Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las ultimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las ultimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las ultimas vulnerabilidades incorporadas al repositorio.

Vulnerabilidad en Cisco Evolved Programmable Network Manager y Cisco Prime Infrastructure (CVE-2024-20514)

Fecha de publicación:
06/11/2024
Idioma:
Español
Una vulnerabilidad en la interfaz de administración basada en web de Cisco Evolved Programmable Network Manager (EPNM) y Cisco Prime Infrastructure podría permitir que un atacante remoto autenticado y con pocos privilegios realice un ataque de cross-site scripting (XSS) almacenado contra un usuario de la interfaz. Esta vulnerabilidad existe porque la interfaz de administración basada en web no valida correctamente la entrada proporcionada por el usuario. Un atacante podría aprovechar esta vulnerabilidad inyectando código malicioso en una página específica de la interfaz. Una explotación exitosa podría permitir al atacante ejecutar código de secuencia de comandos arbitrario en el contexto de la interfaz afectada o acceder a información confidencial basada en el navegador. Para aprovechar esta vulnerabilidad, el atacante debe tener al menos una cuenta con pocos privilegios en un dispositivo afectado.
Gravedad CVSS v3.1: MEDIA
Última modificación:
31/07/2025

Vulnerabilidad en Cisco ISE (CVE-2024-20525)

Fecha de publicación:
06/11/2024
Idioma:
Español
Una vulnerabilidad en la interfaz de administración basada en la web de Cisco ISE podría permitir que un atacante remoto no autenticado realice un ataque XSS contra un usuario de la interfaz. Esta vulnerabilidad existe porque la interfaz de administración basada en la web no valida correctamente la entrada proporcionada por el usuario. Un atacante podría aprovechar esta vulnerabilidad persuadiendo a un usuario de la interfaz para que haga clic en un enlace creado. Una explotación exitosa podría permitir al atacante ejecutar código de script arbitrario en el contexto de la interfaz afectada o acceder a información confidencial basada en el navegador.
Gravedad CVSS v3.1: MEDIA
Última modificación:
20/11/2024

Vulnerabilidad en Cisco Unified Communications Manager IM & Presence Service (CVE-2024-20457)

Fecha de publicación:
06/11/2024
Idioma:
Español
Una vulnerabilidad en el componente de registro de Cisco Unified Communications Manager IM & Presence Service (Unified CM IM&P) podría permitir que un atacante remoto autenticado vea información confidencial en texto plano en un sistema afectado. Esta vulnerabilidad se debe al almacenamiento de credenciales no cifradas en ciertos registros. Un atacante podría aprovechar esta vulnerabilidad accediendo a los registros de un sistema afectado y obteniendo credenciales a las que normalmente no tendría acceso. Una explotación exitosa podría permitir al atacante acceder a información confidencial del dispositivo.
Gravedad CVSS v3.1: MEDIA
Última modificación:
07/08/2025

Vulnerabilidad en Cisco ISE (CVE-2024-20476)

Fecha de publicación:
06/11/2024
Idioma:
Español
Una vulnerabilidad en la interfaz de administración basada en web de Cisco ISE podría permitir que un atacante remoto autenticado eluda los mecanismos de autorización para funciones específicas de administración de archivos. Esta vulnerabilidad se debe a la falta de validación del lado del servidor de los permisos de administrador. Un atacante podría aprovechar esta vulnerabilidad enviando una solicitud HTTP manipulada a un sistema afectado. Una explotación exitosa podría permitir al atacante cargar archivos a una ubicación que debería estar restringida. Para aprovechar esta vulnerabilidad, un atacante necesitaría credenciales de administrador de solo lectura válidas.
Gravedad CVSS v3.1: MEDIA
Última modificación:
04/04/2025

Vulnerabilidad en Cisco Enterprise Chat and Email (CVE-2024-20484)

Fecha de publicación:
06/11/2024
Idioma:
Español
Una vulnerabilidad en la función External Agent Assignment Service (EAAS) de Cisco Enterprise Chat and Email (ECE) podría permitir que un atacante remoto no autenticado provoque una condición de denegación de servicio (DoS) en un dispositivo afectado. Esta vulnerabilidad se debe a una validación insuficiente del tráfico de Media Routing Peripheral Interface Manager (MR PIM) que recibe un dispositivo afectado. Un atacante podría aprovechar esta vulnerabilidad enviando tráfico MR PIM manipulado a un dispositivo afectado. Una explotación exitosa podría permitir que el atacante provoque una falla en la conexión MR PIM entre Cisco ECE y Cisco Unified Contact Center Enterprise (CCE), lo que provocaría una condición de DoS en EAAS que evitaría que los clientes inicien sesiones de chat, devolución de llamadas o devolución de llamadas retrasadas. Nota: Cuando el tráfico del ataque se detiene, el proceso EAAS debe reiniciarse manualmente para restablecer el funcionamiento normal. Para reiniciar el proceso en la consola del sistema, seleccione Recursos compartidos > Servicios > Unified CCE > EAAS y, a continuación, haga clic en Iniciar.
Gravedad CVSS v3.1: ALTA
Última modificación:
04/04/2025

Vulnerabilidad en Cisco ISE (CVE-2024-20487)

