Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las últimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las últimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las últimas vulnerabilidades incorporadas al repositorio.

Vulnerabilidad en Jenkins (CVE-2017-2612)

Fecha de publicación:

15/05/2018

Idioma:

Español

En Jenkins en versiones anteriores a la 2.44 y 2.32.2, usuarios con pocos privilegios fueron capaces de omitir las credenciales de descarga JDK (SECURITY-392), lo que resulta en que las próximas builds no puedan descargar un JDK.

Gravedad CVSS v3.1: MEDIA

Última modificación:

09/10/2019

Vulnerabilidad en Cloud Foundry Foundation UAA (CVE-2018-1262)

Fecha de publicación:

15/05/2018

Idioma:

Español

Cloud Foundry Foundation UAA, en versiones 4.12.X y 4.13.X, introdujo una característica que podría permitir el escalado de privilegios en zonas de identidad para clientes que realizan validación offline. Un administrador de zona podría configurar su zona para enviar tokens que suplanten otra zona, otorgando hasta privilegios de administrador en la zona suplantada a clientes que realizan la validación offline de tokens.

Gravedad CVSS v3.1: ALTA

Última modificación:

17/08/2021

Vulnerabilidad en Pivotal spring-integration-zip (CVE-2018-1263)

Fecha de publicación:

15/05/2018

Idioma:

Español

Aborda una solución incompleta en CVE-2018-1261. Pivotal spring-integration-zip en versiones anteriores a la 1.0.2 expone una vulnerabilidad de escritura de archivos arbitrarios, que puede lograrse empleando un archivo zip especialmente manipulado (afecta también a otros archivos, como bzip2, tar, xz, war, cpio o 7z) que contiene nombres de archivo de salto de directorio. Por lo tanto, cuando el nombre de archivo se concatena al directorio de extracción objetivo, la ruta final acaba fuera de la carpeta objetivo.

Gravedad CVSS v3.1: MEDIA

Última modificación:

12/08/2021

Vulnerabilidad en dispositivos Intelbras NCLOUD (CVE-2018-11094)

Fecha de publicación:

15/05/2018

Idioma:

Español

Se ha descubierto un problema en dispositivos Intelbras NCLOUD 300 1.0. /cgi-bin/ExportSettings.sh, /goform/updateWPS, /goform/RebootSystem y /goform/vpnBasicSettings no requieren autenticación. Por ejemplo, cuando se realiza una petición POST HTTP a /cgi-bin/ExportSettings.sh, se recupera el nombre de usuario, contraseña y otros detalles.

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

22/06/2018

Vulnerabilidad en doorGets (CVE-2018-11126)

Fecha de publicación:

15/05/2018

Idioma:

Español

dg-user/?controller=usersaction=add en doorGets 7.0 tiene Cross-Site Request Forgery (CSRF) que resulta en la adición de una cuenta de usuario.

Gravedad CVSS v3.1: ALTA

Última modificación:

19/06/2018

Vulnerabilidad en e107 (CVE-2018-11127)

Fecha de publicación:

15/05/2018

Idioma:

Español

e107 2.1.7 tiene Cross-Site Request Forgery (CSRF) que resulta en la eliminación de usuarios arbitrarios.

Gravedad CVSS v3.1: MEDIA

Última modificación:

19/06/2018

Vulnerabilidad en OpenFire User Import Export Plugin (CVE-2017-2815)

Fecha de publicación:

15/05/2018

Idioma:

Español

Existe una vulnerabilidad explotable de inyección de entidades XML en OpenFire User Import Export Plugin 2.6.0. Una petición web especialmente manipulada puede provocar la recuperación de archivos arbitrarios o una denegación de servicio (DoS). Un atacante puede enviar una petición web manipulada para provocar esta vulnerabilidad.

Gravedad CVSS v3.1: ALTA

Última modificación:

19/04/2022

CVE-2018-11125

Fecha de publicación:

15/05/2018

Idioma:

Inglés

*** Pendiente de traducción *** Rejected reason: DO NOT USE THIS CANDIDATE NUMBER. ConsultIDs: none. Reason: This candidate was withdrawn by its CNA. Further investigation showed that it was not a security issue. Notes: none

Gravedad: Pendiente de análisis

Última modificación:

07/11/2023

Vulnerabilidad en kernel KVM (CVE-2018-1087)

Fecha de publicación:

15/05/2018

Idioma:

Español

kernel KVM en versiones anteriores al kernel 4.16, kernel 4.16-rc7, kernel 4.17-rc1, kernel 4.17-rc2 y kernel 4.17-rc3 es vulnerable a un error en la forma en la que el hipervisor KVM del kernel de Linux gestiona las excepciones lanzadas tras una operación de cambio de pila mediante instrucciones Mov SS o Pop SS. Durante la operación de cambio de pila, el procesador no lanzó interrupciones y excepciones, sino que las lanza una vez se ha ejecutado la primera instrucción tras el cambio de pila. Un usuario invitado sin privilegios de KVM podría usar este error para provocar el cierre inesperado del guest o escalar sus privilegios en el guest.

Gravedad CVSS v3.1: ALTA

Última modificación:

09/10/2019

Vulnerabilidad en el plugin wp-live-chat-support para WordPress (CVE-2018-11105)

Fecha de publicación:

15/05/2018

Idioma:

Español

Hay Cross-Site Scripting (XSS) persistente en el plugin wp-live-chat-support en versiones anteriores a la 8.0.08 para WordPress mediante los campos de entrada "name" (wplc_name) y "email" (wplc_email) en wp-json/wp_live_chat_support/v1/start_chat cuando un atacante malicioso inicie una nueva conversación con un administrador. NOTA: este problema existe debido a una solución incompleta para CVE-2018-9864.

Gravedad CVSS v3.1: MEDIA

Última modificación:

26/05/2023

Vulnerabilidad en User Mode Driver en Intel Graphics Driver (CVE-2018-3611)

Fecha de publicación:

15/05/2018

Idioma:

Español

Vulnerabilidad de comprobación de límites en User Mode Driver en Intel Graphics Driver 15.40.x.4 y 21.20.x.x permite que un usuario sin privilegios provoque una denegación de servicio mediante el acceso local.

Gravedad CVSS v3.1: MEDIA

Última modificación:

22/06/2018

Vulnerabilidad en utilidades de configuración del sistema de Intel (CVE-2018-3661)

Fecha de publicación:

15/05/2018

Idioma:

Español

Desbordamiento de búfer en las utilidades de configuración del sistema Intel selview.exe y syscfg.exe en versiones anteriores a la versión 14 build 11 permite que un usuario local provoque el cierre inesperado de estos servicios, lo que podría resultar en una denegación de servicio (DoS).

Gravedad CVSS v3.1: MEDIA

Última modificación:

19/06/2018

Suscribirse a Vulnerabilidades