Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las ultimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las ultimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las ultimas vulnerabilidades incorporadas al repositorio.

Vulnerabilidad en Discourse Patreon (CVE-2022-39355)

Fecha de publicación:
26/10/2022
Idioma:
Español
Discourse Patreon permite la sincronización entre los grupos de Discourse y las recompensas de Patreon. En los sitios con el inicio de sesión de Patreon habilitado, una vulnerabilidad de autenticación inapropiada podría usarse para tomar el control de la cuenta del foro de la víctima. Esta vulnerabilidad está parcheada en el commit número 846d0121514b35ce42a1636c7d70f6dcee879e del plugin discourse-patreon. Por precaución, cualquier cuenta de Discourse que haya iniciado sesión con una cuenta de Patreon con correo electrónico no verificado será cerrada y le pedirá que verifique su dirección de correo electrónico en su próximo inicio de sesión. Como mitigación, deshabilite la integración de Patreon y cierre la sesión de todos los usuarios con cuentas de Patreon asociadas
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
28/10/2022

Vulnerabilidad en Jupyter Core (CVE-2022-39286)

Fecha de publicación:
26/10/2022
Idioma:
Español
Jupyter Core es un paquete para la funcionalidad común del núcleo de los proyectos Jupyter. Jupyter Core versiones anteriores a 4.11.2, contiene una vulnerabilidad de ejecución de código arbitrario en "jupyter_core" que proviene de que "jupyter_core" ejecuta archivos no confiables en CWD. Esta vulnerabilidad permite a un usuario ejecutar código como otro. La versión 4.11.2 contiene un parche para este problema. No se presentan mitigaciones conocidas
Gravedad CVSS v3.1: ALTA
Última modificación:
07/11/2023

Vulnerabilidad en Twisted (CVE-2022-39348)

Fecha de publicación:
26/10/2022
Idioma:
Español
Twisted es un framework basado en eventos para aplicaciones de Internet. Comenzó con la versión 0.9.4, cuando el encabezado del host no coincide con un host configurado "twisted.web.vhost.NameVirtualHost" devolverá un recurso "NoResource" que hace que el encabezado del Host no sea escondido en la respuesta 404 permitiendo la inyección de HTML y scripts. En la práctica esto debería ser muy difícil de explotar ya que ser capaz de modificar el encabezado Host de una petición HTTP normal implica que uno ya está en una posición privilegiada. Este problema ha sido corregido en versión 22.10.0rc1. No se presenta mitigaciones conocidas
Gravedad CVSS v3.1: MEDIA
Última modificación:
03/11/2025

Vulnerabilidad en el parámetro wizardstep54_pskpwd en /goform/form2WizardStep54 en D-Link DIR-816 A2 (CVE-2022-43002)

Fecha de publicación:
26/10/2022
Idioma:
Español
Se ha detectado que D-Link DIR-816 A2 versión 1.10 B05, contenía un desbordamiento de pila por medio del parámetro wizardstep54_pskpwd en /goform/form2WizardStep54
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
07/05/2025

Vulnerabilidad en el parámetro pskValue en la función setRepeaterSecurity en D-Link DIR-816 A2 (CVE-2022-43003)

Fecha de publicación:
26/10/2022
Idioma:
Español
Se ha detectado que D-Link DIR-816 A2 versión 1.10 B05, contiene un desbordamiento de pila por medio del parámetro pskValue en la función setRepeaterSecurity
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
07/05/2025

Vulnerabilidad en el parámetro wizardstep4_pskpwd en /goform/form2WizardStep4 en D-Link DIR-816 A2 (CVE-2022-43000)

Fecha de publicación:
26/10/2022
Idioma:
Español
Se ha detectado que D-Link DIR-816 A2 versión 1.10 B05, contiene un desbordamiento de pila por medio del parámetro wizardstep4_pskpwd en /goform/form2WizardStep4
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
07/05/2025

Vulnerabilidad en el parámetro pskValue en la función setSecurity en D-Link DIR-816 A2 (CVE-2022-43001)

Fecha de publicación:
26/10/2022
Idioma:
Español
Se ha detectado que D-Link DIR-816 A2 versión 1.10 B05, contenía un desbordamiento de pila por medio del parámetro pskValue en la función setSecurity
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
07/05/2025

Vulnerabilidad en los parámetros admuser y admpass en /goform/setSysAdm en D-Link DIR-816 A2 (CVE-2022-42999)

Fecha de publicación:
26/10/2022
Idioma:
Español
Se ha detectado que D-Link DIR-816 A2 versión 1.10 B05, contiene múltiples vulnerabilidades de inyección de comandos por medio de los parámetros admuser y admpass en /goform/setSysAdm
Gravedad CVSS v3.1: ALTA
Última modificación:
07/05/2025

Vulnerabilidad en el parámetro srcip en /goform/form2IPQoSTcAdd en D-Link DIR-816 A2 (CVE-2022-42998)

Fecha de publicación:
26/10/2022
Idioma:
Español
Se ha detectado que D-Link DIR-816 A2 versión 1.10 B05, contiene un desbordamiento de pila por medio del parámetro srcip en /goform/form2IPQoSTcAdd
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
07/05/2025

Vulnerabilidad en la función WriteSample del componente mp42hevc en Axiomatic Bento4 (CVE-2022-3670)

Fecha de publicación:
26/10/2022
Idioma:
Español
Se ha encontrado una vulnerabilidad en Axiomatic Bento4. ha sido clasificada como crítica. Está afectada la función WriteSample del componente mp42hevc. La manipulación conlleva a un desbordamiento del buffer en la región heap de la memoria. Es posible lanzar el ataque de forma remota. La explotación ha sido divulgada al público y puede ser usada. VDB-212010 es el identificador asignado a esta vulnerabilidad
Gravedad CVSS v3.1: ALTA
Última modificación:
07/11/2023

Vulnerabilidad en la función AP4_AvccAtom::Create del componente mp4edit en Axiomatic Bento4 (CVE-2022-3669)

Fecha de publicación:
26/10/2022
Idioma:
Español
Se ha encontrado una vulnerabilidad en Axiomatic Bento4 y ha sido clasificada como problemática. Este problema afecta a la función AP4_AvccAtom::Create del componente mp4edit. La manipulación conlleva a una pérdida de memoria. El ataque puede ser iniciado remotamente. La explotación ha sido divulgada al público y puede ser usada. Ha sido asignado el identificador VDB-212009 a esta vulnerabilidad
Gravedad CVSS v3.1: MEDIA
Última modificación:
07/11/2023

Vulnerabilidad en la función AP4_AtomFactory::CreateAtomFromStream del componente mp4edit en Axiomatic Bento4 (CVE-2022-3668)

Fecha de publicación:
26/10/2022
Idioma:
Español
Se ha encontrado una vulnerabilidad en Axiomatic Bento4 y ha sido clasificada como problemática. Esta vulnerabilidad afecta a la función AP4_AtomFactory::CreateAtomFromStream del componente mp4edit. La manipulación conlleva a una pérdida de memoria. El ataque puede ser iniciado remotamente. La explotación ha sido divulgada al público y puede ser usada. El identificador de esta vulnerabilidad es VDB-212008
Gravedad CVSS v3.1: MEDIA
Última modificación:
07/11/2023