Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

017 - Ir a la línea de ayuda en Ciberseguridad    Ir a Agenda     Ir a Sala de prensa     Ir a suscripción de boletines

Ir al buscador

Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las últimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las últimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las últimas vulnerabilidades incorporadas al repositorio.

CVE-2023-38409
Fecha de publicación:
17/07/2023
Idioma:
Inglés
*** Pendiente de traducción *** An issue was discovered in set_con2fb_map in drivers/video/fbdev/core/fbcon.c in the Linux kernel before 6.2.12. Because an assignment occurs only for the first vc, the fbcon_registered_fb and fbcon_display arrays can be desynchronized in fbcon_mode_deleted (the con2fb_map points at the old fb_info).
Gravedad CVSS v3.1: MEDIA
Última modificación:
30/10/2024

CVE-2023-3724
Fecha de publicación:
17/07/2023
Idioma:
Inglés
*** Pendiente de traducción *** If a TLS 1.3 client gets neither a PSK (pre shared key) extension nor a KSE (key share extension) when connecting to a malicious server, a default predictable buffer gets used for the IKM (Input Keying Material) value when generating the session master secret. Using a potentially known IKM value when generating the session master secret key compromises the key generated, allowing an eavesdropper to reconstruct it and potentially allowing access to or meddling with message contents in the session. This issue does not affect client validation of connected servers, nor expose private key information, but could result in an insecure TLS 1.3 session when not controlling both sides of the connection. wolfSSL recommends that TLS 1.3 client side users update the version of wolfSSL used. <br /> <br /> <br />
Gravedad CVSS v3.1: ALTA
Última modificación:
28/07/2023

CVE-2023-38403
Fecha de publicación:
17/07/2023
Idioma:
Inglés
*** Pendiente de traducción *** iperf3 before 3.14 allows peers to cause an integer overflow and heap corruption via a crafted length field.
Gravedad CVSS v3.1: ALTA
Última modificación:
09/01/2024

CVE-2021-37384
Fecha de publicación:
17/07/2023
Idioma:
Inglés
*** Pendiente de traducción *** RCE (Remote Code Execution) vulnerability was found in some Furukawa ONU models, this vulnerability allows remote unauthenticated users to send arbitrary commands to the device via web interface.
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
01/08/2024

CVE-2023-38405
Fecha de publicación:
17/07/2023
Idioma:
Inglés
*** Pendiente de traducción *** On Crestron 3-Series Control Systems before 1.8001.0187, crafting and sending a specific BACnet packet can cause a crash.
Gravedad CVSS v3.1: ALTA
Última modificación:
31/10/2024

CVE-2023-37266
Fecha de publicación:
17/07/2023
Idioma:
Inglés
*** Pendiente de traducción *** CasaOS is an open-source Personal Cloud system. Unauthenticated attackers can craft arbitrary JWTs and access features that usually require authentication and execute arbitrary commands as `root` on CasaOS instances. This problem was addressed by improving the validation of JWTs in commit `705bf1f`. This patch is part of CasaOS 0.4.4. Users should upgrade to CasaOS 0.4.4. If they can&amp;#39;t, they should temporarily restrict access to CasaOS to untrusted users, for instance by not exposing it publicly.
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
10/04/2025

CVE-2023-37265
Fecha de publicación:
17/07/2023
Idioma:
Inglés
*** Pendiente de traducción *** CasaOS is an open-source Personal Cloud system. Due to a lack of IP address verification an unauthenticated attackers can execute arbitrary commands as `root` on CasaOS instances. The problem was addressed by improving the detection of client IP addresses in `391dd7f`. This patch is part of CasaOS 0.4.4. Users should upgrade to CasaOS 0.4.4. If they can&amp;#39;t, they should temporarily restrict access to CasaOS to untrusted users, for instance by not exposing it publicly.
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
07/04/2025

CVE-2023-38404
Fecha de publicación:
17/07/2023
Idioma:
Inglés
*** Pendiente de traducción *** The XPRTLD web application in Veritas InfoScale Operations Manager (VIOM) before 8.0.0.410 allows an authenticated attacker to upload all types of files to the server. An authenticated attacker can then execute the malicious file to perform command execution on the remote server.
Gravedad CVSS v3.1: ALTA
Última modificación:
27/07/2023

CVE-2023-37461
Fecha de publicación:
17/07/2023
Idioma:
Inglés
*** Pendiente de traducción *** Metersphere is an opensource testing framework. Files uploaded to Metersphere may define a `belongType` value with a relative path like `../../../../` which may cause metersphere to attempt to overwrite an existing file in the defined location or to create a new file. Attackers would be limited to overwriting files that the metersphere process has access to. This issue has been addressed in version 2.10.3. Users are advised to upgrade. There are no known workarounds for this vulnerability.
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
27/07/2023

CVE-2023-28864
Fecha de publicación:
17/07/2023
Idioma:
Inglés
*** Pendiente de traducción *** Progress Chef Infra Server before 15.7 allows a local attacker to exploit a /var/opt/opscode/local-mode-cache/backup world-readable temporary backup path to access sensitive information, resulting in the disclosure of all indexed node data, because OpenSearch credentials are exposed. (The data typically includes credentials for additional systems.) The attacker must wait for an admin to run the "chef-server-ctl reconfigure" command.
Gravedad CVSS v3.1: MEDIA
Última modificación:
27/07/2023

CVE-2023-37770
Fecha de publicación:
17/07/2023
Idioma:
Inglés
*** Pendiente de traducción *** faust commit ee39a19 was discovered to contain a stack overflow via the component boxppShared::print() at /boxes/ppbox.cpp.
Gravedad CVSS v3.1: MEDIA
Última modificación:
27/07/2023

CVE-2023-37769
Fecha de publicación:
17/07/2023
Idioma:
Inglés
*** Pendiente de traducción *** stress-test master commit e4c878 was discovered to contain a FPE vulnerability via the component combine_inner at /pixman-combine-float.c.
Gravedad CVSS v3.1: MEDIA
Última modificación:
28/07/2023
Suscribirse a Vulnerabilidades