Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las últimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las últimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las últimas vulnerabilidades incorporadas al repositorio.

Vulnerabilidad en productos SMA Solar Technology (CVE-2017-9856)

Fecha de publicación:

05/08/2017

Idioma:

Español

**EN DISPUTA** Se ha descubierto un problema en productos SMA Solar Technology. Las contraseñas interceptadas que se encuentran en de la comunicación SMAdata2+ se pueden descifrar con suma facilidad. Estas contraseñas se "cifran" empleando un algoritmo de cifrado muy sencillo. Esto permite que un atacante encuentre las contraseñas en texto plano y se autentique en el dispositivo. NOTA: El vendedor informa que únicamente podrían estar potencialmente afectados Sunny Boy TLST-21 y TL-21 y Sunny Tripower TL-10 y TL-30

Gravedad CVSS v3.1: BAJA

Última modificación:

13/05/2026

Vulnerabilidad en productos SMA Solar Technology (CVE-2017-9857)

Fecha de publicación:

05/08/2017

Idioma:

Español

**EN DISPUTA** Se ha descubierto un problema en productos SMA Solar Technology. El protocolo de comunicación SMAdata2+ no emplea correctamente la autenticación con cifrado, por lo que es vulnerable a ataques Man-in-the-Middle, inyección de paquetes y ataques de replay. Cualquier cambio de configuración, paquete de autenticación, paquete de rastreo, etc., puede ser reproducido, inyectado o empleado para un Man-in-the-Middle. Todas las funcionalidades disponibles en Sunny Explorer pueden realizarse correctamente desde cualquier parte de la red siempre y cuando el atacante configure correctamente el paquete. Esto incluye el proceso de autenticación para todos los niveles de acceso (incluyendo aquellos que están ocultos) y el cambio de configuraciones según lo establecido por los derechos de acceso adquiridos. Además, debido al hecho de que el canal de comunicación SMAdata2+ no está cifrado, un atacante que entienda el protocolo será capaz de escuchar comunicaciones. NOTA: La posición del vendedor que la autenticación con cifrado no es requerida en una red aislada. También, únicamente podrían estar potencialmente afectados Sunny Boy TLST-21 y TL-21 y Sunny Tripower TL-10 y TL-30.

Gravedad CVSS v3.1: ALTA

Última modificación:

13/05/2026

Vulnerabilidad en productos SMA Solar Technology (CVE-2017-9858)

Fecha de publicación:

05/08/2017

Idioma:

Español

**EN DISPUTA** Se ha descubierto un problema en productos SMA Solar Technology. Se pueden determinar cuáles son las cuentas de usuario activas e inactivas mediante el envío de paquetes manipulados a un inversor y observando la respuesta. Esto sirve de ayuda en ataques posteriores (como los ataques de fuerza bruta), ya que el atacante puede conocer exactamente qué usuarios existen y cuáles no. NOTA: La posición del fabricante es que "no es una brecha de seguridad per se." También, únicamente podrían estar potencialmente afectados Sunny Boy TLST-21 y TL-21 y Sunny Tripower TL-10 y TL-30

Gravedad CVSS v3.1: ALTA

Última modificación:

13/05/2026

Vulnerabilidad en productos SMA Solar Technology (CVE-2017-9859)

Fecha de publicación:

05/08/2017

Idioma:

Español

**EN DISPUTA** Se ha descubierto un problema en productos SMA Solar Technology. Los inversores emplean un algoritmo de hash débil para cifrar la contraseña de peticiones REGISTER. Este algoritmo de hash se puede romper con relativa facilidad. Lo más probable es que un atacante sea capaz de descubrir la contraseña empleando crackers offline. Esta contraseña descubierta podrá emplearse para registrarse en los servidores SMA. NOTA: La posición del fabricante es que "nosotros consideramos que la probabilidad de algún tipo de manipulación exitosa es extremadamente baja." También, únicamente podrían estar potencialmente afectados Sunny Boy TLST-21 y TL-21 y Sunny Tripower TL-10 y TL-30

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

13/05/2026

Vulnerabilidad en productos SMA Solar Technology (CVE-2017-9860)

Fecha de publicación:

05/08/2017

Idioma:

Español

** EN DISPUTA ** Se ha descubierto un problema en productos SMA Solar Technology. Un atacante puede emplear Sunny Explorer o el protocolo de red SMAdata2+ para actualizar el dispositivo sin tener que autenticarse. Si un atacante es capaz de crear una versión personalizada del firmware que sea aceptada por el inversor, dicho inversor se volverá completamente vulnerable. Esto le permite al atacante hacer prácticamente cualquier cosa: dar acceso al sistema operativo local, crear una botnet, emplear los inversores como punto de entrada a una empresa, etc. NOTA: El vendedor informa que este ataque siempre ha sido bloqueado por "una comprobación final de integridad y compatibilidad". También, únicamente están potencialmente afectados Sunny Boy TLST-21 y TL-21 y Sunny Tripower TL-10 y TL-30.

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

13/05/2026

Vulnerabilidad en productos SMA Solar Technology (CVE-2017-9861)

Fecha de publicación:

05/08/2017

Idioma:

Español

** EN DISPUTA ** Se ha descubierto un problema en productos SMA Solar Technology. La implementación SIP no emplea correctamente la autenticación con encriptación: es vulnerable a ataques de replay, ataques de inyección de paquetes o ataques Man-in-the-Middle. Un atacante es capaz de emplear SIP con éxito para comunicarse con el dispositivo desde cualquier lugar de la red LAN. El atacante podría emplear esta vulnerabilidad para bloquear el dispositivo, hacer que deje de comunicarse con los servidores SMA, explotar vulnerabilidades SIP conocidas o encontrar información sensible en las comunicaciones SIP. Además, debido al hecho de que el canal de comunicación SIP no está cifrado, un atacante que entienda el protocolo será capaz de escuchar comunicaciones. Por ejemplo, se pueden extraer las contraseñas. NOTA: La posición del vendedor es que la auntenticación con cifrado no es requerida en una red aislada. También, únicamente podrían estar potencialmente afectados Sunny Boy TLST-21 y TL-21 y Sunny Tripower TL-10 y TL-30.

