Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las últimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las últimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las últimas vulnerabilidades incorporadas al repositorio.

Vulnerabilidad en PostCSS (CVE-2023-44270)

Fecha de publicación:

29/09/2023

Idioma:

Español

Se descubrió un problema en PostCSS antes de la versión 8.4.31. La vulnerabilidad afecta a los linters que utilizan PostCSS para analizar CSS externos que no son de confianza. Un atacante puede preparar CSS de tal manera que contenga partes analizadas por PostCSS como un comentario CSS. Después del procesamiento por PostCSS, se incluirá en la salida de PostCSS en los nodos CSS (reglas, propiedades) a pesar de estar incluido en un comentario.

Gravedad CVSS v3.1: MEDIA

Última modificación:

03/11/2025

Vulnerabilidad en BEECMS 4.0. (CVE-2023-5287)

Fecha de publicación:

29/09/2023

Idioma:

Español

** NO SOPORTADO CUANDO ESTÁ ASIGNADO ** ** NO SOPORTADO CUANDO ESTÁ ASIGNADO ** Se encontró una vulnerabilidad clasificada como problemática en BEECMS 4.0. Esto afecta a una parte desconocida del archivo /admin/admin_content_tag.php?action=save_content. La manipulación de la etiqueta de argumento conduce a cross site scripting. Es posible iniciar el ataque de forma remota. El exploit ha sido divulgado al público y puede utilizarse. El identificador asociado de esta vulnerabilidad es VDB-240915. NOTA: Esta vulnerabilidad solo afecta a productos que ya no son compatibles con el mantenedor.

Gravedad CVSS v3.1: MEDIA

Última modificación:

02/08/2024

Vulnerabilidad en ECshop 4.1.5 (CVE-2023-5293)

Fecha de publicación:

29/09/2023

Idioma:

Español

Una vulnerabilidad fue encontrada en ECshop 4.1.5 y clasificada como crítica. Una función desconocida del archivo /admin/leancloud.php es afectada por esta vulnerabilidad. La manipulación del argumento id conduce a la inyección de SQL. Es posible lanzar el ataque de forma remota. El exploit ha sido divulgado al público y puede utilizarse. El identificador de esta vulnerabilidad es VDB-240924.

Gravedad CVSS v3.1: MEDIA

Última modificación:

17/05/2024

Vulnerabilidad en Cambium Enterprise Wi-Fi System Software (CVE-2022-35908)

Fecha de publicación:

29/09/2023

Idioma:

Español

Cambium Enterprise Wi-Fi System Software anterior a 6.4.2 no sanitiza el argumento del host de ping en el agente del dispositivo.

Gravedad CVSS v3.1: ALTA

Última modificación:

23/09/2024

Vulnerabilidad en SourceCodester Engineers Online Portal 1.0. (CVE-2023-5283)

Fecha de publicación:

29/09/2023

Idioma:

Español

Se encontró una vulnerabilidad en SourceCodester Engineers Online Portal 1.0. Ha sido calificada como crítica. Este problema afecta un procesamiento desconocido del archivo teacher_signup.php. La manipulación del argumento nombre/apellido conduce a la inyección SQL. El ataque puede iniciarse de forma remota. El exploit ha sido divulgado al público y puede utilizarse. El identificador asociado de esta vulnerabilidad es VDB-240911.

Gravedad CVSS v3.1: ALTA

Última modificación:

05/06/2024

Vulnerabilidad en SourceCodester Engineers Online Portal 1.0 (CVE-2023-5284)

Fecha de publicación:

29/09/2023

Idioma:

Español

Una vulnerabilidad ha sido encontrada en SourceCodester Engineers Online Portal 1.0 y clasificada como crítica. Una función desconocida del archivo upload_save_student.php es afectada por esta vulnerabilidad. La manipulación del argumento uploaded_file conduce a una carga sin restricciones. Es posible lanzar el ataque de forma remota. El exploit ha sido divulgado al público y puede utilizarse. El identificador de esta vulnerabilidad es VDB-240912.

