Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las últimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las últimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las últimas vulnerabilidades incorporadas al repositorio.

Vulnerabilidad en FAST/TOOLS y CI Server (CVE-2024-4105)

Fecha de publicación:
26/06/2024
Idioma:
Español
Se ha encontrado una vulnerabilidad en FAST/TOOLS y CI Server. La función del servidor WEB HMI del producto afectado para procesar solicitudes HTTP tiene un fallo de seguridad (XSS Reflejado) que permite la ejecución de scripts maliciosos. Por lo tanto, si una PC cliente con medidas de seguridad inadecuadas accede a la URL de un producto que contiene una solicitud maliciosa, el script malicioso puede ejecutarse en la PC cliente. Los productos y versiones afectados son los siguientes: FAST/TOOLS (Paquetes: RVSVRN, UNSVRN, HMIWEB, FTEES, HMIMOB) R9.01 a R10.04 CI Server R1.01.00 a R1.03.00
Gravedad CVSS v3.1: MEDIA
Última modificación:
15/04/2026

Vulnerabilidad en FAST/TOOLS y CI Server (CVE-2024-4106)

Fecha de publicación:
26/06/2024
Idioma:
Español
Se ha encontrado una vulnerabilidad en FAST/TOOLS y CI Server. Los productos afectados tienen cuentas integradas sin contraseñas establecidas. Por lo tanto, si el producto se utiliza sin una contraseña predeterminada, un atacante puede acceder al producto afectado. Los productos y versiones afectados son los siguientes: FAST/TOOLS (Paquetes: RVSVRN, UNSVRN, HMIWEB, FTEES, HMIMOB) R9.01 a R10.04 CI Server R1.01.00 a R1.03.00
Gravedad CVSS v3.1: MEDIA
Última modificación:
15/04/2026

Vulnerabilidad en Apache XML Security para C++ (CVE-2024-34580)

Fecha de publicación:
26/06/2024
Idioma:
Español
Apache XML Security para C++ hasta 2.0.4 implementa la especificación de procesamiento y sintaxis de firma XML (XMLDsig) sin protección contra un payload SSRF en un elemento KeyInfo. NOTA: el proveedor cuestiona este Registro CVE con el argumento de que está implementando la especificación "correctamente" y no tiene "culpa".
Gravedad CVSS v3.1: MEDIA
Última modificación:
15/04/2026

Vulnerabilidad en W3C XML Signature Syntax and Processing (CVE-2024-34581)

Fecha de publicación:
26/06/2024
Idioma:
Español
La especificación W3C XML Signature Syntax and Processing (XMLDsig), a partir de 1.0, se publicó originalmente con una declaración "RetrievalMethod es un URI... que puede usarse para obtener información de clave y/o certificado" y sin información adjunta sobre los riesgos de SSRF, y esto puede haber contribuido a implementaciones vulnerables como las analizadas en CVE-2023-36661 y CVE-2024-21893. NOTA: esto se mitigó en 1.1 y 2.0 a través de un documento de Mejores Prácticas al que se hace referencia directamente y que pide a los implementadores que tengan cuidado con la SSRF.
Gravedad CVSS v3.1: ALTA
Última modificación:
15/04/2026

Vulnerabilidad en djangorestframework (CVE-2024-21520)

Fecha de publicación:
26/06/2024
Idioma:
Español
Las versiones del paquete djangorestframework anteriores a la 3.15.2 son vulnerables a Cross-site Scripting (XSS) a través del filtro de plantilla break_long_headers debido a una sanitización inadecuada de la entrada antes de dividir y unir con etiquetas .
Gravedad CVSS v4.0: BAJA
Última modificación:
29/04/2026

Vulnerabilidad en Dell PowerProtect DD (CVE-2024-37138)

Fecha de publicación:
26/06/2024
Idioma:
Español
Dell PowerProtect DD, versiones anteriores a 8.0, LTS 7.13.1.0, LTS 7.10.1.30, LTS 7.7.5.40 en DDMC contienen una vulnerabilidad de Path Traversal relativo. Un atacante remoto con altos privilegios podría explotar esta vulnerabilidad, lo que provocaría que la aplicación envíe un archivo no autorizado al sistema administrado.
Gravedad CVSS v3.1: MEDIA
Última modificación:
23/09/2024

