Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las ultimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las ultimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las ultimas vulnerabilidades incorporadas al repositorio.

Vulnerabilidad en OpenRefine (CVE-2024-47878)

Fecha de publicación:
24/10/2024
Idioma:
Español
OpenRefine es una herramienta gratuita de código abierto para trabajar con datos desordenados. Antes de la versión 3.8.3, el punto de conexión `/extension/gdata/authorized` incluye el parámetro GET `state` textualmente en una etiqueta `
Gravedad CVSS v3.1: MEDIA
Última modificación:
30/10/2024

Vulnerabilidad en OpenRefine (CVE-2024-47879)

Fecha de publicación:
24/10/2024
Idioma:
Español
OpenRefine es una herramienta gratuita de código abierto para trabajar con datos desordenados. Antes de la versión 3.8.3, la falta de protección contra cross-site request forgery en el comando `preview-expression` significa que visitar un sitio web malicioso podría provocar la ejecución de una expresión controlada por el atacante. La expresión puede contener código arbitrario de Clojure o Python. El atacante debe conocer un ID de proyecto válido de un proyecto que contenga al menos una fila, y debe convencer a la víctima de que abra una página web maliciosa. La versión 3.8.3 soluciona el problema.
Gravedad CVSS v3.1: ALTA
Última modificación:
04/12/2024

Vulnerabilidad en OpenRefine (CVE-2024-47880)

Fecha de publicación:
24/10/2024
Idioma:
Español
OpenRefine es una herramienta gratuita de código abierto para trabajar con datos desordenados. Antes de la versión 3.8.3, el comando `export-rows` se puede utilizar de forma que refleje parte de la solicitud textualmente, con un encabezado Content-Type también tomado de la solicitud. Un atacante podría llevar a un usuario a una página maliciosa que envíe un POST de formulario que contenga código JavaScript incrustado. Este código se incluiría entonces en la respuesta, junto con un encabezado `Content-Type` controlado por el atacante, y por lo tanto potencialmente se ejecutaría en el navegador de la víctima como si fuera parte de OpenRefine. El código proporcionado por el atacante puede hacer todo lo que el usuario puede hacer, incluyendo eliminar proyectos, recuperar contraseñas de bases de datos o ejecutar expresiones Jython o Closure arbitrarias, si esas extensiones también están presentes. El atacante debe conocer un ID de proyecto válido de un proyecto que contenga al menos una fila. La versión 3.8.3 corrige el problema.
Gravedad CVSS v3.1: MEDIA
Última modificación:
30/10/2024

Vulnerabilidad en OpenRefine (CVE-2024-47881)

Fecha de publicación:
24/10/2024
Idioma:
Español
OpenRefine es una herramienta gratuita de código abierto para trabajar con datos desordenados. A partir de la versión 3.4-beta y antes de la versión 3.8.3, en la extensión `database`, se puede configurar la propiedad "enable_load_extension" para la integración de SQLite, lo que permite a un atacante cargar DLL de extensión (locales o remotas) y, por lo tanto, ejecutar código arbitrario en el servidor. El atacante debe tener acceso de red a la instancia de OpenRefine. La versión 3.8.3 corrige este problema.
Gravedad CVSS v3.1: ALTA
Última modificación:
28/10/2024

Vulnerabilidad en Okta Verify (CVE-2024-10327)

Fecha de publicación:
24/10/2024
Idioma:
Español
Una vulnerabilidad en Okta Verify para las versiones iOS 9.25.1 (beta) y 9.27.0 (incluida la beta) permite respuestas de notificaciones push a través de la función ContextExtension de iOS, lo que permite que la autenticación continúe independientemente de la selección del usuario. Cuando un usuario presiona prolongadamente el banner de notificación y selecciona una opción, ambas opciones permiten que la autenticación se realice correctamente. La función ContextExtension es uno de los varios mecanismos push disponibles al usar Okta Verify Push en dispositivos iOS. Los flujos vulnerables incluyen: * Cuando a un usuario se le presenta una notificación en una pantalla bloqueada, el usuario presiona la notificación directamente y selecciona su respuesta sin desbloquear el dispositivo; * Cuando a un usuario se le presenta una notificación en la pantalla de inicio y arrastra la notificación hacia abajo y selecciona su respuesta; * Cuando se usa un Apple Watch para responder directamente a una notificación. Una condición previa para esta vulnerabilidad es que el usuario debe haberse registrado en Okta Verify mientras el cliente de Okta usaba Okta Classic. Esto se aplica independientemente de si la organización se ha actualizado desde entonces a Okta Identity Engine.
Gravedad CVSS v3.1: ALTA
Última modificación:
25/10/2024