Gravedad CVSS v3.1: ALTA

Última modificación:

17/05/2024

Vulnerabilidad en Tongda OA 2017 (CVE-2023-5285)

Fecha de publicación:

29/09/2023

Idioma:

Español

Una vulnerabilidad fue encontrada en Tongda OA 2017 y clasificada como crítica. Una función desconocida del archivo general/hr/recruit/recruitment/delete.php es afectada por esta vulnerabilidad. La manipulación del argumento RECRUITMENT_ID conduce a la inyección SQL. El ataque se puede lanzar de forma remota. El exploit ha sido divulgado al público y puede utilizarse. La actualización a la versión 11.10 puede solucionar este problema. Se recomienda actualizar el componente afectado. A esta vulnerabilidad se le asignó el identificador VDB-240913.

Gravedad CVSS v3.1: ALTA

Última modificación:

17/05/2024

Vulnerabilidad en SourceCodester Expense Tracker App v1 (CVE-2023-5286)

Fecha de publicación:

29/09/2023

Idioma:

Español

Una vulnerabilidad fue encontrada en SourceCodester Expense Tracker App v1 y clasificada como problemática. Una función desconocida del archivo add_category.php del componente Category Handler es afectada por esta vulnerabilidad. La manipulación del argumento category_name conduce a cross site scripting. El ataque puede lanzarse de forma remota. El exploit ha sido divulgado al público y puede utilizarse. VDB-240914 es el identificador asignado a esta vulnerabilidad.

Gravedad CVSS v3.1: MEDIA

Última modificación:

17/05/2024

Vulnerabilidad en Composer (CVE-2023-43655)

Fecha de publicación:

29/09/2023

Idioma:

Español

Composer es un administrador de dependencias para PHP. Los usuarios que publican un composer.phar en un servidor público accesible desde la web donde se puede ejecutar el composer.phar como un archivo php pueden estar sujetos a una vulnerabilidad de ejecución remota de código si PHP también tiene `register_argc_argv` habilitado en php.ini. Las versiones 2.6.4, 2.2.22 y 1.10.27 corrigen esta vulnerabilidad. Se recomienda a los usuarios que actualicen. Los usuarios que no puedan actualizar deben asegurarse de que `register_argc_argv` esté deshabilitado en php.ini y evitar publicar composer.phar en la web, ya que esta no es la mejor práctica.

Gravedad CVSS v3.1: MEDIA

Última modificación:

23/04/2025

Vulnerabilidad en SourceCodester Engineers Online Portal 1.0. (CVE-2023-5281)

Fecha de publicación:

29/09/2023

Idioma:

Español

Se encontró una vulnerabilidad en SourceCodester Engineers Online Portal 1.0. Ha sido clasificada como crítica. Esto afecta a una parte desconocida del archivo remove_inbox_message.php. La manipulación del argumento id conduce a la inyección de SQL. Es posible iniciar el ataque de forma remota. El exploit ha sido divulgado al público y puede utilizarse. A esta vulnerabilidad se le asignó el identificador VDB-240909.

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

17/05/2024

Vulnerabilidad en SourceCodester Engineers Online Portal 1.0. (CVE-2023-5282)

Fecha de publicación:

29/09/2023

Idioma:

Español

Se encontró una vulnerabilidad en SourceCodester Engineers Online Portal 1.0. Ha sido declarada crítica. Esta vulnerabilidad afecta a un código desconocido del archivo seed_message_student.php. La manipulación del argumento teacher_id conduce a la inyección de SQL. El ataque se puede iniciar de forma remota. El exploit ha sido divulgado al público y puede utilizarse. VDB-240910 es el identificador asignado a esta vulnerabilidad.

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

17/05/2024

Vulnerabilidad en SourceCodester Engineers Online Portal 1.0 (CVE-2023-5278)

Fecha de publicación:

29/09/2023

Idioma:

Español

Una vulnerabilidad fue encontrada en SourceCodester Engineers Online Portal 1.0 y clasificada como crítica. Una función desconocida del archivo login.php es afectada por esta vulnerabilidad. La manipulación del argumento nombre de usuario/contraseña conduce a la inyección de SQL. Es posible lanzar el ataque de forma remota. El exploit ha sido divulgado al público y puede utilizarse. VDB-240906 es el identificador asignado a esta vulnerabilidad.

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

17/05/2024

Suscribirse a Vulnerabilidades