Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las últimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las últimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las últimas vulnerabilidades incorporadas al repositorio.

CVE-2023-23791

Fecha de publicación:

11/07/2023

Idioma:

Inglés

*** Pendiente de traducción *** Cross-Site Request Forgery (CSRF) vulnerability in HasThemes HT Menu plugin

Gravedad CVSS v3.1: ALTA

Última modificación:

13/07/2023

CVE-2023-23792

Fecha de publicación:

11/07/2023

Idioma:

Inglés

*** Pendiente de traducción *** Cross-Site Request Forgery (CSRF) vulnerability in HasThemes Swatchly plugin

Gravedad CVSS v3.1: ALTA

Última modificación:

13/07/2023

CVE-2023-36925

Fecha de publicación:

11/07/2023

Idioma:

Inglés

*** Pendiente de traducción *** SAP Solution Manager (Diagnostics agent) - version 7.20, allows an unauthenticated attacker to blindly execute HTTP requests. On successful exploitation, the attacker can cause a limited impact on confidentiality and availability of the application and other applications the Diagnostics Agent can reach.

Gravedad CVSS v3.1: ALTA

Última modificación:

18/07/2023

CVE-2023-36921

Fecha de publicación:

11/07/2023

Idioma:

Inglés

*** Pendiente de traducción *** SAP Solution Manager (Diagnostics agent) - version 7.20, allows an attacker to tamper with headers in a client request. This misleads SAP Diagnostics Agent to serve poisoned content to the server. On successful exploitation, the attacker can cause a limited impact on confidentiality and availability of the application.

Gravedad CVSS v3.1: ALTA

Última modificación:

18/07/2023

CVE-2023-36917

Fecha de publicación:

11/07/2023

Idioma:

Inglés

*** Pendiente de traducción *** SAP BusinessObjects Business Intelligence Platform - version 420, 430, allows an unauthorized attacker who had hijacked a user session, to be able to bypass the victim’s old password via brute force, due to unrestricted rate limit for password change functionality. Although the attack has no impact on integrity loss or system availability, this could lead to an attacker to completely takeover a victim’s account.

Gravedad CVSS v3.1: ALTA

Última modificación:

18/07/2023

CVE-2023-36919

Fecha de publicación:

11/07/2023

Idioma:

Inglés

*** Pendiente de traducción *** In SAP Enable Now - versions WPB_MANAGER 1.0, WPB_MANAGER_CE 10, WPB_MANAGER_HANA 10, ENABLE_NOW_CONSUMP_DEL 1704, the Referrer-Policy response header is not implemented, allowing an unauthenticated attacker to obtain referrer details, resulting in information disclosure.

Gravedad CVSS v3.1: MEDIA

Última modificación:

28/09/2024

CVE-2023-36918

Fecha de publicación:

11/07/2023

Idioma:

Inglés

*** Pendiente de traducción *** In SAP Enable Now - versions WPB_MANAGER 1.0, WPB_MANAGER_CE 10, WPB_MANAGER_HANA 10, ENABLE_NOW_CONSUMP_DEL 1704, the X-Content-Type-Options response header is not implemented, allowing an unauthenticated attacker to trigger MIME type sniffing, which leads to Cross-Site Scripting, which could result in disclosure or modification of information.

Gravedad CVSS v3.1: MEDIA

Última modificación:

18/07/2023

CVE-2023-36922

Fecha de publicación:

11/07/2023

Idioma:

Inglés

*** Pendiente de traducción *** Due to programming error in function module and report, IS-OIL component in SAP ECC and SAP S/4HANA allows an authenticated attacker to inject an arbitrary operating system command into an unprotected parameter in a common (default) extension. On successful exploitation, the attacker can read or modify the system data as well as shut down the system.

Gravedad CVSS v3.1: ALTA

Última modificación:

09/12/2023

CVE-2023-35874

Fecha de publicación:

11/07/2023

Idioma:

Inglés

*** Pendiente de traducción *** SAP NetWeaver Application Server ABAP and ABAP Platform - version KRNL64NUC, 7.22, KRNL64NUC 7.22EXT, KRNL64UC 7.22, KRNL64UC 7.22EXT, KRNL64UC 7.53, KERNEL 7.22, KERNEL, 7.53, KERNEL 7.77, KERNEL 7.81, KERNEL 7.85, KERNEL 7.89, KERNEL 7.54, KERNEL 7.92, KERNEL 7.93, under some conditions, performs improper authentication checks for functionalities that require user identity. An attacker can perform malicious actions over the network, extending the scope of impact, causing a limited impact on confidentiality, integrity and availability.

Gravedad CVSS v3.1: ALTA

Última modificación:

28/09/2024

CVE-2023-36924

Fecha de publicación:

11/07/2023

Idioma:

Inglés

*** Pendiente de traducción *** While using a specific function, SAP ERP Defense Forces and Public Security - versions 600, 603, 604, 605, 616, 617, 618, 802, 803, 804, 805, 806, 807, allows an authenticated attacker with admin privileges to write arbitrary data to the syslog file. On successful exploitation, an attacker could modify all the syslog data causing a complete compromise of integrity of the application.

Gravedad CVSS v3.1: MEDIA

Última modificación:

19/07/2023

CVE-2023-31405

Fecha de publicación:

11/07/2023

Idioma:

Inglés

*** Pendiente de traducción *** SAP NetWeaver AS for Java - versions ENGINEAPI 7.50, SERVERCORE 7.50, J2EE-APPS 7.50, allows an unauthenticated attacker to craft a request over the network which can result in unwarranted modifications to a system log without user interaction. There is no ability to view any information or any effect on availability.

Gravedad CVSS v3.1: MEDIA

Última modificación:

18/07/2023

CVE-2023-33988

Fecha de publicación:

11/07/2023

Idioma:

Inglés

*** Pendiente de traducción *** In SAP Enable Now - versions WPB_MANAGER 1.0, WPB_MANAGER_CE 10, WPB_MANAGER_HANA 10, ENABLE_NOW_CONSUMP_DEL 1704, the Content-Security-Policy and X-XSS-Protection response headers are not implemented, allowing an unauthenticated attacker to attempt reflected cross-site scripting, which could result in disclosure or modification of information.

Gravedad CVSS v3.1: MEDIA

Última modificación:

18/07/2023

Suscribirse a Vulnerabilidades