Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las últimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las últimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las últimas vulnerabilidades incorporadas al repositorio.

CVE-2022-42970

Fecha de publicación:

01/02/2023

Idioma:

Inglés

*** Pendiente de traducción *** A CWE-306: Missing Authentication for Critical Function The software does not perform any authentication for functionality that requires a provable user identity or consumes a significant amount of resources. Affected Products: APC Easy UPS Online Monitoring Software (Windows 7, 10, 11 & Windows Server 2016, 2019, 2022 - Versions prior to V2.5-GA), APC Easy UPS Online Monitoring Software (Windows 11, Windows Server 2019, 2022 - Versions prior to V2.5-GA-01-22261), Schneider Electric Easy UPS Online Monitoring Software (Windows 7, 10, 11 & Windows Server 2016, 2019, 2022 - Versions prior to V2.5-GS), Schneider Electric Easy UPS Online Monitoring Software (Windows 11, Windows Server 2019, 2022 - Versions prior to V2.5-GS-01-22261)

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

08/02/2023

CVE-2023-20856

Fecha de publicación:

01/02/2023

Idioma:

Inglés

*** Pendiente de traducción *** VMware vRealize Operations (vROps) contains a CSRF bypass vulnerability. A malicious user could execute actions on the vROps platform on behalf of the authenticated victim user.

Gravedad CVSS v3.1: ALTA

Última modificación:

27/03/2025

CVE-2023-23846

Fecha de publicación:

01/02/2023

Idioma:

Inglés

*** Pendiente de traducción *** Due to insufficient length validation in the Open5GS GTP library versions prior to versions 2.4.13 and 2.5.7, when parsing extension headers in GPRS tunneling protocol (GPTv1-U) messages, a protocol payload with any extension header length set to zero causes an infinite loop. The affected process becomes immediately unresponsive, resulting in denial of service and excessive resource consumption. CVSS3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H/E:P/RL:O/RC:C

Gravedad CVSS v3.1: ALTA

Última modificación:

27/03/2025

CVE-2022-4206

Fecha de publicación:

01/02/2023

Idioma:

Inglés

*** Pendiente de traducción *** A sensitive information leak issue has been discovered in all versions of DAST API scanner from 1.6.50 prior to 2.0.102, exposing the Authorization header in the vulnerability report

Gravedad CVSS v3.1: MEDIA

Última modificación:

27/03/2025

CVE-2023-0454

Fecha de publicación:

01/02/2023

Idioma:

Inglés

*** Pendiente de traducción *** OrangeScrum version 2.0.11 allows an authenticated external attacker to delete arbitrary local files from the server. This is possible because the application uses an unsanitized attacker-controlled parameter to construct an internal path.

Gravedad CVSS v3.1: ALTA

Última modificación:

27/03/2025

CVE-2023-0524

Fecha de publicación:

01/02/2023

Idioma:

Inglés

*** Pendiente de traducción *** As part of our Security Development Lifecycle, a potential privilege escalation issue was identified internally. This could allow a malicious actor with sufficient permissions to modify environment variables and abuse an impacted plugin in order to escalate privileges. We have resolved the issue and also made several defense-in-depth fixes alongside. While the probability of successful exploitation is low, Tenable is committed to securing our customers’ environments and our products. The updates have been distributed via the Tenable plugin feed in feed serial numbers equal to or greater than #202212212055.

Gravedad CVSS v3.1: ALTA

Última modificación:

27/03/2025

CVE-2023-0587

Fecha de publicación:

01/02/2023

Idioma:

Inglés

*** Pendiente de traducción *** A file upload vulnerability in exists in Trend Micro Apex One server build 11110. Using a malformed Content-Length header in an HTTP PUT message sent to URL /officescan/console/html/cgi/fcgiOfcDDA.exe, an unauthenticated remote attacker can upload arbitrary files to the SampleSubmission directory (i.e., \PCCSRV\TEMP\SampleSubmission) on the server. The attacker can upload a large number of large files to fill up the file system on which the Apex One server is installed.

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

27/03/2025

CVE-2022-31902

Fecha de publicación:

01/02/2023

Idioma:

Inglés

*** Pendiente de traducción *** Notepad++ v8.4.1 was discovered to contain a stack overflow via the component Finder::add().

Gravedad CVSS v3.1: MEDIA

Última modificación:

27/03/2025

CVE-2022-47768

Fecha de publicación:

01/02/2023

Idioma:

Inglés

*** Pendiente de traducción *** Serenissima Informatica Fast Checkin 1.0 is vulnerable to Directory Traversal.

Gravedad CVSS v3.1: ALTA

Última modificación:

27/03/2025

CVE-2022-47769

Fecha de publicación:

01/02/2023

Idioma:

Inglés

*** Pendiente de traducción *** An arbitrary file write vulnerability in Serenissima Informatica Fast Checkin v1.0 allows unauthenticated attackers to upload malicious files in the web root of the application to gain access to the server via the web shell.

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

27/03/2025

CVE-2022-47770

Fecha de publicación:

01/02/2023

Idioma:

Inglés

*** Pendiente de traducción *** Serenissima Informatica Fast Checkin version v1.0 is vulnerable to Unauthenticated SQL Injection.

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

27/03/2025

CVE-2023-23928

Fecha de publicación:

01/02/2023

Idioma:

Inglés

*** Pendiente de traducción *** reason-jose is a JOSE implementation in ReasonML and OCaml.`Jose.Jws.validate` does not check HS256 signatures. This allows tampering of JWS header and payload data if the service does not perform additional checks. Such tampering could expose applications using reason-jose to authorization bypass. Applications relying on JWS claims assertion to enforce security boundaries may be vulnerable to privilege escalation. This issue has been patched in version 0.8.2.

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

08/02/2023

Suscribirse a Vulnerabilidades