Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las ultimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las ultimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las ultimas vulnerabilidades incorporadas al repositorio.

CVE-2023-3435

Fecha de publicación:

14/08/2023

Idioma:

Inglés

*** Pendiente de traducción *** The User Activity Log WordPress plugin before 1.6.5 does not correctly sanitise and escape several parameters before using it in a SQL statement as part of its exportation feature, allowing unauthenticated attackers to conduct SQL injection attacks.

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

07/11/2023

CVE-2023-3601

Fecha de publicación:

14/08/2023

Idioma:

Inglés

*** Pendiente de traducción *** The Simple Author Box WordPress plugin before 2.52 does not verify a user ID before outputting information about that user, leading to arbitrary user information disclosure to users with a role as low as Contributor.

Gravedad CVSS v3.1: MEDIA

Última modificación:

05/05/2025

CVE-2023-2803

Fecha de publicación:

14/08/2023

Idioma:

Inglés

*** Pendiente de traducción *** The Ultimate Addons for Contact Form 7 WordPress plugin before 3.1.29 does not sanitise and escape a parameter before outputting it back in the page, leading to a Reflected Cross-Site Scripting which could be used against high privilege users such as admin.

Gravedad CVSS v3.1: MEDIA

Última modificación:

07/11/2023

CVE-2023-3328

Fecha de publicación:

14/08/2023

Idioma:

Inglés

*** Pendiente de traducción *** The Custom Field For WP Job Manager WordPress plugin before 1.2 does not sanitise and escape some of its settings, which could allow high privilege users such as admin to perform Stored Cross-Site Scripting attacks even when the unfiltered_html capability is disallowed (for example in multisite setup)

Gravedad CVSS v3.1: MEDIA

Última modificación:

07/11/2023

CVE-2022-4953

Fecha de publicación:

14/08/2023

Idioma:

Inglés

*** Pendiente de traducción *** The Elementor Website Builder WordPress plugin before 3.5.5 does not filter out user-controlled URLs from being loaded into the DOM. This could be used to inject rogue iframes that point to malicious URLs.

Gravedad CVSS v3.1: MEDIA

Última modificación:

16/01/2024

CVE-2023-39908

Fecha de publicación:

14/08/2023

Idioma:

Inglés

*** Pendiente de traducción *** The PKCS11 module of the YubiHSM 2 SDK through 2023.01 does not properly validate the length of specific read operations on object metadata. This may lead to disclosure of uninitialized and previously used memory.

Gravedad CVSS v3.1: ALTA

Última modificación:

25/08/2023

CVE-2023-39293

Fecha de publicación:

14/08/2023

Idioma:

Inglés

*** Pendiente de traducción *** A Command Injection vulnerability has been identified in the MiVoice Office 400 SMB Controller through 1.2.5.23 which could allow a malicious actor to execute arbitrary commands within the context of the system.

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

09/10/2024

CVE-2023-39292

Fecha de publicación:

14/08/2023

Idioma:

Inglés

*** Pendiente de traducción *** A SQL Injection vulnerability has been identified in the MiVoice Office 400 SMB Controller through 1.2.5.23 which could allow a malicious actor to access sensitive information and execute arbitrary database and management operations.

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

09/10/2024

CVE-2023-29468

Fecha de publicación:

14/08/2023

Idioma:

Inglés

*** Pendiente de traducción *** The Texas Instruments (TI) WiLink WL18xx MCP driver does not limit the number of information elements (IEs) of type XCC_EXT_1_IE_ID or XCC_EXT_2_IE_ID that can be parsed in a management frame. Using a specially crafted frame, a buffer overflow can be triggered that can potentially lead to remote code execution. This affects WILINK8-WIFI-MCP8 version 8.5_SP3 and earlier.

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

05/05/2025

CVE-2023-28480

Fecha de publicación:

14/08/2023

Idioma:

Inglés

*** Pendiente de traducción *** An issue was discovered in Tigergraph Enterprise 3.7.0. The TigerGraph platform allows users to define new User Defined Functions (UDFs) from C/C++ code. To support this functionality TigerGraph allows users to upload custom C/C++ code which is then compiled and installed into the platform. An attacker who has filesystem access on a remote TigerGraph system can alter the behavior of the database against the will of the database administrator; thus effectively bypassing the built in RBAC controls.

Gravedad CVSS v3.1: MEDIA

Última modificación:

18/08/2023

CVE-2023-28483

Fecha de publicación:

14/08/2023

Idioma:

Inglés

*** Pendiente de traducción *** An issue was discovered in Tigergraph Enterprise 3.7.0. The GSQL query language provides users with the ability to write data to files on a remote TigerGraph server. The locations that a query is allowed to write to are configurable via the GSQL.FileOutputPolicy configuration setting. GSQL queries that contain UDFs can bypass this configuration setting and, as a consequence, can write to any file location to which the administrative user has access.

Gravedad CVSS v3.1: ALTA

Última modificación:

21/08/2023

CVE-2023-28481

Fecha de publicación:

14/08/2023

Idioma:

Inglés

*** Pendiente de traducción *** An issue was discovered in Tigergraph Enterprise 3.7.0. There is unsecured write access to SSH authorized keys file. Any code running as the tigergraph user is able to add their SSH public key into the authorised keys file. This allows an attacker to obtain password-less SSH key access by using their own SSH key.

Gravedad CVSS v3.1: ALTA

Última modificación:

21/08/2023

Suscribirse a Vulnerabilidades