Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las ultimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las ultimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las ultimas vulnerabilidades incorporadas al repositorio.

Vulnerabilidad en los dispositivos Ampere Altra y Ampere Altra Max (CVE-2022-35888)

Fecha de publicación:
29/09/2022
Idioma:
Español
Los dispositivos Ampere Altra y Ampere Altra Max versiones hasta el 15-07-2022, permiten ataques por Hertzbleed, que es un ataque de canal lateral de energía que extrae información secreta de la CPU correlacionando el consumo de energía con los datos que son procesados en el sistema
Gravedad CVSS v3.1: MEDIA
Última modificación:
20/05/2025

Vulnerabilidad en el repositorio de GitHub ikus060/rdiffweb (CVE-2022-3326)

Fecha de publicación:
29/09/2022
Idioma:
Español
Unos Requisitos de Contraseñas Débiles en el repositorio de GitHub ikus060/rdiffweb versiones anteriores a 2.4.9
Gravedad CVSS v3.1: MEDIA
Última modificación:
03/10/2022

Vulnerabilidad en PHP (CVE-2022-31629)

Fecha de publicación:
28/09/2022
Idioma:
Español
En PHP versiones anteriores a 7.4.31, 8.0.24 y 8.1.11, la vulnerabilidad permite a atacantes de la red y del mismo sitio establecer una cookie no segura estándar en el navegador de la víctima que es tratada como una cookie "__Host-" o "__Secure-" por las aplicaciones PHP
Gravedad CVSS v3.1: MEDIA
Última modificación:
04/11/2025

Vulnerabilidad en el código del descompresor phar en PHP (CVE-2022-31628)

Fecha de publicación:
28/09/2022
Idioma:
Español
En PHP versiones anteriores a 7.4.31, 8.0.24 y 8.1.11, el código del descompresor phar descomprimía recursivamente archivos gzip "quines", resultando en un bucle infinito
Gravedad CVSS v3.1: MEDIA
Última modificación:
07/11/2023

Vulnerabilidad en nheko (CVE-2022-39264)

Fecha de publicación:
28/09/2022
Idioma:
Español
nheko es un cliente de escritorio para la aplicación de comunicación Matrix. Todas las versiones anteriores a 0.10.2 son vulnerables a una inserción de secretos maliciosos por parte de los servidores domésticos, lo que podría conllevar a ataques de tipo man-in-the-middle. Los usuarios pueden actualizar a versión 0.10.2 para protegerse de este problema. Como mitigación, puede aplicarse el parche manualmente, evitar hacer verificaciones de los propios dispositivos y/o evitar pulsar el botón de petición en el menú de configuración
Gravedad CVSS v3.1: MEDIA
Última modificación:
07/11/2023

Vulnerabilidad en Trend Micro Deep Security 20 y Cloud One - Workload Security Agent para Windows (CVE-2022-40708)

Fecha de publicación:
28/09/2022
Idioma:
Español
Una vulnerabilidad de lectura fuera de límites en Trend Micro Deep Security 20 y Cloud One - Workload Security Agent para Windows podría permitir a un atacante local divulgar información confidencial en las instalaciones afectadas. Tenga en cuenta que un atacante debe obtener primero la capacidad de ejecutar código con pocos privilegios en el sistema de destino para poder explotar estas vulnerabilidades. Esta vulnerabilidad es similar, pero no idéntica, a la CVE-2022-40707
Gravedad CVSS v3.1: BAJA
Última modificación:
20/05/2025

Vulnerabilidad en Trend Micro Deep Security 20 y Cloud One - Workload Security Agent para Windows (CVE-2022-40709)

Fecha de publicación:
28/09/2022
Idioma:
Español
Una vulnerabilidad de lectura fuera de límites en Trend Micro Deep Security 20 y Cloud One - Workload Security Agent para Windows podría permitir a un atacante local divulgar información confidencial en las instalaciones afectadas. Tenga en cuenta que un atacante debe obtener primero la capacidad de ejecutar código con pocos privilegios en el sistema de destino para poder explotar estas vulnerabilidades. Esta vulnerabilidad es similar, pero no idéntica, a las CVE-2022-40707 y 40708
Gravedad CVSS v3.1: BAJA
Última modificación:
27/02/2024

Vulnerabilidad en Trend Micro Deep Security 20 y Cloud One - Workload Security Agent para Windows (CVE-2022-40710)