Fecha de publicación:
06/11/2024
Idioma:
Español
Una vulnerabilidad en la interfaz de administración basada en la web de Cisco ISE podría permitir que un atacante remoto autenticado realice un ataque XSS almacenado contra un usuario de la interfaz. Esta vulnerabilidad se debe a una validación insuficiente de la entrada proporcionada por el usuario por parte de la interfaz de administración basada en la web de un sistema afectado. Un atacante podría aprovechar esta vulnerabilidad inyectando código malicioso en páginas específicas de la interfaz. Una explotación exitosa podría permitir al atacante ejecutar código de script arbitrario en el contexto de la interfaz afectada o acceder a información confidencial basada en el navegador. Para aprovechar esta vulnerabilidad, el atacante debe tener al menos una cuenta con privilegios bajos en un dispositivo afectado.
Gravedad CVSS v3.1: MEDIA
Última modificación:
28/04/2025

Vulnerabilidad en Google Chrome (CVE-2024-10827)

Fecha de publicación:
06/11/2024
Idioma:
Español
Use after free en Serial en Google Chrome anterior a la versión 130.0.6723.116 permitía a un atacante remoto explotar potencialmente la corrupción del montón a través de una página HTML manipulada. (Gravedad de seguridad de Chromium: Alta)
Gravedad CVSS v3.1: ALTA
Última modificación:
02/01/2025

Vulnerabilidad en Cisco Nexus 3550-F (CVE-2024-20371)

Fecha de publicación:
06/11/2024
Idioma:
Español
Una vulnerabilidad en la programación de la lista de control de acceso (ACL) de los conmutadores Cisco Nexus 3550-F podría permitir que un atacante remoto no autenticado envíe tráfico que debería estar bloqueado a la interfaz de administración de un dispositivo afectado. Esta vulnerabilidad existe porque las reglas de denegación de ACL no se aplican correctamente en el momento del reinicio del dispositivo. Un atacante podría aprovechar esta vulnerabilidad al intentar enviar tráfico a la interfaz de administración de un dispositivo afectado. Una explotación exitosa podría permitir al atacante enviar tráfico a la interfaz de administración del dispositivo afectado.
Gravedad CVSS v3.1: MEDIA
Última modificación:
06/11/2024

Vulnerabilidad en Cisco Unified Industrial Wireless Software para Cisco Ultra-Reliable Wireless Backhaul (CVE-2024-20418)

Fecha de publicación:
06/11/2024
Idioma:
Español
Una vulnerabilidad en la interfaz de administración basada en web de Cisco Unified Industrial Wireless Software para Cisco Ultra-Reliable Wireless Backhaul (URWB) podría permitir que un atacante remoto no autenticado realice ataques de inyección de comandos con privilegios de superusuario en el sistema operativo subyacente. Esta vulnerabilidad se debe a una validación incorrecta de la entrada a la interfaz de administración basada en web. Un atacante podría aprovechar esta vulnerabilidad enviando solicitudes HTTP manipulada a la interfaz de administración basada en web de un sistema afectado. Una explotación exitosa podría permitir al atacante ejecutar comandos arbitrarios con privilegios de superusuario en el sistema operativo subyacente del dispositivo afectado.
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
06/11/2024

Vulnerabilidad en Cisco (CVE-2024-20445)

Fecha de publicación:
06/11/2024
Idioma:
Español
Una vulnerabilidad en la interfaz de usuario web de los teléfonos de escritorio Cisco de la serie 9800, los teléfonos IP de la serie 7800 y 8800 de Cisco y el teléfono con video Cisco 8875 podría permitir que un atacante remoto no autenticado acceda a información confidencial en un dispositivo afectado. Esta vulnerabilidad se debe al almacenamiento inadecuado de información confidencial dentro de la interfaz de usuario web de las cargas de teléfonos basadas en el protocolo de inicio de sesión (SIP). Un atacante podría aprovechar esta vulnerabilidad navegando hasta la dirección IP de un dispositivo que tenga habilitado el acceso web. Una explotación exitosa podría permitir al atacante acceder a información confidencial, incluidos los registros de llamadas entrantes y salientes. Nota: el acceso web está deshabilitado de forma predeterminada.
Gravedad CVSS v3.1: MEDIA
Última modificación:
05/01/2026

Vulnerabilidad en NGINX OpenID Connect (CVE-2024-10318)

Fecha de publicación:
06/11/2024
Idioma:
Español
Se descubrió un problema de fijación de sesión en la implementación de referencia de NGINX OpenID Connect, donde no se verificaba un nonce en el momento de iniciar sesión. Esta falla permite que un atacante fije la sesión de una víctima a una cuenta controlada por el atacante. Como resultado, aunque el atacante no puede iniciar sesión como la víctima, puede forzar la sesión para asociarla con la cuenta controlada por el atacante, lo que lleva a un posible uso indebido de la sesión de la víctima.
Gravedad CVSS v4.0: MEDIA
Última modificación:
08/11/2024

Vulnerabilidad en Google Chrome (CVE-2024-10826)

Fecha de publicación:
06/11/2024
Idioma:
Español
Use after free en Experiencias familiares en Google Chrome en Android antes de la versión 130.0.6723.116 permitió que un atacante remoto potencialmente explotara la corrupción del montón a través de una página HTML manipulada. (Gravedad de seguridad de Chromium: Alta)
Gravedad CVSS v3.1: ALTA
Última modificación:
02/01/2025