Vulnerabilidad en Dell PowerProtect DD (CVE-2024-37139)

Fecha de publicación:
26/06/2024
Idioma:
Español
Dell PowerProtect DD, versiones anteriores a 8.0, LTS 7.13.1.0, LTS 7.10.1.30, LTS 7.7.5.40 contienen una vulnerabilidad de control inadecuado de un recurso durante su vida útil en una operación de administración. Un atacante remoto con pocos privilegios podría explotar esta vulnerabilidad, lo que provocaría una limitación temporal de recursos de la aplicación del sistema. La explotación puede dar lugar a la denegación del servicio de la aplicación.
Gravedad CVSS v3.1: MEDIA
Última modificación:
23/09/2024

Vulnerabilidad en Dell PowerProtect DD (CVE-2024-37140)

Fecha de publicación:
26/06/2024
Idioma:
Español
Dell PowerProtect DD, versiones anteriores a 8.0, LTS 7.13.1.0, LTS 7.10.1.30, LTS 7.7.5.40 contienen una vulnerabilidad de inyección de comandos del sistema operativo en una operación de administración. Un atacante remoto con pocos privilegios podría explotar esta vulnerabilidad, lo que llevaría a la ejecución de comandos arbitrarios del sistema operativo en el sistema operativo subyacente de la aplicación del sistema con los privilegios de la aplicación vulnerable. La explotación puede llevar a que un atacante se apodere del sistema.
Gravedad CVSS v3.1: ALTA
Última modificación:
23/09/2024

Vulnerabilidad en Dell PowerProtect DD (CVE-2024-37141)

Fecha de publicación:
26/06/2024
Idioma:
Español
Dell PowerProtect DD, versiones anteriores a 8.0, LTS 7.13.1.0, LTS 7.10.1.30, LTS 7.7.5.40 contienen una vulnerabilidad de redireccionamiento abierto. Un atacante remoto con pocos privilegios podría explotar esta vulnerabilidad, lo que llevaría a la divulgación de información.
Gravedad CVSS v3.1: BAJA
Última modificación:
23/09/2024

Vulnerabilidad en AirPods (CVE-2024-27867)

Fecha de publicación:
26/06/2024
Idioma:
Español
Se solucionó un problema de autenticación con una gestión de estado mejorada. Este problema se solucionó en la Actualización de firmware de AirPods 6A326, la Actualización de firmware de AirPods 6F8 y la Actualización de firmware de Beats 6F8. Cuando sus auriculares buscan una solicitud de conexión a uno de sus dispositivos previamente emparejados, un atacante dentro del alcance de Bluetooth podría falsificar el dispositivo fuente deseado y obtener acceso a sus auriculares.
Gravedad CVSS v3.1: MEDIA
Última modificación:
02/04/2026

Vulnerabilidad en Dell Data Domain (CVE-2024-29174)

Fecha de publicación:
26/06/2024
Idioma:
Español
Dell Data Domain, versiones anteriores a 7.13.0.0, LTS 7.7.5.30, LTS 7.10.1.20 contienen una vulnerabilidad de inyección SQL. Un atacante local con pocos privilegios podría explotar esta vulnerabilidad, lo que llevaría a la ejecución de ciertos comandos SQL en la base de datos backend de la aplicación, lo que provocaría un acceso no autorizado a los datos de la aplicación.
Gravedad CVSS v3.1: MEDIA
Última modificación:
23/09/2024

Vulnerabilidad en Dell PowerProtect Data Domain (CVE-2024-29175)

Fecha de publicación:
26/06/2024
Idioma:
Español
Dell PowerProtect Data Domain, versiones anteriores a 7.13.0.0, LTS 7.7.5.40, LTS 7.10.1.30 contienen una vulnerabilidad de algoritmo criptográfico débil. Un atacante remoto no autenticado podría explotar esta vulnerabilidad, lo que provocaría un ataque de intermediario que exponga información confidencial de la sesión.
Gravedad CVSS v3.1: MEDIA
Última modificación:
23/09/2024