Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las ultimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las ultimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las ultimas vulnerabilidades incorporadas al repositorio.

CVE-2023-29141

Fecha de publicación:
31/03/2023
Idioma:
Inglés
*** Pendiente de traducción *** An issue was discovered in MediaWiki before 1.35.10, 1.36.x through 1.38.x before 1.38.6, and 1.39.x before 1.39.3. An auto-block can occur for an untrusted X-Forwarded-For header.
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
18/02/2025

CVE-2023-23594

Fecha de publicación:
31/03/2023
Idioma:
Inglés
*** Pendiente de traducción *** An authentication bypass vulnerability in the web client interface for the CL4NX printer before firmware version 1.13.3-u724_r2 provides remote unauthenticated attackers with access to execute commands intended only for valid/authenticated users, such as file uploads and configuration changes.
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
18/02/2025

CVE-2023-29139

Fecha de publicación:
31/03/2023
Idioma:
Inglés
*** Pendiente de traducción *** An issue was discovered in the CheckUser extension for MediaWiki through 1.39.3. When a user with checkuserlog permissions makes many CheckUserLog API requests in some configurations, denial of service can occur (RequestTimeoutException or upstream request timeout).
Gravedad CVSS v3.1: MEDIA
Última modificación:
14/02/2025

CVE-2023-29140

Fecha de publicación:
31/03/2023
Idioma:
Inglés
*** Pendiente de traducción *** An issue was discovered in the GrowthExperiments extension for MediaWiki through 1.39.3. Attackers might be able to see edits for which the username has been hidden, because there is no check for rev_deleted.
Gravedad CVSS v3.1: MEDIA
Última modificación:
18/02/2025

CVE-2023-27160

Fecha de publicación:
31/03/2023
Idioma:
Inglés
*** Pendiente de traducción *** forem up to v2022.11.11 was discovered to contain a Server-Side Request Forgery (SSRF) via the component /articles/{id}. This vulnerability allows attackers to access network resources and sensitive information via a crafted POST request.
Gravedad CVSS v3.1: ALTA
Última modificación:
18/02/2025

CVE-2023-29137

Fecha de publicación:
31/03/2023
Idioma:
Inglés
*** Pendiente de traducción *** An issue was discovered in the GrowthExperiments extension for MediaWiki through 1.39.3. The UserImpactHandler for GrowthExperiments inadvertently returns the timezone preference for arbitrary users, which can be used to de-anonymize users.
Gravedad CVSS v3.1: MEDIA
Última modificación:
14/02/2025

CVE-2023-27159

Fecha de publicación:
31/03/2023
Idioma:
Inglés
*** Pendiente de traducción *** Appwrite up to v1.2.1 was discovered to contain a Server-Side Request Forgery (SSRF) via the component /v1/avatars/favicon. This vulnerability allows attackers to access network resources and sensitive information via a crafted GET request.
Gravedad CVSS v3.1: ALTA
Última modificación:
18/02/2025

CVE-2023-26925

Fecha de publicación:
31/03/2023
Idioma:
Inglés
*** Pendiente de traducción *** An information disclosure vulnerability exists in the Syslog functionality of D-LINK DIR-882 1.30. A specially crafted network request can lead to the disclosure of sensitive information.
Gravedad CVSS v3.1: ALTA
Última modificación:
18/02/2025

CVE-2023-28843

Fecha de publicación:
31/03/2023
Idioma:
Inglés
*** Pendiente de traducción *** PrestaShop/paypal is an open source module for the PrestaShop web commerce ecosystem which provides paypal payment support. A SQL injection vulnerability found in the PrestaShop paypal module from release from 3.12.0 to and including 3.16.3 allow a remote attacker to gain privileges, modify data, and potentially affect system availability. The cause of this issue is that SQL queries were being constructed with user input which had not been properly filtered. Only deployments on PrestaShop 1.6 are affected. Users are advised to upgrade to module version 3.16.4. There are no known workarounds for this vulnerability.
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
07/04/2023

Vulnerabilidad en Artifex Ghostscript (CVE-2023-28879)

Fecha de publicación:
31/03/2023
Idioma:
Español
En Artifex Ghostscript hasta la versión 10.01.0, hay un desbordamiento de búfer que puede corromper los datos internos del intérprete PostScript, en base/sbcp.c. Esto afecta a BCPEncode, BCPDecode, TBCPEncode y TBCPDecode. Si el búfer de escritura se llena hasta un byte menos de su capacidad, y se intenta escribir un carácter escapado, se escriben dos bytes.
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
14/02/2025

Vulnerabilidad en ABB AC500 V2 PM5xx (CVE-2022-3192)

Fecha de publicación:
31/03/2023
Idioma:
Español
La vulnerabilidad de validación de entrada incorrecta en ABB AC500 V2 PM5xx permite la Manipulación del Protocolo Cliente-Servidor.Este problema afecta a AC500 V2: de la verisón 2.0.0 a la 2.8.6.
Gravedad CVSS v3.1: MEDIA
Última modificación:
13/09/2023

CVE-2023-28862

Fecha de publicación:
31/03/2023
Idioma:
Inglés
*** Pendiente de traducción *** An issue was discovered in LemonLDAP::NG before 2.16.1. Weak session ID generation in the AuthBasic handler and incorrect failure handling during a password check allow attackers to bypass 2FA verification. Any plugin that tries to deny session creation after the store step does not deny an AuthBasic session.
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
14/02/2025