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

13/05/2026

Vulnerabilidad en porductos SMA Solar Technology (CVE-2017-9862)

Fecha de publicación:

05/08/2017

Idioma:

Español

** EN DISPUTA ** Se ha descubierto un problema en productos SMA Solar Technology. Cuando se inicia sesión en Sunny Explorer con una contraseña incorrecta, es posible crear un informe de depuración que contiene información relacionada con la aplicación y que permite que el atacante cree y guarde un archivo .txt con el contenido que estime oportuno. Un atacante podría emplear esta vulnerabilidad para divulgar información o para escribir un archivo en lugares normalmente inaccesibles del sistema local. NOTA: El fabricante reporta que "la información contenida en el informe de depuración tiene una importancia menor". También, solo podrían estar potencialmente afectados Sunny Boy TLST-21 y TL-21 y Sunny Tripower TL-10 y TL-30

Gravedad CVSS v3.1: ALTA

Última modificación:

13/05/2026

Vulnerabilidad en productos SMA Solar Technology (CVE-2017-9863)

Fecha de publicación:

05/08/2017

Idioma:

Español

** EN DISPUTA ** Se ha descubierto un problema en productos SMA Solar Technology. Si un usuario está ejecutando Sunny Explorer y, al mismo tiempo, visita un host malicioso, se puede usar el cross-site request forgery para cambiar la configuración en los inversores (por ejemplo, lanzando una petición POST para cambiar la contraseña de usuario). Todos los ajustes de Sunny Explorer disponibles para un usuario autenticado también lo estarán para el atacante. (En algunos casos, esto también incluye la modificación de ajustes a los que el usuario no puede acceder). Esto podría dar como resultado un dispositivo completamente comprometido. NOTA: El fabricante informa que esta explotación es improbable porque Sunny Explorer se utiliza en raras ocasiones. También, solamente se encuentran potencialmente afectados Sunny Boy TLST-21 y TL-21 y Sunny Tripower TL-10 y TL-30.

Gravedad CVSS v3.1: ALTA

Última modificación:

13/05/2026

Vulnerabilidad en productos SMA Solar Technology (CVE-2017-9864)

Fecha de publicación:

05/08/2017

Idioma:

Español

** EN DISPUTA ** Se ha descubierto un problema en productos SMA Solar Technology. Un atacante puede cambiar la hora de la planta sin estar autenticado de ninguna forma. Esto cambia la hora del sistema, lo que podría afectar a las políticas de bloqueo y generadores de números aleatorios basados en marca de tiempo. Además, hace imposible confiar en las marcas de tiempo de los análisis de datos. NOTA: El fabricante reporta que es bastante irrelevante por que solo afecta a marcas de tiempo del log-entry, y por que la planta sería reiniciada via NTP. (Nunca se ha dado el caso en el que afectara la política de bloqueo o la generación de números aleatorios.) Además, solo Sunny Boy TLST-21 y TL-21 y Sunny Tripower TL-10 y TL-30 podrían estar potencialmente afectados.

Gravedad CVSS v3.1: ALTA

Última modificación:

13/05/2026

Vulnerabilidad en la implementación de fsnotify en las funciones inotify_handle_event y vfs_rename en el kernel de Linux (CVE-2017-7533)

Fecha de publicación:

05/08/2017

Idioma:

Español

Una condición de carrera en la implementación de fsnotify en el kernel de Linux hasta la versión 4.12.4, permite a los usuarios locales alcanzar privilegios o causar una denegación de servicio (corrupción de memoria) por medio de una aplicación creada que aprovecha la ejecución simultánea de las funciones inotify_handle_event y vfs_rename.

Gravedad CVSS v3.1: ALTA

Última modificación:

13/05/2026

Vulnerabilidad en MantisBT (CVE-2017-12419)

Fecha de publicación:

05/08/2017

Idioma:

Español

Si tras la correcta instalación de MantisBT en su versión 2.5.2 en MySQL/MariaDB el administrador no elimina el directorio "admin" (tal y como se recomienda en la sección "Post-installation and upgrade tasks" de la MantisBT Admin Guide) y el cliente MySQL tiene una configuración local_infile habilitada (en php.ini mysqli.allow_local_infile o el archivo de configuración del cliente MySQL, dependiendo de la configuración de PHP), un atacante podría aprovecharse de la funcionalidad "connect file read" de MySQL para acceder de forma remota a los archivos del servidor de MantisBT.

Gravedad CVSS v3.1: MEDIA

Última modificación:

13/05/2026

Vulnerabilidad en SocuSoft Flash Slideshow Maker Professional (CVE-2017-12439)

Fecha de publicación:

05/08/2017

Idioma:

Español

SocuSoft Flash Slideshow Maker Professional en su versión v5.20 (cuando se usa la configuración avanzada) tiene un parámetro HTTP xml_path que confía en las entradas proporcionadas por el usuario, además de un archivo de configuración XML no seguro. Esto da como resultado problemas de falsificación de contenido, Cross-Site Scripting y cuestiones de redirección sin validar.

Gravedad CVSS v3.1: ALTA

Última modificación:

13/05/2026

Suscribirse a Vulnerabilidades