Vulnerabilidad en GL-iNet (CVE-2024-45260)

Fecha de publicación:
24/10/2024
Idioma:
Español
Se descubrió un problema en ciertos dispositivos GL-iNet, incluidos MT6000, MT3000, MT2500, AXT1800 y AX1800 4.6.2. Los usuarios que pertenecen a grupos no autorizados pueden invocar cualquier interfaz del dispositivo y, de esta manera, obtener control total sobre él.
Gravedad CVSS v3.1: ALTA
Última modificación:
15/10/2025

Vulnerabilidad en EnGenius (CVE-2024-45242)

Fecha de publicación:
24/10/2024
Idioma:
Español
Los dispositivos EnGenius ENH1350EXT A8J-ENH1350EXT hasta 3.9.3.2_c1.9.51 permiten la inyección (ciega) de comandos del SO a través de metacaracteres de shell a la utilidad Ping o Speed Test. Durante el tiempo de configuración inicial, el dispositivo crea una red abierta no segura cuyo panel de administración está configurado con las credenciales predeterminadas de admin/admin. Un atacante no autorizado que se encuentre cerca de la red Wi-Fi puede aprovechar este lapso de tiempo para ejecutar comandos arbitrarios del SO con permisos de nivel raíz.
Gravedad CVSS v3.1: ALTA
Última modificación:
28/10/2024

Vulnerabilidad en GL-iNet (CVE-2024-45259)

Fecha de publicación:
24/10/2024
Idioma:
Español
Se descubrió un problema en ciertos dispositivos GL-iNet, incluidos MT6000, MT3000, MT2500, AXT1800 y AX1800 4.6.2. Al interceptar una solicitud HTTP y cambiar la propiedad del nombre de archivo en la interfaz de descarga, se puede eliminar cualquier archivo del dispositivo.
Gravedad CVSS v3.1: MEDIA
Última modificación:
15/10/2025

Vulnerabilidad en Digitory Multi Channel Integrated POS v1.0 (CVE-2024-48143)

Fecha de publicación:
24/10/2024
Idioma:
Español
La falta de limitación de velocidad en el componente de validación de OTP de Digitory Multi Channel Integrated POS v1.0 permite a los atacantes obtener acceso al sistema de pedidos y realizar una cantidad excesiva de pedidos de comida.
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
25/10/2024

Vulnerabilidad en Fusion Chat Chat AI Assistant Ask Me Anything v1.2.4.0 (CVE-2024-48144)

Fecha de publicación:
24/10/2024
Idioma:
Español
Una vulnerabilidad de inyección rápida en el cuadro de chat de Fusion Chat Chat AI Assistant Ask Me Anything v1.2.4.0 permite a los atacantes acceder y exfiltrar todos los datos de chat anteriores y posteriores entre el usuario y el asistente de IA a través de un mensaje manipulado específicamente.
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
28/10/2024

Vulnerabilidad en Netangular Technologies ChatNet AI (CVE-2024-48145)

Fecha de publicación:
24/10/2024
Idioma:
Español
Una vulnerabilidad de inyección rápida en el cuadro de chat de Netangular Technologies ChatNet AI versión v1.0 permite a los atacantes acceder y filtrar todos los datos de chat anteriores y posteriores entre el usuario y el asistente de IA a través de un mensaje manipulado específicamente para ello.
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
28/10/2024

Vulnerabilidad en Sourcecodester Packers and Movers Management System v1.0 (CVE-2024-48427)

Fecha de publicación:
24/10/2024
Idioma:
Español
Una vulnerabilidad de inyección SQL en Sourcecodester Packers and Movers Management System v1.0 permite a usuarios remotos autenticados ejecutar comandos SQL arbitrarios a través del parámetro id en /mpms/admin/?page=services/manage_service&id
Gravedad CVSS v3.1: ALTA
Última modificación:
31/10/2024