Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las últimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las últimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las últimas vulnerabilidades incorporadas al repositorio.

Vulnerabilidad en Dell PowerProtect DD (CVE-2024-29176)

Fecha de publicación:
26/06/2024
Idioma:
Español
Dell PowerProtect DD, versiones anteriores a 8.0, LTS 7.13.1.0, LTS 7.10.1.30, LTS 7.7.5.40 contienen una vulnerabilidad de desbordamiento del búfer. Un atacante remoto con pocos privilegios podría explotar esta vulnerabilidad, lo que provocaría un bloqueo de la aplicación o la ejecución de código arbitrario en el sistema operativo subyacente de la aplicación vulnerable con los privilegios de la aplicación vulnerable.
Gravedad CVSS v3.1: ALTA
Última modificación:
30/10/2024

Vulnerabilidad en Dell PowerProtect DD (CVE-2024-29177)

Fecha de publicación:
26/06/2024
Idioma:
Español
Dell PowerProtect DD, versiones anteriores a 8.0, LTS 7.13.1.0, LTS 7.10.1.30, LTS 7.7.5.40 contienen una divulgación de vulnerabilidad de información confidencial temporal. Un atacante remoto con privilegios elevados podría explotar esta vulnerabilidad, lo que llevaría a la reutilización de la información divulgada para obtener acceso no autorizado al informe de la aplicación.
Gravedad CVSS v3.1: BAJA
Última modificación:
23/09/2024

Vulnerabilidad en mudler/localai (CVE-2024-5181)

Fecha de publicación:
26/06/2024
Idioma:
Español
Existe una vulnerabilidad de inyección de comandos en la versión 2.14.0 de mudler/localai. La vulnerabilidad surge del manejo por parte de la aplicación del parámetro backend en el archivo de configuración, que se utiliza en el nombre del proceso inicializado. Un atacante puede explotar esta vulnerabilidad manipulando la ruta del archivo binario vulnerable especificado en el parámetro backend, permitiendo la ejecución de código arbitrario en el sistema. Este problema se debe a una neutralización inadecuada de elementos especiales utilizados en un comando del sistema operativo, lo que lleva a un posible control total sobre el sistema afectado.
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
15/07/2025

Vulnerabilidad en Dell PowerProtect DD (CVE-2024-28973)

Fecha de publicación:
26/06/2024
Idioma:
Español
Dell PowerProtect DD, versiones anteriores a 8.0, LTS 7.13.1.0, LTS 7.10.1.30, LTS 7.7.5.40 contienen una vulnerabilidad de Cross-Site Scripting Almacenado. Un atacante remoto con altos privilegios podría explotar esta vulnerabilidad, lo que llevaría al almacenamiento de códigos HTML o JavaScript maliciosos en un almacén de datos de aplicaciones confiable. Cuando un usuario víctima con altos privilegios accede al almacén de datos a través de sus navegadores, el navegador web ejecuta el código malicioso en el contexto de la aplicación web vulnerable. La explotación puede dar lugar a la divulgación de información, el robo de sesiones o la falsificación de solicitudes por parte del cliente.
Gravedad CVSS v3.1: MEDIA
Última modificación:
03/02/2025

Vulnerabilidad en Dell PowerProtect DD (CVE-2024-29173)

Fecha de publicación:
26/06/2024
Idioma:
Español
Dell PowerProtect DD, versiones anteriores a 8.0, LTS 7.13.1.0, LTS 7.10.1.30, LTS 7.7.5.40 contienen una vulnerabilidad de Server Side Request Forgery (SSRF). Un atacante remoto con altos privilegios podría explotar esta vulnerabilidad, lo que llevaría a la divulgación de información sobre la aplicación o el cliente remoto.
Gravedad CVSS v3.1: MEDIA
Última modificación:
03/02/2025

Vulnerabilidad en HT Mega – Absolute Addons For Elementor para WordPress (CVE-2024-5173)

Fecha de publicación:
26/06/2024
Idioma:
Español
El complemento HT Mega – Absolute Addons For Elementor para WordPress es vulnerable a Cross-Site Scripting Almacenado a través de la configuración del widget del reproductor de video en todas las versiones hasta la 2.5.5 incluida debido a una sanitización de entrada insuficiente y a un escape de salida en los atributos proporcionados por el usuario. Esto hace posible que atacantes autenticados, con acceso de nivel de colaborador y superior, inyecten scripts web arbitrarios en páginas que se ejecutarán cada vez que un usuario acceda a una página inyectada.
Gravedad CVSS v3.1: MEDIA
Última modificación:
08/04/2026

