores a 7.8.2-rev8. Archivos SVG pueden ser usados como álbumes mp3. En caso de que su estructura XML contenga un código script, este código puede ser ejecutado cuando se llama a la URL de portada relacionada. El código script malicioso puede ser ejecutado en un contexto de usuario. Esto puede conducir al secuestro de sesión o activar acciones no deseadas a través de la interfaz web (envío de correo, eliminación de datos, etc.).

Gravedad CVSS v3.1: MEDIA

Última modificación:

12/04/2025

Vulnerabilidad en Open-Xchange OX App Suite (CVE-2016-6845)

Fecha de publicación:

15/12/2016

Idioma:

Español

Ha sido descubierto un problema en Open-Xchange OX App Suite en versiones anteriores a 7.8.2-rev8. Un código script con hiperlinks en HTML E-Mails no está siendo correctamente desinfectado cuando utliliza recursos codificados base64 "data". Esto permite a un atacante proporcionar hiperlinks que podrían ejecutar un código script en lugar de dirigir a una localización adecuada. El código script malicioso puede ser ejecutado en un contexto de usuario. Esto puede conducir al secuestro de sesión o activar acciones no deseadas a través de la interfaz web (envío de correo, eliminación de datos, etc.).

Gravedad CVSS v3.1: MEDIA

Última modificación:

12/04/2025

Vulnerabilidad en Open-Xchange OX App Suite (CVE-2016-6844)

Fecha de publicación:

15/12/2016

Idioma:

Español

Ha sido descubierto un problema en Open-Xchange OX App Suite en versiones anteriores a 7.8.2-rev8. El código de secuencia de comandos dentro de los archivos SVG se mantiene al abrir dichos archivos "en el navegador" en función de nuestra aplicación Correo o Drive. En el caso de las etiquetas "a", esto puede incluir objetivos de enlace con referencias de "datos" codificadas en base64. El código de script malicioso se puede ejecutar dentro del contexto de un usuario. Esto puede conducir al secuestro de sesión o activar acciones no deseadas a través de la interfaz web (envío de correo, eliminación de datos, etc.)

Gravedad CVSS v3.1: MEDIA

Última modificación:

12/04/2025

Vulnerabilidad en Open-Xchange OX App Suite (CVE-2016-6843)

Fecha de publicación:

15/12/2016

Idioma:

Español

Ha sido descubierto un problema en Open-Xchange OX App Suite en versiones anteriores a 7.8.2-rev8. Un código script puede ser inyectado en nombres de contactos. Cuando se añaden estos contactos a un grupo, el código script es ejecutado en el contexto del usuario que crea o cambia el grupo utilizando el autocompletado. En muchos casos se trata de un usuario con permisos elevados. El código script malicioso puede ser ejecutado en un contexto de usuario. Esto puede conducir al secuestro de sesión o activar acciones no deseadas a través de la interfaz web (envío de correo, eliminación de datos, etc.).

Gravedad CVSS v3.1: MEDIA

Última modificación:

12/04/2025

Vulnerabilidad en Open-Xchange OX App Suite (CVE-2016-6842)

Fecha de publicación:

15/12/2016

Idioma:

Español

Ha sido descubierto un problema en Open-Xchange OX App Suite en versiones anteriores a 7.8.2-rev8. Establecer el nombre del usuario en el código JS hace que el código se ejecute cuando se selecciona la carpeta "Templates" de ese usuario desde ajustes OX Documents. Esto requiere que esa capeta sea compartida a la victima. El código script malicioso puede ser ejecutado en un contexto de usuario. Esto puede conducir al secuestro de sesión o activar acciones no deseadas a través de la interfaz web (envío de correo, eliminación de datos, etc.).

Gravedad CVSS v3.1: MEDIA

Última modificación:

12/04/2025

Vulnerabilidad en Open-Xchange OX App Suite (CVE-2016-5740)

Fecha de publicación:

15/12/2016

Idioma:

Español

Ha sido descubierto un problema en Open-Xchange OX App Suite en versiones anteriores a 7.8.2-rev5. Un código JavaScript puede ser usado como parte de adjuntos ical dentro de E-Mails de programación. Este contenido, por ejemplo la ubicación de una reunión, se presentará al usuario en la aplicación de correo electrónico, dependiendo del flujo de trabajo de la invitación. Este código se ejecuta dentro del contexto de la sesión actual del usuario. El código script malicioso puede ser ejecutado en un contexto de usuario. Esto puede conducir al secuestro de sesión o activar acciones no deseadas a través de la interfaz web (envío de correo, eliminación de datos, etc.).

Gravedad CVSS v3.1: MEDIA

Última modificación:

12/04/2025

Vulnerabilidad en Open-Xchange OX App Suite (CVE-2016-5124)

Fecha de publicación:

15/12/2016

Idioma:

Español

Ha sido descubierto un problema en Open-Xchange OX App Suite en versiones anteriores a 7.8.1-rev14. Añadir imágenes de recursos externos a los editores HTML con drag&drop puede potencialmente permitir una ejecución de código script en el contexto de un usuario activo. Para explotar esto, un usuario necesita ser engañado para usar una imagen de un sitio web manipulado especial y añadirla a las áreas de editor HTML de OX App Suite, por ejemplo E-Mail Compose o OX Text. Este ataque específico evita los filtros XSS y los mecanismos de detección típicos, ya que el código no se carga desde un servicio externo sino que se inyecta localmente. El código script malicioso puede ser ejecutado en un contexto de usuario. Esto puede conducir al secuestro de sesión o activar acciones no deseadas a través de la interfaz web (envío de correo, eliminación de datos, etc.). Para explotar esta vulnerabilidad, un atacante necesita convencer a un usuario de seguir pasos específicos (ingeniería social).

Gravedad CVSS v3.1: MEDIA

Última modificación:

12/04/2025

Suscribirse a Vulnerabilidades