Fecha de publicación:
28/09/2022
Idioma:
Español
Una vulnerabilidad de seguimiento de enlaces en Trend Micro Deep Security 20 y Cloud One - Workload Security Agent para Windows podría permitir a un atacante local escalar privilegios en las instalaciones afectadas. Nota: un atacante debe obtener primero la capacidad de ejecutar código con pocos privilegios en el sistema de destino para poder explotar esta vulnerabilidad
Gravedad CVSS v3.1: ALTA
Última modificación:
27/02/2024

Vulnerabilidad en "@next-auth/upstash-redis-adapter" (CVE-2022-39263)

Fecha de publicación:
28/09/2022
Idioma:
Español
"@next-auth/upstash-redis-adapter" es el adaptador de Upstash Redis para NextAuth.js, que proporciona autenticación para Next.js. Las aplicaciones que usan el proveedor de correo electrónico "next-auth" y "@next-auth/upstash-redis-adapter" versiones anteriores a 3.0.2, están afectadas por esta vulnerabilidad. La implementación del adaptador Upstash Redis no comprobaba tanto el identificador (correo electrónico) como el token, sino que sólo comprobaba el identificador cuando verificaba el token en el flujo de devolución de llamada del correo electrónico. Un atacante que conozca el correo electrónico de la víctima podría iniciar sesión fácilmente como la víctima, dado que el atacante también conoce la duración del token de verificación. La vulnerabilidad está parcheada en versión 3.0.2. Se presenta una mitigación disponible. usando la Inicialización Avanzada, los desarrolladores pueden comprobar las peticiones y comparar el token y el identificador de la consulta antes de proceder
Gravedad CVSS v3.1: ALTA
Última modificación:
03/03/2023

Vulnerabilidad en Trend Micro Deep Security 20 y Cloud One - Workload Security Agent para Windows (CVE-2022-40707)

Fecha de publicación:
28/09/2022
Idioma:
Español
Una vulnerabilidad de lectura fuera de límites en Trend Micro Deep Security 20 y Cloud One - Workload Security Agent para Windows podría permitir a un atacante local divulgar información confidencial en las instalaciones afectadas. Tenga en cuenta: un atacante debe obtener primero la capacidad de ejecutar código con pocos privilegios en el sistema de destino para poder explotar estas vulnerabilidades. Esta vulnerabilidad es similar, pero no idéntica, a la CVE-2022-40708
Gravedad CVSS v3.1: BAJA
Última modificación:
27/02/2024

Vulnerabilidad en Matrix iOS SDK (CVE-2022-39257)

Fecha de publicación:
28/09/2022
Idioma:
Español
Matrix iOS SDK permite a los desarrolladores crear aplicaciones para iOS compatibles con Matrix. En versiones anteriores a 0.23.19, un atacante que colabore con un servidor doméstico malicioso puede construir mensajes que parezcan proceder de otra persona. Dichos mensajes estarán marcados con un escudo gris en algunas plataformas, pero éste puede faltar en otras. Este ataque es posible debido a que el matrix-ios-sdk implementa una estrategia de reenvío de claves demasiado permisiva. La política por defecto para aceptar reenvíos de claves se ha hecho más estricta en matrix-ios-sdk versión 0.23.19. matrix-ios-sdk ahora sólo aceptará claves reenviadas en respuesta a peticiones previamente emitidas y sólo desde dispositivos propios y verificados. El SDK ahora establece un flag "trusted" en el mensaje descifrado al descifrarlo, basándose en si la clave usada para descifrar el mensaje fue recibida de una fuente confiable. Los clientes deben asegurarse de que los mensajes descifrados con una clave con "trusted = false" sean decorados apropiadamente (por ejemplo, mostrando una advertencia para tales mensajes). Este ataque requiere la coordinación entre un servidor doméstico malicioso y un atacante, por lo que aquellos que confían en sus servidores domésticos no necesitan una mitigación
Gravedad CVSS v3.1: ALTA
Última modificación:
30/09/2022

Vulnerabilidad en el repositorio de GitHub ikus060/rdiffweb (CVE-2022-3292)

Fecha de publicación:
28/09/2022
Idioma:
Español
Un Uso de la caché que Contiene Información Confidencial en el repositorio de GitHub ikus060/rdiffweb versiones anteriores a 2.4.8
Gravedad CVSS v3.1: MEDIA
Última modificación:
30/09/2022