Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las ultimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las ultimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las ultimas vulnerabilidades incorporadas al repositorio.

Vulnerabilidad en Deeplearning4J (CVE-2022-36022)

Fecha de publicación:
10/11/2022
Idioma:
Español
Deeplearning4J es un conjunto de herramientas para implementar y entrenar modelos de aprendizaje profundo utilizando JVM. Los paquetes org.deeplearning4j:dl4j-examples y org.deeplearning4j:platform-tests hasta la versión 1.0.0-M2.1 pueden usar algunos depósitos S3 no reclamados en las pruebas de los ejemplos. Es probable que esto afecte a las personas que usan algunos ejemplos de PNL más antiguos que hacen referencia a un antiguo depósito de S3. El problema ha sido solucionado. Los usuarios deben actualizar a instantáneas ya que Deeplearning4J planea publicar una versión con la solución en una fecha posterior. Como workaround, descargue un vector de noticias de Google en word2vec desde una nueva fuente usando git lfs desde aquí.
Gravedad CVSS v3.1: MEDIA
Última modificación:
15/11/2022

Vulnerabilidad en mm-wki v0.2.1 (CVE-2021-40289)

Fecha de publicación:
10/11/2022
Idioma:
Español
mm-wki v0.2.1 es vulnerable a Cross Site Scripting (XSS).
Gravedad CVSS v3.1: MEDIA
Última modificación:
01/05/2025

Vulnerabilidad en xpdfreader 4.03 (CVE-2021-40226)

Fecha de publicación:
10/11/2022
Idioma:
Español
xpdfreader 4.03 es vulnerable al desbordamiento del búfer.
Gravedad CVSS v3.1: ALTA
Última modificación:
01/05/2025

Vulnerabilidad en Vela (CVE-2022-39395)

Fecha de publicación:
10/11/2022
Idioma:
Inglés
*** Pendiente de traducción *** Vela is a Pipeline Automation (CI/CD) framework built on Linux container technology written in Golang. In Vela Server and Vela Worker prior to version 0.16.0 and Vela UI prior to version 0.17.0, some default configurations for Vela allow exploitation and container breakouts. Users should upgrade to Server 0.16.0, Worker 0.16.0, and UI 0.17.0 to fix the issue. After upgrading, Vela administrators will need to explicitly change the default settings to configure Vela as desired. Some of the fixes will interrupt existing workflows and will require Vela administrators to modify default settings. However, not applying the patch (or workarounds) will continue existing risk exposure. Some workarounds are available. Vela administrators can adjust the worker's `VELA_RUNTIME_PRIVILEGED_IMAGES` setting to be explicitly empty, leverage the `VELA_REPO_ALLOWLIST` setting on the server component to restrict access to a list of repositories that are allowed to be enabled, and/or audit enabled repositories and disable pull_requests if they are not needed.
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
17/11/2022

Vulnerabilidad en EU Cookie Law GDPR para PrestaShop (CVE-2022-44727)

Fecha de publicación:
10/11/2022
Idioma:
Español
El módulo EU Cookie Law GDPR (Banner + Blocker) anterior a 2.1.3 para PrestaShop permite la inyección SQL a través de una cookie ( lgcookieslaw o __lglaw ).
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
01/05/2025

Vulnerabilidad en xterm (CVE-2022-45063)

Fecha de publicación:
10/11/2022
Idioma:
Español
xterm anterior a 375 permite la ejecución de código mediante operaciones de fuentes, por ejemplo, porque una respuesta OSC 50 puede tener Ctrl-g y, por lo tanto, conducir a la ejecución de comandos dentro del modo de edición de línea vi de Zsh. NOTA: las operaciones de fuentes no están permitidas en las configuraciones predeterminadas de xterm de algunas distribuciones de Linux.
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
08/04/2026

Vulnerabilidad en GPU NVIDIA para Windows y Linux (CVE-2022-34666)

Fecha de publicación:
10/11/2022
Idioma:
Español
El controlador de pantalla GPU NVIDIA para Windows y Linux contiene una vulnerabilidad en la capa del modo kernel, donde un usuario local con capacidades básicas puede provocar una desreferencia de puntero nulo, lo que puede provocar una Denegación de Servicio (DoS).
Gravedad CVSS v3.1: MEDIA
Última modificación:
15/10/2023

Vulnerabilidad en ESPCMS P8.21120101 (CVE-2022-44088)

Fecha de publicación:
10/11/2022
Idioma:
Español
Se descubrió que ESPCMS P8.21120101 contenía una vulnerabilidad de ejecución remota de código (RCE) en el componente INPUT_ISDESCRIPTION.
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
01/05/2025

