Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las ultimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las ultimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las ultimas vulnerabilidades incorporadas al repositorio.

Vulnerabilidad en la entrada de los encabezados HOST en IBM Engineering Lifecycle Optimization - Publishing (CVE-2021-39028)

Fecha de publicación:
14/07/2022
Idioma:
Español
IBM Engineering Lifecycle Optimization - Publishing versiones 6.0.6, 6.0.6.1, 7.0, 7.0.1 y 7.0.2, es vulnerable a una inyección de encabezados HTTP, causada por la incorrecta comprobación de la entrada de los encabezados HOST. Esto podría permitir a un atacante conducir varios ataques contra el sistema vulnerable, incluyendo de tipo cross-site scripting, envenenamiento de caché o secuestro de sesión. IBM X-Force ID: 213866
Gravedad CVSS v3.1: MEDIA
Última modificación:
25/03/2025

Vulnerabilidad en IBM Engineering Lifecycle Optimization - Publishing (CVE-2021-39019)

Fecha de publicación:
14/07/2022
Idioma:
Español
IBM Engineering Lifecycle Optimization - Publishing versiones 6.0.6, 6.0.6.1, 7.0, 7.0.1 y 7.0.2, podría divulgar información altamente confidencial mediante una petición HTTP GET a un usuario autenticado. IBM X-Force ID: 213728
Gravedad CVSS v3.1: MEDIA
Última modificación:
25/03/2025

Vulnerabilidad en IBM Engineering Lifecycle Optimization - Publishing (CVE-2021-39018)

Fecha de publicación:
14/07/2022
Idioma:
Español
IBM Engineering Lifecycle Optimization - Publishing versiones 6.0.6, 6.0.6.1, 7.0, 7.0.1 y 7.0.2, podría divulgar información confidencial en un mensaje de error SQL que podría ayudar a realizar más ataques contra el sistema. IBM X-Force ID: 213726
Gravedad CVSS v3.1: MEDIA
Última modificación:
25/03/2025

Vulnerabilidad en el volumen de tráfico de red en IBM Engineering Lifecycle Optimization - Publishing (CVE-2021-39016)

Fecha de publicación:
14/07/2022
Idioma:
Español
IBM Engineering Lifecycle Optimization - Publishing versiones 6.0.6, 6.0.6.1, 7.0, 7.0.1 y 7.0.2, no supervisa ni controla suficientemente el volumen de tráfico de red transmitido, por lo que un actor puede causar que el software transmita más tráfico del que debería estar permitido para ese actor. IBM X-Force ID: 213722
Gravedad CVSS v3.1: MEDIA
Última modificación:
25/03/2025

Vulnerabilidad en IBM Engineering Lifecycle Optimization - Publishing (CVE-2021-39015)

Fecha de publicación:
14/07/2022
Idioma:
Español
IBM Engineering Lifecycle Optimization - Publishing versiones 7.0, 7.0.1 y 7.0.2, es vulnerable a un ataque de tipo cross-site scripting. Esta vulnerabilidad permite a usuarios insertar código JavaScript arbitrario en la Interfaz de Usuario Web, alterando así la funcionalidad prevista y conllevando potencialmente a una divulgación de credenciales dentro de una sesión confiable. IBM X-Force ID: 213655
Gravedad CVSS v3.1: MEDIA
Última modificación:
25/03/2025

Vulnerabilidad en una petición HTTP en IBM Security Verify Information Queue (CVE-2022-35283)

Fecha de publicación:
14/07/2022
Idioma:
Español
IBM Security Verify Information Queue versión 10.0.2 podría permitir a un usuario autenticado causar una denegación de servicio con una petición HTTP especialmente diseñada
Gravedad CVSS v3.1: MEDIA
Última modificación:
20/07/2022

Vulnerabilidad en IBM WebSphere Application Server (CVE-2022-22477)

Fecha de publicación:
14/07/2022
Idioma:
Español
IBM WebSphere Application Server versiones 8.5 y 9.0 es vulnerable al cross-site scripting. Esta vulnerabilidad permite a usuarios insertar código JavaScript arbitrario en la Interfaz de Usuario Web, alterando así la funcionalidad prevista y conllevando potencialmente a una divulgación de credenciales dentro de una sesión confiable. IBM X-Force ID: 225605
Gravedad CVSS v3.1: MEDIA
Última modificación:
20/07/2022

