Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las ultimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las ultimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las ultimas vulnerabilidades incorporadas al repositorio.

CVE-2023-27501

Fecha de publicación:

14/03/2023

Idioma:

Inglés

*** Pendiente de traducción *** SAP NetWeaver AS for ABAP and ABAP Platform - versions 700, 701, 702, 731, 740, 750, 751, 752, 753, 754, 755, 756, 757, 791, allows an attacker to exploit insufficient validation of path information provided by users, thus exploiting a directory traversal flaw in an available service to delete system files. In this attack, no data can be read but potentially critical OS files can be deleted making the system unavailable, causing significant impact on both availability and integrity

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

11/04/2023

CVE-2023-27893

Fecha de publicación:

14/03/2023

Idioma:

Inglés

*** Pendiente de traducción *** An attacker authenticated as a user with a non-administrative role and a common remote execution authorization in SAP Solution Manager and ABAP managed systems (ST-PI) - versions 2088_1_700, 2008_1_710, 740, can use a vulnerable interface to execute an application function to perform actions which they would not normally be permitted to perform. Depending on the function executed, the attack can read or modify any user or application data and can make the application unavailable.

Gravedad CVSS v3.1: ALTA

Última modificación:

11/04/2023

CVE-2023-27894

Fecha de publicación:

14/03/2023

Idioma:

Inglés

*** Pendiente de traducción *** SAP BusinessObjects Business Intelligence Platform (Web Services) - versions 420, 430, allows an attacker to inject arbitrary values as CMS parameters to perform lookups on the internal network which is otherwise not accessible externally. On successful exploitation, attacker can scan internal network to determine internal infrastructure for further attacks like remote file inclusion, retrieve server files, bypass firewall and force the vulnerable server to execute malicious requests, resulting in sensitive information disclosure. This causes limited impact on confidentiality of data.

Gravedad CVSS v3.1: MEDIA

Última modificación:

11/04/2023

CVE-2023-27895

Fecha de publicación:

14/03/2023

Idioma:

Inglés

*** Pendiente de traducción *** SAP Authenticator for Android - version 1.3.0, allows the screen to be captured, if an authorized attacker installs a malicious app on the mobile device. The attacker could extract the currently views of the OTP and the secret OTP alphanumeric token during the token setup. On successful exploitation, an attacker can read some sensitive information but cannot modify and delete the data.

Gravedad CVSS v3.1: MEDIA

Última modificación:

11/04/2023

CVE-2023-27896

Fecha de publicación:

14/03/2023

Idioma:

Inglés

*** Pendiente de traducción *** In SAP BusinessObjects Business Intelligence Platform - version 420, 430, an attacker can control a malicious BOE server, forcing the application server to connect to its own CMS, leading to a high impact on availability.

Gravedad CVSS v3.1: ALTA

Última modificación:

11/04/2023

CVE-2023-27271

Fecha de publicación:

14/03/2023

Idioma:

Inglés

*** Pendiente de traducción *** In SAP BusinessObjects Business Intelligence Platform (Web Services) - versions 420, 430, an attacker can control a malicious BOE server, forcing the application server to connect to its own admintools, leading to a high impact on availability.

Gravedad CVSS v3.1: ALTA

Última modificación:

11/04/2023

CVE-2023-27498

Fecha de publicación:

14/03/2023

Idioma:

Inglés

*** Pendiente de traducción *** SAP Host Agent (SAPOSCOL) - version 7.22, allows an unauthenticated attacker with network access to a server port assigned to the SAP Start Service to submit a crafted request which results in a memory corruption error. This error can be used to reveal but not modify any technical information about the server. It can also make a particular service temporarily unavailable

Gravedad CVSS v3.1: ALTA

Última modificación:

11/04/2023

CVE-2023-26457

Fecha de publicación:

14/03/2023

Idioma:

Inglés

*** Pendiente de traducción *** SAP Content Server - version 7.53, does not sufficiently encode user-controlled inputs, resulting in Cross-Site Scripting (XSS) vulnerability. After successful exploitation, an attacker can read and modify some sensitive information but cannot delete the data.

Gravedad CVSS v3.1: MEDIA

Última modificación:

11/04/2023

CVE-2023-26459

Fecha de publicación:

14/03/2023

Idioma:

Inglés

*** Pendiente de traducción *** Due to improper input controls In SAP NetWeaver AS for ABAP and ABAP Platform - versions 700, 701, 702, 731, 740, 750, 751, 752, 753, 754, 755, 756, 757, 791, an attacker authenticated as a non-administrative user can craft a request which will trigger the application server to send a request to an arbitrary URL which can reveal, modify or make unavailable non-sensitive information, leading to low impact on Confidentiality, Integrity and Availability.

Gravedad CVSS v3.1: ALTA

Última modificación:

11/04/2023

CVE-2023-26460

Fecha de publicación:

14/03/2023

Idioma:

Inglés

*** Pendiente de traducción *** Cache Management Service in SAP NetWeaver Application Server for Java - version 7.50, does not perform any authentication checks for functionalities that require user identity

Gravedad CVSS v3.1: MEDIA

Última modificación:

11/04/2023

CVE-2023-26461

Fecha de publicación:

14/03/2023

Idioma:

Inglés

*** Pendiente de traducción *** SAP NetWeaver allows (SAP Enterprise Portal) - version 7.50, allows an authenticated attacker with sufficient privileges to access the XML parser which can submit a crafted XML file which when parsed will enable them to access but not modify sensitive files and data. It allows the attacker to view sensitive data which is owned by certain privileges.

Gravedad CVSS v3.1: MEDIA

Última modificación:

11/04/2023

CVE-2023-27270

Fecha de publicación:

14/03/2023

Idioma:

Inglés

*** Pendiente de traducción *** SAP NetWeaver Application Server for ABAP and ABAP Platform - versions 700, 701, 702, 731, 740, 750, 751, 752, 753, 754, 755, 756, 757, 791, has multiple vulnerabilities in a class for test purposes in which an attacker authenticated as a non-administrative user can craft a request with certain parameters, which will consume the server&#39;s resources sufficiently to make it unavailable. There is no ability to view or modify any information.

Gravedad CVSS v3.1: MEDIA

Última modificación:

11/04/2023

Suscribirse a Vulnerabilidades