Vulnerabilidad en October (CVE-2024-24764)

Fecha de publicación:
26/06/2024
Idioma:
Español
October es una plataforma CMS autohospedada basada en Laravel PHP Framework. Este problema afecta a los administradores autenticados que pueden ser redirigidos a una URL que no es de confianza mediante el esquema de PageFinder. El solucionador del esquema de enlace del buscador de páginas (`october://`) permitía enlaces externos, por lo que permitía una redirección abierta fuera del alcance del host activo. Esta vulnerabilidad ha sido parcheada en la versión 3.5.15.
Gravedad CVSS v3.1: MEDIA
Última modificación:
19/09/2024

Vulnerabilidad en Brocade Fabric OS (CVE-2024-5460)

Fecha de publicación:
26/06/2024
Idioma:
Español
Una vulnerabilidad en la configuración predeterminada de la función del Protocolo simple de administración de red (SNMP) de las versiones de Brocade Fabric OS anteriores a v9.0.0 podría permitir que un atacante remoto autenticado lea datos de un dispositivo afectado a través de SNMP. La vulnerabilidad se debe a una cadena de comunidad predeterminada codificada en el archivo de configuración del demonio SNMP. Un atacante podría aprovechar esta vulnerabilidad utilizando la cadena de comunidad estática en las consultas SNMP versión 1 a un dispositivo afectado.
Gravedad CVSS v3.1: ALTA
Última modificación:
04/02/2025

Vulnerabilidad en Brocade Fabric OS (CVE-2024-29953)

Fecha de publicación:
26/06/2024
Idioma:
Español
Una vulnerabilidad en la interfaz web en Brocade Fabric OS anterior a v9.2.1, v9.2.0b y v9.1.1d imprime contraseñas de sesión codificadas en el almacenamiento de sesiones para plataformas Virtual Fabric. Esto podría permitir que un usuario autenticado vea las contraseñas codificadas de sesión de otros usuarios.
Gravedad CVSS v3.1: MEDIA
Última modificación:
04/02/2025

Vulnerabilidad en Brocade Fabric OS (CVE-2024-29954)

Fecha de publicación:
26/06/2024
Idioma:
Español
Una vulnerabilidad en una API de administración de contraseñas en las versiones de Brocade Fabric OS anteriores a v9.2.1, v9.2.0b, v9.1.1d y v8.2.3e imprime información confidencial en archivos de registro. Esto podría permitir a un usuario autenticado ver las contraseñas del servidor para protocolos como scp y sftp. Detalle. Cuando el comando de descarga de firmware se ingresa incorrectamente o apunta a un archivo erróneo, el registro de descarga de firmware captura el comando fallido, incluida cualquier contraseña ingresada en la línea de comando.
Gravedad CVSS v3.1: MEDIA
Última modificación:
06/08/2024

Vulnerabilidad en DSpace (CVE-2024-38364)

Fecha de publicación:
26/06/2024
Idioma:
Español
DSpace es un software de código abierto, una aplicación de repositorio llave en mano utilizada por más de 2000 organizaciones e instituciones en todo el mundo para brindar acceso duradero a recursos digitales. En DSpace 7.0 a 7.6.1, cuando se descarga un Bitstream HTML, XML o JavaScript, el navegador del usuario puede ejecutar cualquier JavaScript incrustado. Si ese JavaScript incrustado es malicioso, existe el riesgo de sufrir un ataque XSS. Esta vulnerabilidad ha sido parcheada en la versión 7.6.2.
Gravedad CVSS v3.1: BAJA
Última modificación:
15/04/2026

Vulnerabilidad en pdoc (CVE-2024-38526)

Fecha de publicación:
26/06/2024
Idioma:
Español
pdoc proporciona documentación API para proyectos Python. Documentación generada con `pdoc --math` vinculada a archivos JavaScript de polyfill.io. El CDN polyfill.io se vendió y ahora contiene código malicioso. Este problema se solucionó en pdoc 14.5.1.
Gravedad CVSS v3.1: ALTA
Última modificación:
15/04/2026