Vulnerabilidad en IBM Engineering Lifecycle Optimization - Publishing (CVE-2021-39017)

Fecha de publicación:
14/07/2022
Idioma:
Español
IBM Engineering Lifecycle Optimization - Publishing versiones 6.0.6, 6.0.6.1, 7.0, 7.0.1 y 7.0.2, podría permitir a un atacante remoto cargar archivos arbitrarios, causado por controles de acceso inapropiados. IBM X-Force ID: 213725
Gravedad CVSS v3.1: MEDIA
Última modificación:
25/03/2025

Vulnerabilidad en los datos de la Consola Administrativa en IBM WebSphere Application Server (CVE-2022-22473)

Fecha de publicación:
14/07/2022
Idioma:
Español
IBM WebSphere Application Server versiones 7.0, 8.0, 8.5 y 9.0 podría permitir a un atacante remoto obtener información confidencial causada por un manejo inapropiado de los datos de la Consola Administrativa. Esta información podría usarse en otros ataques contra el sistema. IBM X-Force ID: 225347
Gravedad CVSS v3.1: MEDIA
Última modificación:
08/08/2023

Vulnerabilidad en Sage 300 ERP (CVE-2021-45492)

Fecha de publicación:
14/07/2022
Idioma:
Español
En Sage 300 ERP (anteriormente accpac) versiones hasta 6.8.x, el instalador configura el directorio C:\Sage\Sage300\Runtime para que sea la primera entrada en la variable de entorno PATH del sistema. Sin embargo, este directorio puede ser escrito por usuarios no privilegiados porque el instalador de Sage no establece permisos explícitos y, por lo tanto, hereda los permisos débiles de la carpeta C:\N. Debido a que las entradas en la variable PATH de todo el sistema son incluidas en el orden de búsqueda de DLLs, un atacante podría llevar a cabo el secuestro del orden de búsqueda de DLLs para escalar sus privilegios a SYSTEM. Además, si la funcionalidad de Búsqueda Global o Pantallas Web está habilitada, entonces es posible una escalada de privilegios por medio de los servicios GlobalSearchService y Sage.CNA.WindowsService, de nuevo por medio del secuestro del orden de búsqueda de DLL porque los usuarios no privilegiados tendrían permisos de modificación en el directorio de la aplicación. Tenga en cuenta que mientras las versiones más antiguas del software son instaladas por defecto en %PROGRAMFILES(X86)% (lo que permitiría que la carpeta Sage heredara permisos fuertes, haciendo que la instalación no fuera vulnerable), las guías oficiales de instalación de Sage 300 para esas versiones recomiendan instalar en C:\NSage, lo que haría que la instalación fuera vulnerable
Gravedad CVSS v3.1: ALTA
Última modificación:
08/08/2023

Vulnerabilidad en Node.js (CVE-2022-32223)

Fecha de publicación:
14/07/2022
Idioma:
Español
Node.js es vulnerable a un Flujo de Ejecución de Secuestro: Secuestro de DLL bajo determinadas condiciones en plataformas Windows. Esta vulnerabilidad puede ser explotada si la víctima presenta las siguientes dependencias en una máquina Windows:* OpenSSL ha sido instalada y "C:\Program Files\Common Files\SSL\openssl.cnf" se presenta. Siempre que sean dadas las condiciones anteriores, "node.exe" buscará "providers.dll" en el directorio actual del usuario. Después, "node.exe" intentará buscar "providers.dll" mediante el orden de búsqueda de DLL en Windows. Es posible que un atacante coloque el archivo malicioso "providers.dll" en una variedad de rutas y explote esta vulnerabilidad
Gravedad CVSS v3.1: ALTA
Última modificación:
28/10/2022

Vulnerabilidad en el archivo relay_cgi.cgi en los dispositivos de retransmisión Dingtian DT-R002 2CH (CVE-2022-29593)

Fecha de publicación:
14/07/2022
Idioma:
Español
El archivo relay_cgi.cgi en los dispositivos de retransmisión Dingtian DT-R002 2CH con firmware 3.1.276A, permite a un atacante reproducir peticiones HTTP post sin necesidad de autenticación o una petición válida firmada/autorizada
Gravedad CVSS v3.1: MEDIA
Última modificación:
05/05/2025