Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las ultimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las ultimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las ultimas vulnerabilidades incorporadas al repositorio.

Vulnerabilidad en Chamilo LMS 1.11.26 (CVE-2024-30617)

Fecha de publicación:
04/11/2024
Idioma:
Español
Una vulnerabilidad de Cross-Site Request Forgery (CSRF) en Chamilo LMS 1.11.26 "/main/social/home.php" permite a los atacantes iniciar una solicitud que publica una publicación falsa en el muro social del usuario sin su consentimiento o conocimiento.
Gravedad CVSS v3.1: MEDIA
Última modificación:
18/04/2025

Vulnerabilidad en Chamilo LMS 1.11.26 (CVE-2024-30618)

Fecha de publicación:
04/11/2024
Idioma:
Español
Una vulnerabilidad de cross site scripting almacenado (XSS) en Chamilo LMS 1.11.26 permite a un atacante remoto ejecutar JavaScript arbitrario en un navegador web al incluir un payload maliciosa en el parámetro 'content' de 'group_topics.php'.
Gravedad CVSS v3.1: MEDIA
Última modificación:
18/04/2025

Vulnerabilidad en Chamilo LMS 1.11.26 (CVE-2024-30619)

Fecha de publicación:
04/11/2024
Idioma:
Español
Chamilo LMS versión 1.11.26 es vulnerable a un control de acceso incorrecto. Un atacante no autenticado puede solicitar la cantidad de mensajes y la cantidad de usuarios en línea a través de "/main/inc/ajax/message.ajax.php?a=get_count_message" Y "/main/inc/ajax/online.ajax.php?a=get_users_online".
Gravedad CVSS v3.1: ALTA
Última modificación:
18/04/2025

Vulnerabilidad en 1C-Bitrix Bitrix24 23.300.100 (CVE-2024-34885)

Fecha de publicación:
04/11/2024
Idioma:
Español
Las credenciales insuficientemente protegidas en la configuración del servidor SMTP en 1C-Bitrix Bitrix24 23.300.100 permiten a los administradores remotos leer las contraseñas de las cuentas SMTP a través de una solicitud HTTP GET.
Gravedad CVSS v3.1: MEDIA
Última modificación:
04/09/2025

Vulnerabilidad en 1C-Bitrix Bitrix24 23.300.100 (CVE-2024-34891)

Fecha de publicación:
04/11/2024
Idioma:
Español
Las credenciales insuficientemente protegidas en la configuración del servidor DAV en 1C-Bitrix Bitrix24 23.300.100 permiten a los administradores remotos leer las contraseñas de las cuentas de Exchange a través de una solicitud HTTP GET.
Gravedad CVSS v3.1: MEDIA
Última modificación:
04/09/2025

Vulnerabilidad en PHPGurukul Online Shopping Portal 2.0 (CVE-2024-10768)

Fecha de publicación:
04/11/2024
Idioma:
Español
Se ha encontrado una vulnerabilidad clasificada como problemática en PHPGurukul Online Shopping Portal 2.0. Esta vulnerabilidad afecta al código desconocido del archivo /admin/assets/plugins/DataTables/media/unit_testing/templates/two_tables.php. La manipulación del argumento scripts conduce a cross site scripting. El ataque puede iniciarse de forma remota. El exploit ha sido divulgado al público y puede utilizarse.
Gravedad CVSS v4.0: MEDIA
Última modificación:
06/11/2024

Vulnerabilidad en Magisk App (CVE-2024-48336)

Fecha de publicación:
04/11/2024
Idioma:
Español
La función install() de ProviderInstaller.java en Magisk App anterior a la versión Canary 27007 no verifica la aplicación GMS antes de cargarla, lo que permite que una aplicación local no confiable sin privilegios adicionales ejecute silenciosamente código arbitrario en la aplicación Magisk y escale privilegios a root a través de un paquete manipulado, también conocido como error n.° 8279. No se necesita interacción del usuario para la explotación.
Gravedad CVSS v3.1: ALTA
Última modificación:
04/11/2024

Vulnerabilidad en createTempFile de hornetq v2.4.9 (CVE-2024-51127)

Fecha de publicación:
04/11/2024
Idioma:
Español
Un problema en el método createTempFile de hornetq v2.4.9 permite a los atacantes sobrescribir archivos arbitrariamente o acceder a información confidencial.
Gravedad CVSS v3.1: ALTA
Última modificación:
06/11/2024

Vulnerabilidad en projectworlds Travel management System v.1.0 (CVE-2024-51326)

Fecha de publicación:
04/11/2024
Idioma:
Español
La vulnerabilidad de inyección SQL en projectworlds Travel management System v.1.0 permite a un atacante remoto ejecutar código arbitrario a través del parámetro 't2' en deletesubcategory.php.
Gravedad CVSS v3.1: ALTA
Última modificación:
06/11/2024

Vulnerabilidad en ProjectWorld's Travel Management System v1.0 (CVE-2024-51327)

Fecha de publicación:
04/11/2024
Idioma:
Español
La inyección SQL en loginform.php en ProjectWorld's Travel Management System v1.0 permite a atacantes remotos eludir la autenticación mediante inyección SQL en los campos 'username' y 'password'.
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
06/11/2024

Vulnerabilidad en Agile-Board 1.0 (CVE-2024-51329)

Fecha de publicación:
04/11/2024
Idioma:
Español
Una vulnerabilidad de inyección de encabezado de host en Agile-Board 1.0 permite a los atacantes obtener el token de restablecimiento de contraseña a través de la interacción del usuario con un enlace de restablecimiento de contraseña manipulado específicamente.
Gravedad CVSS v3.1: ALTA
Última modificación:
06/11/2024

Vulnerabilidad en projectworld's Travel Management System v1.0 (CVE-2024-51328)

Fecha de publicación:
04/11/2024
Idioma:
Español
La vulnerabilidad de cross site scripting en addcategory.php en projectworld's Travel Management System v1.0 permite a un atacante remoto inyectar código arbitrario a través del parámetro t2.
Gravedad CVSS v3.1: MEDIA
Última modificación:
07/05/2025