Vulnerabilidad en ESPCMS P8.21120101 (CVE-2022-44087)

Fecha de publicación:
10/11/2022
Idioma:
Español
Se descubrió que ESPCMS P8.21120101 contenía una vulnerabilidad de ejecución remota de código (RCE) en el componente UPFILE_PIC_ZOOM_HIGHT.
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
01/05/2025

Vulnerabilidad en ESPCMS P8.21120101 (CVE-2022-44089)

Fecha de publicación:
10/11/2022
Idioma:
Español
Se descubrió que ESPCMS P8.21120101 contenía una vulnerabilidad de ejecución remota de código (RCE) en el componente IS_GETCACHE.
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
01/05/2025

Vulnerabilidad en SUSE Linux Enterprise Module para SUSE Manager Server (CVE-2022-43754)

Fecha de publicación:
10/11/2022
Idioma:
Inglés
*** Pendiente de traducción *** An Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') vulnerability in spacewalk/Uyuni of SUSE Linux Enterprise Module for SUSE Manager Server 4.2, SUSE Linux Enterprise Module for SUSE Manager Server 4.3, SUSE Manager Server 4.2 allows remote attackers to embed Javascript code via /rhn/audit/scap/Search.do This issue affects: SUSE Linux Enterprise Module for SUSE Manager Server 4.2 hub-xmlrpc-api-0.7-150300.3.9.2, inter-server-sync-0.2.4-150300.8.25.2, locale-formula-0.3-150300.3.3.2, py27-compat-salt-3000.3-150300.7.7.26.2, python-urlgrabber-3.10.2.1py2_3-150300.3.3.2, spacecmd-4.2.20-150300.4.30.2, spacewalk-backend-4.2.25-150300.4.32.4, spacewalk-client-tools-4.2.21-150300.4.27.3, spacewalk-java-4.2.43-150300.3.48.2, spacewalk-utils-4.2.18-150300.3.21.2, spacewalk-web-4.2.30-150300.3.30.3, susemanager-4.2.38-150300.3.44.3, susemanager-doc-indexes-4.2-150300.12.36.3, susemanager-docs_en-4.2-150300.12.36.2, susemanager-schema-4.2.25-150300.3.30.3, susemanager-sls versions prior to 4.2.28. SUSE Linux Enterprise Module for SUSE Manager Server 4.3 spacewalk-java versions prior to 4.3.39. SUSE Manager Server 4.2 release-notes-susemanager versions prior to 4.2.10.
Gravedad CVSS v3.1: MEDIA
Última modificación:
16/11/2022

Vulnerabilidad en SUSE Linux Enterprise Module para SUSE Manager Server (CVE-2022-43753)

Fecha de publicación:
10/11/2022
Idioma:
Inglés
*** Pendiente de traducción *** A Improper Limitation of a Pathname to a Restricted Directory ('Path Traversal') vulnerability in spacewalk/Uyuni of SUSE Linux Enterprise Module for SUSE Manager Server 4.2, SUSE Linux Enterprise Module for SUSE Manager Server 4.3, SUSE Manager Server 4.2 allows remote attackers to read files available to the user running the process, typically tomcat. This issue affects: SUSE Linux Enterprise Module for SUSE Manager Server 4.2 hub-xmlrpc-api-0.7-150300.3.9.2, inter-server-sync-0.2.4-150300.8.25.2, locale-formula-0.3-150300.3.3.2, py27-compat-salt-3000.3-150300.7.7.26.2, python-urlgrabber-3.10.2.1py2_3-150300.3.3.2, spacecmd-4.2.20-150300.4.30.2, spacewalk-backend-4.2.25-150300.4.32.4, spacewalk-client-tools-4.2.21-150300.4.27.3, spacewalk-java-4.2.43-150300.3.48.2, spacewalk-utils-4.2.18-150300.3.21.2, spacewalk-web-4.2.30-150300.3.30.3, susemanager-4.2.38-150300.3.44.3, susemanager-doc-indexes-4.2-150300.12.36.3, susemanager-docs_en-4.2-150300.12.36.2, susemanager-schema-4.2.25-150300.3.30.3, susemanager-sls versions prior to 4.2.28. SUSE Linux Enterprise Module for SUSE Manager Server 4.3 spacewalk-java versions prior to 4.3.39. SUSE Manager Server 4.2 release-notes-susemanager versions prior to 4.2.10.
Gravedad CVSS v3.1: MEDIA
Última modificación:
16/11/2022