Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

017 - Ir a la línea de ayuda en Ciberseguridad    Ir a Agenda     Ir a Sala de prensa     Ir a suscripción de boletines

Ir al buscador

Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las últimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las últimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las últimas vulnerabilidades incorporadas al repositorio.

CVE-2023-37143
Fecha de publicación:
18/07/2023
Idioma:
Inglés
*** Pendiente de traducción *** ChakraCore branch master cbb9b was discovered to contain a segmentation violation via the function BackwardPass::IsEmptyLoopAfterMemOp().
Gravedad CVSS v3.1: MEDIA
Última modificación:
27/07/2023

CVE-2023-28023
Fecha de publicación:
18/07/2023
Idioma:
Inglés
*** Pendiente de traducción *** A cross site request forgery vulnerability in the BigFix WebUI Software Distribution interface site version 44 and before allows an NMO attacker to access files on server side systems (server machine and all the ones in its network). <br />
Gravedad CVSS v3.1: MEDIA
Última modificación:
01/08/2023

CVE-2023-2913
Fecha de publicación:
18/07/2023
Idioma:
Inglés
*** Pendiente de traducción *** <br /> An executable used in Rockwell Automation ThinManager ThinServer can be configured to enable an API feature in the HTTPS Server Settings. This feature is disabled by default. When the API is enabled and handling requests, a path traversal vulnerability exists that allows a remote actor to leverage the privileges of the server’s file system and read arbitrary files stored in it. A malicious user could exploit this vulnerability by executing a path that contains manipulating variables.<br /> <br /> <br />
Gravedad CVSS v3.1: MEDIA
Última modificación:
27/07/2023

CVE-2023-37788
Fecha de publicación:
18/07/2023
Idioma:
Inglés
*** Pendiente de traducción *** goproxy v1.1 was discovered to contain an issue which can lead to a Denial of service (DoS) via unspecified vectors.
Gravedad CVSS v3.1: ALTA
Última modificación:
27/07/2023

CVE-2023-37758
Fecha de publicación:
18/07/2023
Idioma:
Inglés
*** Pendiente de traducción *** D-LINK DIR-815 v1.01 was discovered to contain a buffer overflow via the component /web/captcha.cgi.
Gravedad CVSS v3.1: ALTA
Última modificación:
07/11/2023

CVE-2023-30153
Fecha de publicación:
18/07/2023
Idioma:
Inglés
*** Pendiente de traducción *** An SQL injection vulnerability in the Payplug (payplug) module for PrestaShop, in versions 3.6.0, 3.6.1, 3.6.2, 3.6.3, 3.7.0 and 3.7.1, allows remote attackers to execute arbitrary SQL commands via the ajax.php front controller.
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
27/07/2023

CVE-2023-28021
Fecha de publicación:
18/07/2023
Idioma:
Inglés
*** Pendiente de traducción *** The BigFix WebUI uses weak cipher suites.<br />
Gravedad CVSS v3.1: ALTA
Última modificación:
27/07/2023

CVE-2023-28020
Fecha de publicación:
18/07/2023
Idioma:
Inglés
*** Pendiente de traducción ***  URL redirection in Login page in HCL BigFix WebUI allows malicious user to redirect the client browser to an external site via redirect URL response header.<br />
Gravedad CVSS v3.1: MEDIA
Última modificación:
27/07/2023

CVE-2023-37477
Fecha de publicación:
18/07/2023
Idioma:
Inglés
*** Pendiente de traducción *** 1Panel is an open source Linux server operation and maintenance management panel. An OS command injection vulnerability exists in 1Panel firewall functionality. A specially-crafted HTTP request can lead to arbitrary command execution. An attacker can make an authenticated HTTP request to trigger this vulnerability. 1Panel firewall functionality `/hosts/firewall/ip` endpoint read user input without validation, the attacker extends the default functionality of the application, which execute system commands. An attacker can execute arbitrary code on the target system, which can lead to a complete compromise of the system. This issue has been addressed in commit `e17b80cff49` which is included in release version `1.4.3`. Users are advised to upgrade. There are no known workarounds for this vulnerability.<br />
Gravedad CVSS v3.1: ALTA
Última modificación:
27/07/2023

CVE-2023-37480
Fecha de publicación:
18/07/2023
Idioma:
Inglés
*** Pendiente de traducción *** Fides is an open-source privacy engineering platform for managing data privacy requests and privacy regulations. The Fides webserver is vulnerable to a type of Denial of Service (DoS) attack. Attackers can exploit a weakness in the connector template upload feature to upload a malicious zip bomb file, resulting in resource exhaustion and service unavailability for all users of the Fides webserver. This vulnerability affects Fides versions `2.11.0` through `2.15.1`. Exploitation is limited to users with elevated privileges with the `CONNECTOR_TEMPLATE_REGISTER` scope, which includes root users and users with the owner role. The vulnerability has been patched in Fides version `2.16.0`. Users are advised to upgrade to this version or later to secure their systems against this threat. There is no known workaround to remediate this vulnerability without upgrading. If an attack occurs, the impact can be mitigated by manually or automatically restarting the affected container.<br />
Gravedad CVSS v3.1: MEDIA
Última modificación:
27/07/2023

CVE-2023-37481
Fecha de publicación:
18/07/2023
Idioma:
Inglés
*** Pendiente de traducción *** Fides is an open-source privacy engineering platform for managing data privacy requests and privacy regulations. The Fides webserver is vulnerable to a type of Denial of Service (DoS) attack. Attackers can exploit this vulnerability to upload zip files containing malicious SVG bombs (similar to a billion laughs attack), causing resource exhaustion in Admin UI browser tabs and creating a persistent denial of service of the &amp;#39;new connector&amp;#39; page (`datastore-connection/new`). This vulnerability affects Fides versions `2.11.0` through `2.15.1`. Exploitation is limited to users with elevated privileges with the `CONNECTOR_TEMPLATE_REGISTER` scope, which includes root users and users with the owner role. The vulnerability has been patched in Fides version `2.16.0`. Users are advised to upgrade to this version or later to secure their systems against this threat. There is no known workaround to remediate this vulnerability without upgrading.
Gravedad CVSS v3.1: MEDIA
Última modificación:
27/07/2023

CVE-2023-36670
Fecha de publicación:
18/07/2023
Idioma:
Inglés
*** Pendiente de traducción *** A remotely exploitable command injection vulnerability was found on the Kratos NGC-IDU 9.1.0.4. An attacker can execute arbitrary Linux commands as root by sending crafted TCP requests to the device.
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
28/07/2023
Suscribirse a Vulnerabilidades