Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

017 - Ir a la línea de ayuda en Ciberseguridad    Ir a Agenda     Ir a Sala de prensa     Ir a suscripción de boletines

Ir al buscador

Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las ultimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las ultimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las ultimas vulnerabilidades incorporadas al repositorio.

Vulnerabilidad en iubenda de WordPress (CVE-2022-3911)
Fecha de publicación:
02/01/2023
Idioma:
Español
El complemento iubenda de WordPress en sus versiones anteriores a la 3.3.3 no tiene autorización ni CSRF en una acción AJAX, y no asegura que las opciones a actualizar pertenezcan al complemento siempre que sean arrays. Como resultado, cualquier usuario autenticado, como el suscriptor, puede otorgarse a sí mismo cualquier privilegio, como edit_plugins, etc.
Gravedad CVSS v3.1: ALTA
Última modificación:
10/04/2025

Vulnerabilidad en Authenticator de WordPress (CVE-2022-3994)
Fecha de publicación:
02/01/2023
Idioma:
Español
El complemento Authenticator de WordPress anterior a 1.3.1 no impide que los suscriptores actualicen el token de acceso al feed de un sitio, lo que puede negar a otros usuarios el acceso a la funcionalidad en ciertas configuraciones.
Gravedad CVSS v3.1: MEDIA
Última modificación:
10/04/2025

Vulnerabilidad en Autoptimize de WordPress (CVE-2022-4057)
Fecha de publicación:
02/01/2023
Idioma:
Español
El complemento Autoptimize de WordPress anterior a 3.1.0 utiliza una ruta fácilmente adivinable para almacenar las configuraciones y los registros exportados del complemento.
Gravedad CVSS v3.1: MEDIA
Última modificación:
10/04/2025

Vulnerabilidad en Cryptocurrency Widgets Pack de WordPress (CVE-2022-4059)
Fecha de publicación:
02/01/2023
Idioma:
Español
El complemento Cryptocurrency Widgets Pack de WordPress anterior a 2.0 no sanitiza ni escapa algunos parámetros antes de usarlo en una declaración SQL a través de una acción AJAX disponible para usuarios no autenticados, lo que lleva a una inyección SQL.
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
10/04/2025

Vulnerabilidad en OpenDNS OpenResolve (CVE-2015-10010)
Fecha de publicación:
02/01/2023
Idioma:
Español
Se encontró una vulnerabilidad en OpenDNS OpenResolve. Ha sido calificada como problemática. La función get del archivo resolverapi/endpoints.py del componente API es afectada por esta vulnerabilidad. La manipulación conduce a cross-site scripting. El ataque puede lanzarse de forma remota. La complejidad de un ataque es bastante alta. Se sabe que la explotación es difícil. El nombre del parche es c680170d5583cd9342fe1af43001fe8b2b8004dd. Se recomienda aplicar un parche para solucionar este problema. El identificador de esta vulnerabilidad es VDB-217196.
Gravedad CVSS v3.1: MEDIA
Última modificación:
17/05/2024

Vulnerabilidad en kenny2automate de Discord (CVE-2023-22452)
Fecha de publicación:
02/01/2023
Idioma:
Inglés
*** Pendiente de traducción *** kenny2automate is a Discord bot. In the web interface for server settings, form elements were generated with Discord channel IDs as part of input names. Prior to commit a947d7c, no validation was performed to ensure that the channel IDs submitted actually belonged to the server being configured. Thus anyone who has access to the channel ID they wish to change settings for and the server settings panel for any server could change settings for the requested channel no matter which server it belonged to. Commit a947d7c resolves the issue and has been deployed to the official instance of the bot. The only workaround that exists is to disable the web config entirely by changing it to run on localhost. Note that a workaround is only necessary for those who run their own instance of the bot.
Gravedad CVSS v3.1: MEDIA
Última modificación:
09/01/2023

