Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las últimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las últimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las últimas vulnerabilidades incorporadas al repositorio.

CVE-2022-47595

Fecha de publicación:

14/03/2023

Idioma:

Inglés

*** Pendiente de traducción *** Improper Limitation of a Pathname to a Restricted Directory (&#39;Path Traversal&#39;) vulnerability in WP Go Maps (formerly WP Google Maps) plugin

Gravedad CVSS v3.1: MEDIA

Última modificación:

07/11/2023

CVE-2023-27500

Fecha de publicación:

14/03/2023

Idioma:

Inglés

*** Pendiente de traducción *** An attacker with non-administrative authorizations can exploit a directory traversal flaw in program SAPRSBRO to over-write system files. In this attack, no data can be read but potentially critical OS files can be over-written making the system unavailable.

Gravedad CVSS v3.1: ALTA

Última modificación:

01/02/2024

CVE-2023-27501

Fecha de publicación:

14/03/2023

Idioma:

Inglés

*** Pendiente de traducción *** SAP NetWeaver AS for ABAP and ABAP Platform - versions 700, 701, 702, 731, 740, 750, 751, 752, 753, 754, 755, 756, 757, 791, allows an attacker to exploit insufficient validation of path information provided by users, thus exploiting a directory traversal flaw in an available service to delete system files. In this attack, no data can be read but potentially critical OS files can be deleted making the system unavailable, causing significant impact on both availability and integrity

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

11/04/2023

CVE-2023-27893

Fecha de publicación:

14/03/2023

Idioma:

Inglés

*** Pendiente de traducción *** An attacker authenticated as a user with a non-administrative role and a common remote execution authorization in SAP Solution Manager and ABAP managed systems (ST-PI) - versions 2088_1_700, 2008_1_710, 740, can use a vulnerable interface to execute an application function to perform actions which they would not normally be permitted to perform. Depending on the function executed, the attack can read or modify any user or application data and can make the application unavailable.

Gravedad CVSS v3.1: ALTA

Última modificación:

11/04/2023

CVE-2023-27894

Fecha de publicación:

14/03/2023

Idioma:

Inglés

*** Pendiente de traducción *** SAP BusinessObjects Business Intelligence Platform (Web Services) - versions 420, 430, allows an attacker to inject arbitrary values as CMS parameters to perform lookups on the internal network which is otherwise not accessible externally. On successful exploitation, attacker can scan internal network to determine internal infrastructure for further attacks like remote file inclusion, retrieve server files, bypass firewall and force the vulnerable server to execute malicious requests, resulting in sensitive information disclosure. This causes limited impact on confidentiality of data.

Gravedad CVSS v3.1: MEDIA

Última modificación:

11/04/2023

CVE-2023-27895

Fecha de publicación:

14/03/2023

Idioma:

Inglés

*** Pendiente de traducción *** SAP Authenticator for Android - version 1.3.0, allows the screen to be captured, if an authorized attacker installs a malicious app on the mobile device. The attacker could extract the currently views of the OTP and the secret OTP alphanumeric token during the token setup. On successful exploitation, an attacker can read some sensitive information but cannot modify and delete the data.

Gravedad CVSS v3.1: MEDIA

Última modificación:

11/04/2023

CVE-2023-27896

Fecha de publicación:

14/03/2023

Idioma:

Inglés

*** Pendiente de traducción *** In SAP BusinessObjects Business Intelligence Platform - version 420, 430, an attacker can control a malicious BOE server, forcing the application server to connect to its own CMS, leading to a high impact on availability.

Gravedad CVSS v3.1: ALTA

Última modificación:

11/04/2023

CVE-2023-27271

Fecha de publicación:

14/03/2023

Idioma:

Inglés

*** Pendiente de traducción *** In SAP BusinessObjects Business Intelligence Platform (Web Services) - versions 420, 430, an attacker can control a malicious BOE server, forcing the application server to connect to its own admintools, leading to a high impact on availability.

Gravedad CVSS v3.1: ALTA

Última modificación:

11/04/2023

CVE-2023-27498

Fecha de publicación:

14/03/2023

Idioma:

Inglés

*** Pendiente de traducción *** SAP Host Agent (SAPOSCOL) - version 7.22, allows an unauthenticated attacker with network access to a server port assigned to the SAP Start Service to submit a crafted request which results in a memory corruption error. This error can be used to reveal but not modify any technical information about the server. It can also make a particular service temporarily unavailable

Gravedad CVSS v3.1: ALTA

Última modificación:

11/04/2023

CVE-2023-26457

Fecha de publicación:

14/03/2023

Idioma:

Inglés

*** Pendiente de traducción *** SAP Content Server - version 7.53, does not sufficiently encode user-controlled inputs, resulting in Cross-Site Scripting (XSS) vulnerability. After successful exploitation, an attacker can read and modify some sensitive information but cannot delete the data.

Gravedad CVSS v3.1: MEDIA

Última modificación:

11/04/2023

CVE-2023-26459

Fecha de publicación:

14/03/2023

Idioma:

Inglés

*** Pendiente de traducción *** Due to improper input controls In SAP NetWeaver AS for ABAP and ABAP Platform - versions 700, 701, 702, 731, 740, 750, 751, 752, 753, 754, 755, 756, 757, 791, an attacker authenticated as a non-administrative user can craft a request which will trigger the application server to send a request to an arbitrary URL which can reveal, modify or make unavailable non-sensitive information, leading to low impact on Confidentiality, Integrity and Availability.

Gravedad CVSS v3.1: ALTA

Última modificación:

11/04/2023

CVE-2023-26460

Fecha de publicación:

14/03/2023

Idioma:

Inglés

*** Pendiente de traducción *** Cache Management Service in SAP NetWeaver Application Server for Java - version 7.50, does not perform any authentication checks for functionalities that require user identity

Gravedad CVSS v3.1: MEDIA

Última modificación:

11/04/2023

Suscribirse a Vulnerabilidades