Vulnerabilidad en drybjed ansible-ntp (CVE-2014-125036)
Fecha de publicación:
02/01/2023
Idioma:
Español
Se encontró una vulnerabilidad en drybjed ansible-ntp y se ha clasificado como problemática. Una función desconocida del archivo meta/main.yml es afectada por este problema. La manipulación conduce a un control insuficiente del volumen de mensajes de la red. El ataque sólo se puede realizar dentro de la red local. La complejidad de un ataque es bastante alta. Se sabe que la explotación es difícil. El parche se identifica como ed4ca2cf012677973c220cdba36b5c60bfa0260b. Se recomienda aplicar un parche para solucionar este problema. VDB-217190 es el identificador asignado a esta vulnerabilidad.
Gravedad CVSS v3.1: MEDIA
Última modificación:
17/05/2024

Vulnerabilidad en Centralized-Salesforce-Dev-Framework (CVE-2016-15007)
Fecha de publicación:
02/01/2023
Idioma:
Español
Se encontró una vulnerabilidad en Centralized-Salesforce-Dev-Framework. Ha sido declarada problemática. La función SObjectService del archivo src/classes/SObjectService.cls del componente SOQL Handler es afectada por esta vulnerabilidad. La manipulación del argumento orderDirection conduce a la inyección. El parche se llama db03ac5b8a9d830095991b529c067a030a0ccf7b. Se recomienda aplicar un parche para solucionar este problema. El identificador asociado de esta vulnerabilidad es VDB-217195.
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
17/05/2024

Vulnerabilidad en IS_Projecto2 (CVE-2014-125038)
Fecha de publicación:
02/01/2023
Idioma:
Español
Se ha encontrado una vulnerabilidad en IS_Projecto2 y ha sido clasificada como crítica. Esta vulnerabilidad afecta a un código desconocido del archivo Cnn-EJB/ejbModule/ejbs/NewsBean.java. La manipulación del argumento fecha conduce a la inyección SQL. El nombre del parche es aa128b2c9c9fdcbbf5ecd82c1e92103573017fe0. Se recomienda aplicar un parche para solucionar este problema. El identificador de esta vulnerabilidad es VDB-217192.
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
17/05/2024

Vulnerabilidad en License to Kill (CVE-2014-125037)
Fecha de publicación:
02/01/2023
Idioma:
Español
Se ha encontrado una vulnerabilidad en License to Kill y se ha clasificado como crítica. Una parte desconocida del archivo models/injury.rb afecta a una parte desconocida. La manipulación del nombre del argumento conduce a la inyección SQL. El parche se llama cd11cf174f361c98e9b1b4c281aa7b77f46b5078. Se recomienda aplicar un parche para solucionar este problema. El identificador asociado de esta vulnerabilidad es VDB-217191.
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
17/05/2024

Vulnerabilidad en Kiwi TCMS (CVE-2023-22451)
Fecha de publicación:
02/01/2023
Idioma:
Inglés
*** Pendiente de traducción *** Kiwi TCMS is an open source test management system. In version 11.6 and prior, when users register new accounts and/or change passwords, there is no validation in place which would prevent them from picking an easy to guess password. This issue is resolved by providing defaults for the `AUTH_PASSWORD_VALIDATORS` configuration setting. As of version 11.7, the password can’t be too similar to other personal information, must contain at least 10 characters, can’t be a commonly used password, and can’t be entirely numeric. As a workaround, an administrator may reset all passwords in Kiwi TCMS if they think a weak password may have been chosen.
Gravedad CVSS v3.1: ALTA
Última modificación:
09/01/2023

Vulnerabilidad en Jobs-Plugin (CVE-2014-125035)
Fecha de publicación:
02/01/2023
Idioma:
Español
Una vulnerabilidad fue encontrada en Jobs-Plugin y clasificada como problemática. Una funcionalidad desconocida es afectada por esta vulnerabilidad. La manipulación conduce a cross-site scripting. El ataque se puede lanzar de forma remota. El identificador del parche es b8a56718b1d42834c6ec51d9c489c5dc20471d7b. Se recomienda aplicar un parche para solucionar este problema. A esta vulnerabilidad se le asignó el identificador VDB-217189.
Gravedad CVSS v3.1: MEDIA
Última modificación:
17/05/2024
Suscribirse a Vulnerabilidades